如何从libc地址得到栈地址

最新推荐文章于 2023-05-08 20:03:52 发布
最新推荐文章于 2023-05-08 20:03:52 发布
阅读量2.2k 收藏 7
点赞数 5
分类专栏： CTF pwn 文章标签： 栈 安全漏洞 pwn2own
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chennbnbnb/article/details/104035261
版权
pwn 同时被 2 个专栏收录
10 篇文章 0 订阅
订阅专栏
CTF
7 篇文章 1 订阅
订阅专栏

  1. 在libc中保存了一个函数叫_environ，存的是当前进程的环境变量
    在这里插入图片描述
    在这里插入图片描述

  2. 得到libc地址后，libc基址+_environ的偏移量=_environ的地址
    在内存布局中，他们同属于一个段，开启ASLR之后相对位置不变，偏移量之和libc库有关

  3. 通过_environ的地址得到_environ的值，从而得到环境变量地址，环境变量保存在栈中，所以通过栈内的偏移量，可以访问栈中任意变量

例子：
2018网鼎杯-pwn-GUESS

一只狗20000402
关注
  • 5
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
深入程序编译链接和装载过程
ZY-JIMMY
12-06 4489
目录 预编译 编译 汇编 链接 深入编译链接和运行 CPU、内存 与 I/O 32位4GLinux虚拟地址空间布局 指令和数据 分析二进制可重定位目标文件main.o 的组成 强符号与弱符号 符号表 链接过程分析 可执行文件分析 run可执行文件的组成格式分析 程序的运行——进程 VP与PP 在Linux下使用GCC来编译Hello World程序时，...
linux定位so快捷方式_Linux下.so动态库被调用时，会被加载到内存的哪个位置？
weixin_39576751的博客
12-20 433
如果题主问的是物理内存的话，回答是不确定。物理内存哪里有空就加载到哪里。如果题主问的是虚拟内存的话，可以用ldd或者readelf这类命令查询。比如我随手写了一个测试程序，就用printf输出一行Hello world$ readelf -r testRelocation section '.rela.dyn' at offset 0x480 contains 8 entries:Offset ...
environ泄露栈地址+orw+uaf
FUCKING12的博客
10-08 569
这个题开了沙箱，有uaf。利用思路：借助environ泄露栈地址，利用uaf将orw写到栈地址上。首先enviro泄露的栈地址在edi函数里面是rsp所指向的地址。然后，在edit执行leave前栈已经是我们想要的结构了。正如我们所看到了payload3那样。然后接下来就是ret到orw处。
CTF权威指南 笔记 -第四章Linux安全机制-4.1-Linux基础
m0_64180167的博客
05-08 617
这里给出linux常用命令。
_environ与ssp攻击
N1rvana的博客
02-21 1078
_environ 在Linux C中，environ是一个全局变量，它储存着系统的环境变量。 它储存在libc中 因此environ是沟通libc地址与栈地址的桥梁。 如图：即为一个程序中environ的具体信息： environ利用 通过libc找到environ地址后，泄露environ地址处的值，可以得到环境变量地址，环境变量保存在栈中，通过偏移可以得到栈上任意变量的地址。 ssp攻击 canary的各种利用方式中，有一种是通过 __stack_chk_fail函数打印报错信息来实现。 __stac
libc-2.24源代码
02-06
libc-2.24源代码
libc.so.6 libc.so.6
05-31
libc.so.6
libc_libc_zip_源码
10-04
glibc GNU c.Description
musl libc 源码实现
最新发布
02-22
musl libc 是一个轻量级的 C 标准库实现，与其他 C 标准库有着一些显著的区别和特点。 它非常适合用于嵌入式系统的开发。嵌入式系统通常对资源消耗有较高要求，而 musl libc 的小体积和高效性使得它成为开发嵌入式...
Open BSD libc 源码
02-22
OpenBSD libc 是 OpenBSD 操作系统自带的 C 标准库实现，它与其他 C 标准库有着一些显著的区别和特点，下面是一些主要的特点： 安全性优先：OpenBSD libc 重视系统安全和可靠性，将其作为设计的首要目标。libc 的...
ciscn 2022 华东北分区赛pwn blue
z1r0的博客
07-02 751
开了沙盒 最简单的解法还是借助environ来控制ret地址，然后将ret改成orw链即可。这一题的关键点在于怎么泄露出environ里面的栈地址，因为show功能只能使用一次。 这一题的漏洞点是一次性的uaf漏洞，在666功能下 我们首先先借助这一次性的uaf泄露出libc。还是填满tcache，只不过下一个进unsorted bin的时候利用666这个uaf功能。 接下来思考一下如何泄露出environ里面的值，show是一次性的已经用不了。仔细思考一下不难想出利用stdout来泄露，将flags
通过给的libc泄露函数地址
zszcr的博客
03-22 5466
libc中的函数相对于libc的基地址的偏移都是确定的，如果有一道题给你了libc的文件，就可以通过libc文件泄露出system函数和binsh的地址，然后再构造payload。一般通过write（）函数泄露 ，通过ELF获得write函数在got表和plt表中的地址同时获得程序start地址 构造payload payload 一般是填充字符（栈的大小）+ ‘aaaa’（覆盖EBP）+  p3...
environ是在哪儿里定义的？
tom601的专栏
04-10 701
environ变量定义为全局变量，位于glibc源代码posix/environ.c中。 为什么不在头文件中定义？据说是由于历史演习，历史的源头在哪儿还未查知。 参考文献：  [1]      http://stackoverflow.com/questions/10649273/where-is-the-definition-of-extern-char-environ
[BUUCTF-pwn]——wdb2018_guess (environ环境变量)
Y_peak的博客
04-06 1317
[BUUCTF-pwn]——wdb2018_guess 这个漏洞叫什么来着, 好像是stack smash, 具体就是主动触发canary保护来达到自己的目的. 这道题最后我也有一个小疑问, 这个程序为什么会莫名其妙执行三次. 嘶!!! 一个常见的保护开启NX canary RELRO 在IDA中看看, 那个buf就是我们要的flag 先主动触发一下canary看看会发送什么. 输出的是argv[0], 同时程序会再次执行,发现会重复执行三次. 思路 思路来了 利用主动触发canary保护, 调用**
CTF泄漏libc基址的方法
liucc09的博客
01-05 3902
泄漏libc 重点： glibc 的后三位是固定的 main_arena泄漏法 main_arena存储在libc.so.6文件的.data段，通过这个偏移我们就可以获取libc的基址，使用IDA打开libc文件，然后搜索函数malloc_trim() [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-a8DgTYcd-1609837106507)(D:\04_笔记\images\main_arena.png)] [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接
libc泄露以及偏移
RKAnjia的博客
03-23 642
payload 一般是填充字符（栈的大小）+ ‘aaaa’（覆盖EBP）+ p32(write_plt) + p32(start)(返回地址） + p32(1)+ p32(write_got)+p32(4) 后面三个是write函数的参数 write(1,‘write_got’,4) 4代表输出4个字节，write_got则为要泄露的地址 write函数原型是write(fd, addr, len)，即将addr作为起始地址，读取len字节的数据到文件流fd（0表示标准输入流stdin、1表示标准输出流s
pointer 获取内存地址_CTF必备技能丨Linux Pwn入门教程——利用漏洞获取libc
weixin_39614834的博客
11-23 228
Linux Pwn入门教程系列分享如约而至，本套课程是作者依据i春秋Pwn入门课程中的技术分类，并结合近几年赛事中出现的题目和文章整理出一份相对完整的Linux Pwn教程。教程仅针对i386/amd64下的Linux Pwn常见的Pwn手法，如栈，堆，整数溢出，格式化字符串，条件竞争等进行介绍，所有环境都会封装在Docker镜像当中，并提供调试用的教学程序，来自历年赛事的原题和带有注释的pyth...
2021第十四届全国大学生信息安全竞赛WP（CISCN）-- pwn部分
热门推荐
lifanxin的博客
05-17 1万+
CISCN_2021_WP概述ciscn_2021_lonelywolf总结 概述   作为学习不到一年的练习生，今年第一次参加国赛，本以为题目会比较温柔，但是最后只做出了一道pwn题，本来还有两道pwn题是有机会的，但还是缺少一些知识或者技巧吧，没做出来，然后就结束了。本次国赛pwn题出了一道arm 64位结构的，其余都是正常的linux下pwn题，使用libc-2.27.so，有一道考了沙箱机制。 ciscn_2021_lonelywolf   ciscn_2021_lonelywolf   libc-
已知libc地址爆破TLS、ld.so等地址
seaaseesa的博客
07-01 1035
已知libc地址爆破TLS、ld.so等地址 在大多数情况下，远程的ld.so以及TLS等结构的地址与libc地址之间的偏移与本地的会不一样，但是大致处于一个范围内，并且，在同一个系统里，这个差值是固定的，其差值的变化往往在偏移的第1.5BYTE~2.5BYTE的位置，即地址十六进制的第4、5个数，因此我们只需爆破2个十六进制数即可。 以列题来说明 BCTF_2018_bugstore 在函数中有栈溢出，但是有canary保护 我们来看看输入函数，输入函数遇到\0就结束了输入，而我们知道can
如何泄露libc真实地址
05-24
通过这种方式，可以读取到存储在栈上的libc的某些函数地址，从而计算出libc的基址。 对于堆溢出漏洞，可以通过覆盖堆块的大小和指针来实现。通过覆盖堆块的大小，可以控制下一个堆块的起始地址，从而将指向libc的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值