R3CTF 2024 Writeup --Polaris

文章预览

本次 R3CTF 2024，我们Polaris战队排名第20。 排名 11 Ciallo～(∠・ω < )⌒★ 4306 12 Mini-Venom 4060 13 SycLover 4036 14 n3x 3816 15 0xFFF 3601 16 Nepnep 3345 17 thefwncrew 3032 18 Hyperion 2970 19 Arr3stY0u 2952 20 Polaris 2836 _ PWN Nullullullllu 在直接给 libc_base 的情况下，一次任意地址写 \x00  直接修改 _IO_2_1_stdin_ 的 _IO_buf_base_ 末尾为 \x00 ，那么 _IO_buf_base_ 就会指向 _IO_2_1_stdin_ 的 _IO_write_base_，接下来就是利用 getchar 函数触发写操作修改   _IO_buf_base_ 为 IO_2_1_stdout_ ，再次利用 getchar 函数触发写操作写 apple2 进 stdout  printf 函数执行时候会触发 appl2 get shell。 exp from pwn import * from struct import pack from ctypes import * import base64 from subprocess import run #from LibcSearcher import * from struct import pack import tty def debug ( c = 0 ):     if (c):        gdb.attach(p, c)     else :        gdb.attach(p)        pause() ………………………………