-
-
未解决 [求助]求助一题python脚本的 格式化字符串 pwn
-
发表于: 2023-10-10 23:14
-
|
|
|---|---|
|
|
|
|
|
对的对的，是这个思路，所以是在第二次read环节覆盖main 的返回地址么 |
|
|
想覆盖哪里就自己决定了咯，要我的话应该会选read的返回地址，毕竟往栈底走那是python的栈布局，不太好控制 |
|
|
大佬大佬，你打通了么，能不能看看wp 我利用read写入某个栈上地址总是不成功，好奇怪。 |
|
|
|
|
|
感谢gracias |
|
|
大佬，我调通了你的代码，但是我不太理解1.覆盖的read_rsp的地址是怎么计算的。2.我学习的时候都是根据rbp➕8 确定返回地址的，覆盖这个地址read_rsp是怎么被读取到rip执行的 |
|
|
1. 代码里不是很清楚了吗，read_rsp = printf_rsp - 0x60 read_rsp是表示到达libc.so read函数时（即rip指向read函数第一条指令时）的rsp，printf_rsp也同理。这个0x60常数就是前面我说的“观察下read的rsp和printf的rsp是否有固定的差值”中的差值。 2. read_rsp中存储的就是函数的返回地址啊，因为函数不都是call过去的吗？所以函数第一条指令时的rsp不就存储着call压进去的返回地址吗？rbp+8只能说是大部分情况下是放着返回地址的，但你不能保证目标函数就是拿着rbp当栈帧指针，有可能rbp另作他用呢？或者在push rbp、mov rbp, rsp前还压了其他寄存器呢？ |
|
|
好滴，明白了～谢谢解惑 
|
