【攻防世界pwn-level3】

已于 2022-02-17 22:52:58 修改
阅读量3.3k 收藏 3
点赞数
分类专栏： 攻防世界pwn新手区 文章标签： 安全 CTF
于 2022-02-17 22:52:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a_silly_coder/article/details/122990282
版权
本文详细介绍了如何分析一个32位程序的栈溢出漏洞，通过ida查看代码发现缺少system和bin/sh，但提供了libc。通过理解plt表和got表的工作原理，计算libc的偏移量，实现两次栈溢出：第一次获取write的实际加载地址，计算system和bin/sh地址，第二次调用system执行shell。最后展示了攻击脚本的编写和攻击过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

下载文件后首先查看保护，发现可以进行栈溢出攻击

将文件拖入32位ida

进入vulnerable_function后，发现了read处有栈溢出漏洞

在查看代码后，发现没有提供system和bin/sh，但是由于给了libc，所以可以找到libc的偏移量，然后计算出system和bin/sh的加载地址。

对于plt表，got表，实际加载地址，我是这么理解的：通过elf.plt['write']获取到的是write在plt表中的地址1，这个地址1上存放的实际内容是write在got表的地址2，而这个地址2存放的是lib中write的实际加载地址3

最低0.47元/天 解锁文章
攻防世界 新手区 level3
winterze的博客
04-04 454
分享一位师傅写得，很详细，对我们小白很有帮助 https://www.cnblogs.com/cloud-tree/p/11929585.html 攻防世界 新手区 level3 0x00 函数分析 基本信息 [*] '/home/ububtu/ctf/level3' Arch: i386-32-little RELRO: Partial RELRO Stac...
攻防世界pwn-level0详细步骤
m0_74047686的博客
02-28 1561
学习pwn开始，慢慢来不要急
攻防世界pwn——level3
qq_62076255的博客
11-05 822
攻防世界pwn——level3
攻防世界 Pwn level3
MrTreebook的博客
11-22 374
攻防世界pwn level31.checksec看一下保护2.IDA反汇编分析程序3.漏洞利用4.exp附上 1.checksec看一下保护 [*] '/home/ububtu/ctf/level3' Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x8048000) 32位，开启NX保
pwn level3
weixin_45677731的博客
03-15 584
解压之后有一个level3和libc_32.so.6，拖进ida(32位) 主要就是这两个函数，一个write和一个read 这道题的基本思路就是通过第一次溢出将write函数在got表中的地址泄露，然后减去在libc_32.so.6中的偏移，得到基地址，在加上ibc_32.so.6中找到的system和"/bin/sh"偏移得到真实的地址，然后再执行一次main函数进行第二次溢出 对于writ...
攻防世界pwn新手区题解-level3
weixin_62621015的博客
04-17 1483
攻防世界pwn-level3详细题解。
【攻防世界pwn-level2】
a_silly_coder的博客
01-14 314
下载文件后，首先查看保护 将文件拖入ida 32位，发现函数名明示了攻击点 点进vulnerable_function函数后，发现buf距离ebp有0x88的距离，但是可以读入0x100的大小，确定这是一道栈溢出的题目，溢出点就在此处。 确定溢出点后，开始寻找利用方式，发现代码中给出了system函数，在0x8048320的位置 随后寻找sh或者bin_sh字符串： 此时要素齐全，开始编写脚本。 设计栈的结构为： 脚本为： 发送脚本，开始攻击： ...
攻防世界 pwn-100
10-26 380
1 题目 2 分析 如上图，这道题很简单粗暴，直接暴露溢出点，但是需要注意的是，每次输入读200！这点下面会有坑。 思路：利用ROP泄露出read的地址，利用Libsearch获得system和/bin/sh的地址。这些都是常规流程。但是，有一点要注意，在发送payload的时候，一定不能使用sendline或者sendafterline。因为这两个方法会自动在你的payload后面添加\n。本题严格读取200单元，多出来的\n作为下次读取的开头，会导致第二次发送的错误！exp如下 f
攻防世界 pwn-200
winterze的博客
04-04 709
攻防世界 pwn-200 0x00 函数分析 基本信息 [*] '/home/ububtu/ctf/pwn/pwn-200' Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x8...
攻防世界Level3
WangLal的博客
07-05 399
攻防世界PWN新手题 level3的WP 基本三步：checksec，file，执行文件 只开了NX防护，且是个32位的文件 放进IDA中查看 main函数中只调用了一个函数，vulnerable_function(),进入函数中查看 发现read函数可以制造栈溢出漏洞。 要注意，题目还给了一个库，level3的文件中没有System函数，所以只能调用库中的函数。同时，文件PIE没开代表libc中函数的编移量就是固定的，只要确认了libc的基址，然后计算出system函数的offset，就可以定位到s
攻防世界 level3
BengDouLove的博客
03-26 560
整个程序就这么几行代码， vul函数里有明显栈溢出，猜测是覆盖返回地址为system，，，但是程序里没有system也没有binsh，所以只能自己泄露 查一查write函数，三个参数，第一个为1代表输出，第二个是要输出东西的指针，第三个是输出长度 所以可以利用wirte,把第二个参数改为某个libc里面函数的地址，泄露出来，然后根据偏移得到system和binsh 但是只有一个read函数并不...
[攻防世界]level3
逆向萌新的博客
06-18 457
[攻防世界]level3，详细
攻防世界新——level3
weixin_62675330的博客
02-10 1584
攻防世界 – pwn新手区 level3 由题意可得可能跟libc有关。 ps：libc是Linux下的ANSI C的函数库。ANSI C是基本的C语言函数库，包含了C语言最基本的库函数。 引申： glibc 和 libc 都是 Linux 下的 C 函数库。 libc 是 Linux 下的 ANSI C 函数库；glibc 是 Linux 下的 GUN C 函数库。 1.checksec查看保护 文件有两个，一个是elf文件，一个是so文件。 ps：so文件（shared object），so文件是
攻防世界-pwn新手区-level3
CHAWUCIREN1的博客
09-22 424
先检查运行一下 ida 看一下vulnerable_function函数 发现存在溢出，栈空间136，可以输入的长度256 但是没有发现system函数和/bin/sh 题目给了libc文件，可以 考虑利用一下 把libc丢到ida里面
攻防世界(pwn) level3
半岛铁盒的博客
03-23 483
先下载附件;,这个附件压缩包里面有好几层,挨着打开就好了 题目没有提供 System函数 和 bin/sh 字符串 来供我们调用; 可以突破的点只有read函数。通过覆盖返回地址，执行两次main函数。第一次泄漏write函数的地址，第二次执行system函数。 from pwn import* from LibcSearcher import* p=remote('111.200.241.244','31433') elf=ELF("1") main_addr=0x8048484 write_plt
[攻防世界 pwn]——level3
Y_peak的博客
02-19 246
题目地址: https://adworld.xctf.org.cn/ 题目: 以前写过这个write up请点击 偷个懒, 师傅们不要介意
Jarvis OJ - pwn level3
hanqdi_的博客
02-03 266
前言 因为换了电脑，GitHub博客的环境搭起来太麻烦了，又想有所记录，所以又回到这里啦～ level3 前段时间做过pwn题目，现在再来做，发现以前很简单的脚本利用命令都忘记了，真是，啥东西都不能放，一放就忘，这脑子不管用了。 之后每天保持做题量，保持做题手感！在这里记录并且作为监督自己的一种方式。 做题思路 没有system和binsh，又给出了libc文件，容易想到可以用ret2libc方法...
攻防世界-level3-Writeup
SkYe's Blog
05-15 570
level3 [collapse title=“展开查看详情” status=“false”] 考点：栈溢出、ROP（ret2libc） ssize_t vulnerable_function() { char buf; // [esp+0h] [ebp-88h] write(1, "Input:\n", 7u); return read(0, &buf, 0x100u); //溢出 } 打开了 NX 保护栈数据不可执行，程序没有预留后门。解决办法就是 ret2libc ，这
攻防世界level3
qq_25044201的博客
12-31 526
ida分析一下 发现这次level3是除了前两个显示最少的，俗话说得好，给得越少，越难。 发现没有system,也没有/bin/sh 当然这有个溢出点，可是只有溢出点 我们下载下来，发现有个libc库 我们先巩固一个知识，当调用一个函数时候，会调用plt，然后plt调用got表，如果是动态链接，got表会从libc库里找这个函数。 当然我们可以先泄露write函数的got表的地址，然后通过write-system=libc中write函数和system函数的差值找到system函数，同理找到/bi.
攻防世界pwn pwn-100
最新发布
01-18
### 关于攻防世界PWN-100题目的解答 #### 解决方案概述 对于攻防世界的PWN-100题目，通常涉及的是基础的缓冲区溢出攻击。这类题目旨在测试参赛者对Linux防护机制的理解程度以及绕过这些保护措施的能力。常见的技术包括但不限于返回导向编程（Return-Oriented Programming, ROP）、重定向到已知位置的shellcode执行(ret2shellcode)或是利用动态链接库中的函数实现系统命令调用(ret2libc)[^1]。 #### 技术细节 当面对没有启用地址空间布局随机化(ASLR)且未开启不可执行堆栈(NX bit off)的情况时，可以直接采用`ret2shellcode`的方式解决问题。此方法要求选手能够找到足够的空间放置自定义的shellcode，并通过控制EIP指向这段代码来完成最终的目标——通常是打开一个远程shell连接给攻击者[^3]。 如果遇到开启了NX位但是禁用了位置独立可执行文件(PIE)，那么可以考虑使用`ret2libc`策略。这种方法依赖于将返回地址设置为标准C库(glibc)内的某个有用功能的位置，比如system()函数，从而间接地触发所需的恶意操作而无需注入新的机器码片段。 针对具体环境下的不同情况，还需要掌握诸如IDA Pro这样的反汇编工具来进行二进制分析工作；同时熟悉GDB调试技巧以便更好地理解程序内部逻辑并定位潜在的安全漏洞所在之处。 ```python from pwn import * # 连接到远程服务 conn = remote(&#39;challenge.ctf.games&#39;, PORT) # 发送payload前先接收初始消息 print(conn.recvline()) # 构造payload offset = 64 # 假设偏移量为64字节 junk = b&#39;A&#39; * offset return_address = pack(&#39;<I&#39;, 0xdeadbeef) # 替换为目标地址 exploit_payload = junk + return_address # 发送payload conn.send(exploit_payload) # 接收响应数据 result = conn.recvall() print(result.decode()) ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值