ret2libc3

最新推荐文章于 2024-10-04 22:28:53 发布
最新推荐文章于 2024-10-04 22:28:53 发布
阅读量425 收藏 1
点赞数 1
分类专栏： CTF-PWN-刷题-XMCVE培训课
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_49959202/article/details/119462626
版权
这篇博客详细分析了一个32位程序，该程序没有开启PIE，可以通过See_something()泄露信息，并利用Print_message()实现栈溢出。由于没有system()但存在puts()，博主计划通过puts()在got表的偏移获取libc基址，然后找到system()在libc中的地址执行shell。文章还介绍了栈帧设计和exploit编写思路。
摘要由CSDN通过智能技术生成

文章目录

ret2libc3

当前的ret2libc3：无system，无”\bin\sh“

1.程序分析

首先file一下，发现是32位程序：

checksec一下，发现没有开启pie

ida分析程序：

发现有个See_something()函数可以用来泄露具体给定地址内的信息：

main函数内还有个Print_message()，可以用来栈溢出：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-SKJoX7KX-1628251421729)(https://i.loli.net/2021/07/08/w6RqoE4YJunK8F2.png)]

同时，分析程序没有发现system()函数，但是存在puts()函数。

使用string检测字符串，发现"sh"字符串：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-soj1Cm7a-1628251421731)(https://i.loli.net/2021/07/08/dbyWfwPK8QHcEYk.png)]

同时，本题给定一个.so文件。

因此得到思路：可以借助puts()函数在got表和libc内的位置，得到偏移量，那么只需要得到system()函数在libc内的位置，加上偏移量就能够得到system()在程序加载后的真实位置。

2.栈帧设计

如果已经知道system()函数的位置，栈帧设计如下：

3.exp编写

按照上述思路，得到exp如下：

from
最低0.47元/天 解锁文章
「已注销」
关注
专栏目录
从零开始学逆向：理解ret2libc-3
weixin_44626085的博客
02-20 1536
题目下载链接：https://pan.baidu.com/s/1wk3JFQBHgVZ0vjfnQk60Ug 提取码：0000。
ROP-基础-ret2libc3
ATFWUS的博客
02-29 2172
文件下载地址： 链接：https://pan.baidu.com/s/1IMZt9WIlXDZBX2J-hoCyNA 提取码：jrsx 0x01.分析 checksec: Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enab...
栈溢出入门0x07 ret2libc3&Hijack GOT
最新发布
砖家
10-04 923
使用patchelf保证ret2libc3的实验结果一致性，先泄露函数地址后得到libc版本和加载基地址之后计算出system和/bin/sh的真实加载地址，从而getshell
Wiki-ret2libc3
TedLau的博客
03-20 562
0x 00 前言 因为libc3里面没有自带的system函数，我的水平又比较低，之前的kali里面没有更新libc-database，导致以为是自己的kali系统的问题，所以一直就没有学这方面的内容，这次更新了ubuntu中的libc-database，从而使得这方面的题目可以正常运行了，所以就来学习了，我觉得正常的比赛中也是不常有带有system函数的，故打算写出来以加深印象。这周再学习...
Bamboofox ret2libc3
weixin_55013445的博客
09-26 126
Bamboofox ret2libc3解题过程
pwn ——ret2libc3
qq_41696518的博客
07-06 881
ret2libc3
ret2libc3地址泄露--pwn
weixin_44642009的博客
03-17 2820
练习三–ret2libc3地址泄露 在此实验前，我们从简到难实验了ret2libc1，ret2libc2两个实验，对getshell有了一定了解，基本学会了如何在有无system及/bin/sh函数的情况下获取权限，在此以实验二的名为pwn的可执行文件为入手点，进行getshell。 首先，对ret2libc3可执行文件进行检测， checksec ret2libc3 结果如图： 发现其不存...
2019.7.25 ret2libc3 填充从112遍为104
DSR446的博客
08-17 504
这道题目存在栈溢出，没有system函数，/bin/sh，需要我们自己泄露，解题思路跟前一篇博客的思路是一样的。讲一下怎么用libc的相对路径。 着重讲一下为什么开始的填充是112，后面填充变为了104。主要是程序为了对齐。我们可以用gdb来调试一下，来看看他变化的过程。 变化前： 变化后： 放exp： ...
实验三——ret2libc3地址泄露
wwh的博客
04-22 1981
用【checksec】查看：不存在必要的保护 查看got表信息：【readelf -r ret2libc3】 所以我决定用泄露 __libc_strart_main 的地址，来判定libc的版本 这里插入代码 from pwn import * from LibcSearcher import * context.log_level='debug' context.terminal=['gn...
基本ROP之ret2libc3
至臻求学，胸怀云月
02-15 5632
ret2libc思路 ret2libc就是控制函数的执行libc中的函数，通常是返回至某个函数的 plt 处或者函数的具体位置 (即函数对应的 got 表项的内容)。一般情况下，我们会选择执行 system("/bin/sh")，因此我们通常需要找到 system 函数的地址。 ret2libc通常可以分为下面这几类： 程序中自身就含有system函数和"/bin/sh"字符串 程序中自身就有s...
【pwn】基础ROP攻击实战：ret2libc3
ethan18的博客
07-10 444
这里用来记录一下关于PWN中ROP攻击的各种过程和经验ROP攻击是针对那些使用了NX防护的程序，开启NX防护的程序使得栈以及堆上的代码没有办法被执行，导致不能单独将函数栈中的返回地址修改到函数帧中。ROP主要思想是在栈缓冲区溢出的基础上，利用程序中已有的小片段 (gadgets) 来改变某些寄存器或者变量的值，从而控制程序的执行流程。讲起来还是很抽象，我的理解就是利用了函数帧中的返回地址，以及具有gadgets（也就是带着ret指令的一段汇编语句）都算是ROP攻击。这里我挑一个最经典的ROP作为实战。
pwn学习-ret2libc3
Sa1nZen的博客
06-30 529
pwn学习-ret2libc3
好好说话之ret2libc3
hollk’s blog
06-22 1529
题目路径： /ctf-challenges/pwn/stackoverflow/ret2libc/ret2libc3 看一下C代码 #include <stdio.h> #include <stdlib.h> #include <time.h> char buf2[100]; void secure(void) { int secretcode, in...
栈溢出实例--笔记三（ret2libc）
一只青木呀
08-07 1460
栈溢出实例--笔记三（ret2libc）1、栈溢出含义及栈结构2、ret2libc基本思路3、实战3.1、二进制程序如下3.2、查看栈结构3.3、第一次栈溢出3.4、第二次栈溢出 1、栈溢出含义及栈结构 请参考栈溢出实例–笔记一（ret2text) 栈溢出实例–笔记二（ret2shellcode） 2、ret2libc基本思路 在当一个程序开启了NX（栈不可执行）的时候，我们没办法去写shellcode，而且程序中也没有system函数供我们调用的时候，那此时我们该如何做呢？ 首先，程序本身没有system
Pwn学习-ret2libc三联
cdl10000的博客
11-05 227
正常请求ebp要ret至main函数，因此把此间的变量覆盖成其他的函数地址。此处调试过程需要注意，输入的位置是gets函数，要继续调试至main函数再查看stack，计算此时的偏移量，偏移量为112。此题目与上一题最大的区别就是没有/bin/sh，那么结合攻击思路，需要写一个/bin/sh进去执行。调试过程中有坑，需要一个地址能够写进程序，使用IDA调试，发现buf2函数可以写入。继续跟进调试，直至ret至下个main函数，再查看stack。思路一样，减少找函数的过程，提升解题效率。
Ret2libc
iextract的博客
04-24 679
昨晚同学问了关于ret2libc时参数布置的问题，今天在此记录 假设熟悉stack overflow Ps：ret2libc是为了对抗DEP/NX产生 栈的布置在说明ret2libc之前，栈的布置需要提前说明一下，以以下简单代码为例#include <stdio.h>int trap(int x) { int y=0; y+=x; return y; }int m
pwn基础之ctfwiki-栈溢出-基础ROP-ret2libc-3
qq_52658640的博客
04-23 1399
文章目录基础知识libc泄露原理利用方法ret2libc3挖掘漏洞利用漏洞利用脚本 基础知识 libc泄露 原理 当有一道题给了可执行文件文件，在ida分析中并不能找到system函数和binsh地址，这时我们就可以利用在栈溢出之前执行过的函数泄露libc的版本。因为libc函数相对于libc的基地址都是确定的，采用 got 表泄露，即输出某个函数对应的 got 表项的内容,所以就可以通过上述方法来获取libc函数中的system地址和字符binsh的地址。 system 函数属于 libc，而 libc
适合新手的ret2libc3之路
Vicl1fe的博客
05-29 3994
rop之libc3 做了一下这道题，感觉收获蛮大，写一篇博客，也方便自己记忆。 题目链接：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/stackoverflow/basic-rop/#3 参考链接：https://www.jianshu.com/p/5525dde00053 好了回归正题，首先拿到这个题目，ida打开按f5查看伪代码，看到了高危函数...
ROP；Ret2libc应用详解；CTF-pwn writeup；pwntools,one_gadget应用
CHERRY_cong的博客
05-01 689
ROP;Ret2libc; CTF-pwn题writeup；pwntools,one_gadget解题 pwn1 逆向代码 // IDA 7.5 int __cdecl main(int argc, const char **argv, const char **envp) { char buf[48]; // [rsp+0h] [rbp-30h] BYREF init(); puts("Show me your code :D"); gets(buf, argv); return 0
深入理解ret2libc攻击：无壳代码控制
在IT安全领域，"Performing a ret2libc Attack-InVoLuNTaRy" 是一篇关于高级攻击技术的教程，主要讲解如何利用ret2libc（Return to Library Call）漏洞进行攻击。ret2libc是一种针对栈溢出漏洞的利用方法，它让攻击...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值