【攻防世界pwn-CGfsb】

最新推荐文章于 2024-07-05 21:46:07 发布
最新推荐文章于 2024-07-05 21:46:07 发布
阅读量373 收藏
点赞数
分类专栏： 攻防世界pwn新手区 文章标签： 安全 CTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a_silly_coder/article/details/124836252
版权
本文详细介绍了在攻防世界pwn挑战CGfsb中，如何利用一个简单的格式化字符串漏洞来读取flag。通过在32位IDA中分析代码，发现可通过修改pwnme变量值为8来触发cat flag命令。在GDB中确定参数偏移后，构建攻击脚本，最终成功完成攻击。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

首先检查文件保护

 

将文件拖入32位ida

 

阅读代码后，发现这是一个简单的格式化字符串漏洞，通过修改pwnme的数值为8，直接执行cat flag。pwnme在0x0804A068的位置。

随后用gdb确认偏移，有两种方法，一种是直接数栈上的位置，另一种是输入AAAA.%x.%x.%x查看。我采用第一种。

栈上是第11个位置，但是由于第一个位置参数是格式化字符串，所以输入的AAAA其实是格式化字符串的第10个参数。

开始编写攻击脚本。

最低0.47元/天 解锁文章
攻防世界(pwn篇)---CGfsb
飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘
04-09 1939
攻防世界(pwn篇)—CGfsb 文章目录攻防世界(pwn篇)---CGfsb题目描述基本情况分析运行分析IDA 分析格式化字符串漏洞分析出payload找一下 s 的偏移量再看一看 pwnme 的地址exp 题目描述 菜鸡面对着pringf发愁，他不知道prinf除了输出还有什么作用 基本情况分析 checksec命令可以查看可执行文件开启的保护 1.RELRO: RELRP会有Pratial RELRO 和FULL RELRO，如果开启FULL RELRO，意味着我们无法修改got表 2.S
攻防世界 CGfsb
10-03 668
1.题目 2.IDA分析 3.流程分析 流程很简单， 输入名字和信息，然后打印刚刚输入的信息出来，如果未初始化的pwnme的值为8，则成功cat flag。这里printf直接把&s打印出来，明显存在格式化字符串漏洞。 解释一下格式化字符串，一般printf的参数是：格式化字符串 + 参数1 + 参数2 ...。如果后面的参数数量对应不上格式化字符串中需要的参数，会自动从栈顶获取对应的参数。如下图： 输入“AAAAAAA%x-%x-%x-%x-%x-%x-%x-%x-%x-%.
[PWN](攻防世界)CGfsb
ljh15937的博客
09-15 280
分析程序漏洞 32位的程序，有 Canary 防护措施，栈不可执行技术 由于没有开启PIE，可以通过格式化字符串漏洞直接修改存在于 .bss 段的 pwnme 变量的值为 8，从而劫持程序执行流，执行system("cat flag);语句，获取 flag 利用程序 from pwn import * context(arch = 'amd64') context(log_level = 'DEBUG') context(terminal = ['deepin-terminal', '-x', '
[攻防世界]CGfsb
逆向萌新的博客
06-20 273
[攻防世界]CGfsb详解
攻防世界-CGfsb
qq_45771413的博客
04-23 480
知识点 格式化字符串漏洞（printf） 检查保护 PIE没有保护，全局变量地址固定 IDA 逻辑很简单，输入name，输入message，然后当pwnme等于8时，自动执行cat flag操作。但是pwnme没有被赋值，也没有可操作的地方，需要把它改成8。 但是找了一圈没发现有栈溢出的地方，看wp发现是格式化字符串漏洞，只能嗯学（栈溢出还没整熟悉〒▽〒）。 格式化字符串知识点 格式化字符串（摘自CTF-WIKI) 格式化字符串函数是根据格式化字符串函数来进行解析的。那么相应的要被解析的参数的个数也自然
攻防世界PWN--CGfsb
Rt1Text的博客
03-27 3493
首先checksec 32位/ 开了 Canary/NX保护 再运行一下 大致就是这个流程 接下来ida里面 分析C代码 分析前先get一下格式化字符串漏洞的基础知识 举3个常见的相关函数 fprintf----prints to a FILE stream printf----prints to the 'stdout' stream sprintf--prints into a string 常见语法 %d---打印 signed int %u---打印 u...
攻防世界-CGfsb详细知识点及解答
m0_74047686的博客
03-07 891
做这道题的时候，对于格式化字符串的知识要有一定了解，不然的话，就要像我一样，忙来忙去，很麻烦的如何利用格式化字符串呢？我做了一些知识总结。格式化字符串攻击（Format String Vulnerabilities，简称FSV）是指攻击者通过构造恶意格式化字符串控制符，在程序中读写不该被访问的内存区域、获取敏感信息等操作。攻击者通常利用以下方式来实施格式化字符串攻击：（1）打印栈上的数据。
攻防世界-pwn CGfsb (格式化字符串)
菜的只能随便写写博客
08-05 1668
0x01 拿到题目之后首先分析文件 得到信息： 32bit ELF可执行文件 未开启PIE(即静态反汇编得地址可以直接使用) 0x02 执行文件 执行文件之后发现程序接收两个输入并将其原样输出   0x03 利用IDA反汇编 发现flag，需要将pwnme的值改为8才能拿到flag 通过查找发现pwnme在bss段，并且在程序之中用到了printf，可以考虑用格式化串漏洞将...
adworld攻防世界-pwn-新手区-wp
令则
03-05 1297
adworld-pwn-新手区 tcl 到现在才算是正经昨晚攻防世界的ｐｗｎ新手区， 整理ｗｐ： 题目文件： https://www.jianguoyun.com/p/DSZC7xcQg9bmBxjp5eoC (访问密码：emFwst) 这其中利用到的相关漏洞： 格式化字符串、栈溢出、伪随机数覆盖种子、整数溢出 另外由于自己的exp设置好模板等， 基本都是一个比较大的框架里，每个exp都比较...
攻防世界CGfsb
weixin_73399382的博客
07-05 384
我只简单讲一下：当未使用占位符直接printf(s)进行输出时存在安全隐患，堆栈中没有占位符来和格式化字符串中的参数进行替换，我们可以通过%n格式（将已经输出的字符数写入参数）和$（程序遇到一个占位符，就按顺序向后寻找参数，但是我们可以使用数字+$的形式，直接指定参数相对于格式化字符串的偏移）来修改指定内存单元中字段的值。在我们格式化字符串漏洞利用中，常用%p来泄露地址，%x也都可以，只是显示的数据为十六进制，这里显示的是ascii码，A的ascill码为41，数出在第十个参数位置，即偏移量为10。
攻防世界pwn新手练习（CGfsb）
BurYiA的博客
09-15 1902
CGfsb ok，按照惯例，拿到程序后先扔到Linux下查一下基本信息 32位程序，开了NX(堆栈不可执行)以及CANNARY(栈保护) 貌似有一丝丝头疼嗷，咱们运行一下，看看它的程序逻辑 唔，是一个留言板，可以输入的地方有两处，一处是名字，一处是留言内容。ok，可以扔进IDA分析了。 F5后直接看程序伪代码 很明显，我们需要让pwnme这个变量的值等于8，然后便可以拿到flag文件中的东西，...
攻防世界pwn—CGFsb
nzw1134864657的博客
07-27 356
先看一下文件是32位的，再查看一下程序的保护机制 发现栈的保护开启，程序会在栈里放入一个canary，返回时检测canary是否发生变化 我们先运行一下程序看一下逻辑 在IDA中打开查看伪代码，发现如果pwnme=8，就可以到得到flag 此处要利用格式化字符串漏洞，使用%n格式修改任意地址内容，把前面已经打印的长度写入某个内存地址中去。 在这里设置断点 查看一下pwnme的地址 在wr...
攻防世界详解CGfsb，格式化字符串漏洞，欢迎讨论
XDiku的博客
01-11 340
格式化字符串漏洞
攻防世界 新手区CGfsb
qq_25044201的博客
12-27 176
老办法看一下开启了哪些保护 然后放在ida静态分析一下 大体意思是全局变量pwnme=8时会获得flag 但是pwnme这个变量我们无法控制，怎么办呢？ 其中有个关键的 这里如果我们输入%x 它会输出什么？ 我输入了aaaa 以及12个%x linux系统会按栈的顺序一一输出内容 而aaaa 泄露在第11个参数 所以我们先泄露这个pwnme全局变量的位置 然后通过%$n修改这地址的值 所以完成 ...
攻防世界 Pwn CGfsb
MrTreebook的博客
11-28 241
攻防世界pwn CGfsb1.先看保护机制2.看一下源代码有什么漏洞3.看一下格式化字符串溢出长度4.看一下pwnme的地址5.exp 1.先看保护机制 2.看一下源代码有什么漏洞 这里很明显是格式化字符串 看到这里发现程序需要pwnme==8才可以拿到flag 3.看一下格式化字符串溢出长度 输入数据后gdb调试数一下 offset=10 4.看一下pwnme的地址 那思路就是利用格式化字符串的%n写个8到pwnme中就好了 5.exp from pwn import * #a=process(
CTF PWN-攻防世界CGfsb格式化字符串漏洞
道阻且长，行则将至
07-23 2962
距离 2021 年年底短暂接触学习 CTF PWN 相关知识（CTF PWN-攻防世界XCTF新手区WriteUp）已经是快 2 年前的事了，这期间就连攻防世界社区的站点都发生巨大变化了……为了学习终端领域底层漏洞的挖掘和利用技术，继续积累 PWN 相关知识。
攻防世界_pwn_CGfsb(萌新版)-pwnme解惑
TedLau的博客
02-24 604
首发于鄙人博客：传送门 0x00 前言 格式化字符串漏洞。 file checksec结果如下所示： NX打开，就是说堆栈不可执行。 PIE未打开，也就是说，我们在ida中国所看到的就是函数地址在运行过程中的地址。 0x10 步骤 0x11 main函数 在main函数中，我们可以发现printf函数的用法与我们平时使用C语言的习惯不同，这样的用法会给系统...
攻防世界pwn——CGfsb
qq_62076255的博客
09-08 335
攻防世界pwn——CGfsb
攻防世界pwn pwn-100
最新发布
01-18
### 关于攻防世界PWN-100题目的解答 #### 解决方案概述 对于攻防世界的PWN-100题目，通常涉及的是基础的缓冲区溢出攻击。这类题目旨在测试参赛者对Linux防护机制的理解程度以及绕过这些保护措施的能力。常见的技术包括但不限于返回导向编程（Return-Oriented Programming, ROP）、重定向到已知位置的shellcode执行(ret2shellcode)或是利用动态链接库中的函数实现系统命令调用(ret2libc)[^1]。 #### 技术细节 当面对没有启用地址空间布局随机化(ASLR)且未开启不可执行堆栈(NX bit off)的情况时，可以直接采用`ret2shellcode`的方式解决问题。此方法要求选手能够找到足够的空间放置自定义的shellcode，并通过控制EIP指向这段代码来完成最终的目标——通常是打开一个远程shell连接给攻击者[^3]。 如果遇到开启了NX位但是禁用了位置独立可执行文件(PIE)，那么可以考虑使用`ret2libc`策略。这种方法依赖于将返回地址设置为标准C库(glibc)内的某个有用功能的位置，比如system()函数，从而间接地触发所需的恶意操作而无需注入新的机器码片段。 针对具体环境下的不同情况，还需要掌握诸如IDA Pro这样的反汇编工具来进行二进制分析工作；同时熟悉GDB调试技巧以便更好地理解程序内部逻辑并定位潜在的安全漏洞所在之处。 ```python from pwn import * # 连接到远程服务 conn = remote('challenge.ctf.games', PORT) # 发送payload前先接收初始消息 print(conn.recvline()) # 构造payload offset = 64 # 假设偏移量为64字节 junk = b'A' * offset return_address = pack('<I', 0xdeadbeef) # 替换为目标地址 exploit_payload = junk + return_address # 发送payload conn.send(exploit_payload) # 接收响应数据 result = conn.recvall() print(result.decode()) ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值