Pwn record

用来记录一些pwn中的神奇的操作

1.Card simulator

procedure
运行一下会发现是个抽卡程序，只开启了NX保护

ida反编译后后发现这一段

意思好像就是关闭标准输出，也没太明白，似乎就是关闭标准输出后需要使用文件读写把信息带出来

plt表中有system函数

最后会给一次输入机会，溢出0x28字节，本想着用栈迁移

发现需要ebp+read+leave_ret+read的三个参数发现溢出给少了

看完wp发现是个神奇的操作，注意到sh的整数储存为26739

并且有5个整型分别记录抽取的每种类型的数量，且此处抽卡未限制次数，我们多次抽卡使得3星武器数目为26739，并将它作为system的参数

需要注意的是最后cat flag时需要重定向

Card simulator.exp

2.just_pwn

procedure

查看保护会发现只有NX没开，估计是个写shellcode的题目了

反编译试试

额，说什么1257的位置分析失败，不管了直接看汇编

call完puts后把rbp+buf的地址赋给rax再赋给rsi，0x10赋给edx，0赋值给edi，至于为什么会出现edx，edi

之前好像看到过有64位程序的寄存器会比32位多一些功能？在不执行这些功能下和32位是可以等价的？

查看一下栈段

read从buf这个地方开始写不超过16个字节

最后会调用写在此处的内容

所以我们需要写一个不超过16字节的shellcode来getshell

我们调用shellcraft.sh()看看生成了什么

/* execve(path='/bin///sh', argv=['sh'], envp=0) */
    /* push b'/bin///sh\x00' */
    push 0x68
    mov rax, 0x732f2f2f6e69622f
    push rax
    mov rdi, rsp
    /* push argument array ['sh\x00'] */
    /* push b'sh\x00' */
    push 0x1010101 ^ 0x6873
    xor dword ptr [rsp], 0x1010101
    xor esi, esi /* 0 */
    push rsi /* null terminate */
    push 8
    pop rsi
    add rsi, rsp
    push rsi /* 'sh\x00' */
    mov rsi, rsp
    xor edx, edx /* 0 */
    /* call execve() */
    push SYS_execve /* 0x3b */
    pop rax
    syscall

发现汇编指令的前面一半都是在写入/bin/sh，长度为48字节

想起来自己之前好像见到过短的shellcode但是好像也有个20字节的样子，应该会有什么不一样的地方

gdb调试在read前下个断点查看一下栈段