笔记向——PWN jarvis oj level2

最新推荐文章于 2022-05-14 15:14:41 发布
最新推荐文章于 2022-05-14 15:14:41 发布
阅读量178 收藏
点赞数
分类专栏： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_52133692/article/details/110496605
版权
本文详细分析了Jarvis OJ中Level2的PWN题目，通过checksec工具检查了程序的保护措施，如栈保护、RELRO、NX和PIE。在IDA中发现main函数调用了可能存在栈溢出的vulnerable_function，进一步揭示了通过溢出调用system函数执行/bin/sh的思路。文章提供了EXP编写过程，并引用了相关参考资料。
摘要由CSDN通过智能技术生成

题目链接：https://dn.jarvisoj.com/challengefiles/level2.54931449c557d0551c4fc2a10f4778a1
nc pwn2.jarvisoj.com 9878

0x01分析漏洞

先查看文件类型，再运行一下文件

在这里插入图片描述

检查保护措施

在这里插入图片描述

补充：

checksec ：是用来检查可执行文件属性的。

Arch：说明这个文件的属性是什么，说明是32位的程序。

Stack：canary，这个主要是说栈保护的东西，所利用的东西就是相当于网站的cookie，linux中把这种cookie信息称为canary，所以如果开启了这个，就一般不可以执行shellcode了。

RELRO：设置符号重定向表格为只读，或在程序启动时就解析并绑定所有动态符号，从而减少对GOT（Global Offset Table）攻击。如果RELRO为” Partial RELRO”，说明我们对GOT表具有写权限。

NX（DEP

最低0.47元/天 解锁文章
空栈
关注
专栏目录
笔记向——PWN jarvis oj level0
m0_52133692的博客
11-11 188
题目下载链接：https://dn.jarvisoj.com/challengefiles/level0.b9ded3801d6dd36a97468e128b81a65d 地址：nc pwn2.jarvisoj.com 9881 本人环境： ida反汇编工具(吾爱破解可下载到) 系统Ubuntu 18.04(linux的一个版本) pwntools(终端输入:sudo pip pwntools install 即可安装) pwndbg(终端输入:sudo clone https://github.com/p
Jarvis Oj Pwn 学习笔记-level2
baoan4763的博客
05-31 159
32位构造栈参数溢出！ 恭敬地呈上链接： https://files.cnblogs.com/files/Magpie/level2.rar nc pwn2.jarvisoj.com 9878 首先....日常checksec： 程序扔进IDA锅里: 找到了溢出点~下面我们开始食用： 既然有调用system函数，肯定是可以直接call一波的，只是还缺一个参数，我...
JarvisOJ-PWN-Level2
杀生丸？不，其实我要的是桔梗
03-22 688
JarvisOJ-PWN-Level2 IDA打开，稍微分析下发现其和level1大致一样，都是利用read栈溢出。 shift+12查看字符串 看到/bin/sh 双击得到地址： 再看到这个： 那么就是要传参数到system()里了。 所以构造代码如下： # -*- coding:utf-8 -*- from pwn import * # sh = proce...
(Jarvis Oj)(Pwn) level2
Nothing
04-19 1083
(Jarvis Oj)(Pwn) level2 首先用checksec查一下保护。这次NX开启了。 用ida反汇编，找到溢出点。 这次system函数又出现了。于是想着是否可以通过控制调用system(“/bin/sh”)得到shell，将返回地址用system的地址覆盖，将传入参数设置成”/bin/sh”，用ida查找了一下字符串，刚好发现了”/bin/sh”，于是记录下地址（或者...
18.9.18 Jarvis OJ PWN----[XMAN]level2
qq_42192672的博客
09-18 219
先检测文件 我们可以看到没有栈保护，可以利用栈溢出 拖进IDA 先是一个vulnerable_function函数，同时在函数列表中我们可以看到有system函数，我们可以把returnaddress牵引到system函数上，执行/bin/sh语句 buf的偏移量是0x88个字节，花0x04个字节覆盖ebp，然后伪造returnsddress跳转到system，再加上用来给syst...
PWN_JarvisOJ_Level2_x64
michaelinfinity的博客
03-16 1434
关于level2我就不多做赘述了。这道题和level2之间的区别就是一个是32位的栈溢出，另一个就是64位的栈溢出。 32位的函数在调用栈的时候是： 调用函数地址->函数的返回地址->参数n->参数n-1....->参数1 64位的函数在调用栈的时候是： 前六个参数按照约定存储在寄存器：rdi,rsi,rdx,rcx,r8,r9中。 ...
笔记向——PWN jarvis oj level1
m0_52133692的博客
12-07 132
题目链接：https://dn.jarvisoj.com/challengefiles/level1.80eacdcd51aca92af7749d96efad7fb5 nc pwn2.jarvisoj.com 9877 0x01Linux中分析题目 首先使用file命令,文件为32位 再运行一下文件，提示输入，然后输出hello world 若出现权限不够则使用 chmod 777 文件名 ，打开文件所有权限 使用gdb工具，终端输入gdb，再输入：checksec 文件名，检查保
日行一PWN jarvisoj_level0
m0_57221101的博客
05-14 203
还是来自于BUUCTF的机器，今天的很简单，就是单纯的考察了read函数的漏洞，以及对64位寄存器的理解 开始 首先还是经典查壳和内存保护，发现啥也没有，是很简单的机器。然后IDA反编译一下，由于是64位的软件所以需要IDA64 main函数 首先可以看到主函数中知识调用了write函数，并输出了Hello， Worldn这么几个字到终端。 之后调用了vulnerable_function函数 因为反汇编并不会给出类似于write这种函数的定义， 所以需要熟悉汇编的同学自行根据效果来
Jarvis OJ level1
Kni9hT's Blog
11-08 598
要点：使用shellcraft.i386()来编写shellcode 和level0相比，本题没有system函数可以直接调用。 所以我们要发送shellcode来getshell 首先看一下开了哪些保护。(好吧，不出意料是全裸) 然后IDA里面看函数调用，main()函数先调用了vulnerable_function函数。 vulnerable_function： text:0804847B ...
18.9.19 Jarvis OJ PWN----[XMAN]level2(x64)
qq_42192672的博客
09-19 319
先checksec一下 可以栈溢出，我们可以看到文件里有system函数，有/bin/sh字符串，美滋滋 64位函数的参数传递顺序和32位不同，传参顺序：rdi，rsi，rdx，rcx，r8，r9，栈，所以要把\bin\sh的地址放到rdi里 找一下可溢出的地方，在read函数里 关键点其实就是找出rdi地址(参考大佬的教学) 指令语句：ROPgadget --binary le...
[Jarvis OJ - PWN]——[XMAN]level2
Y_peak的博客
02-01 213
[Jarvis OJ - PWN]——[XMAN]level2 题目地址：https://www.jarvisoj.com/challenges 题目： 首先，checksec一下。32位并且没有开启PIE 在IDA中查看一下。main函数里面没有我们想要的，点开vulnerable_function函数。发现read函数，第一个参数为0，代表标准输入。可以利用栈溢出。 发现里面有system函数，但是里面的参数不是我们想要的，所以我们要覆盖一下它。按shift + F12，找到/bin/sh字符串
jarvis oj level2–两种方式构造函数栈
超人学飞的日子
04-07 612
关于这个level2，在网上找到了两种解法，放在一起分析了一下。 首先查看题目基本信息： 程序开启了栈不可执行保护。 IDA查看反汇编代码： 可以看到存在栈溢出，并且程序调用了system函数。 所以我们的思路就是构造vulnerable_function()的buf变量，使得：返回地址被覆盖为system函数的地址，构造system函数的栈帧，并为system传递参数’/b...
Jarvis Oj Pwn 学习笔记-fm
baoan4763的博客
06-11 179
格式化串漏洞(32bit)： 链接领走： https://files.cnblogs.com/files/Magpie/fm.rar nc pwn2.jarvisoj.com 9895 首先验身： 看到某种奇怪的鸟类不禁慌了一哈...... 好，现在丢IDA： 先是看到了这样一个妩媚妖艳的东西...她被调用在main函数： 跟进去： 没看懂....(或许...
CTF-PWN-level2(x64)(Jarvis OJ)
SuperGate的博客
02-15 510
这道题和level2的32位版本的漏洞一样，不过32位程序函数的参数是压在栈中的，而64位程序的前6个参数是存在寄存器中的，第7个开始才压入栈中。 由于我们的目的是将system函数的参数改为/bin/sh，所以我们考虑用pop edi ret 语句将字符串赋值给edi。 同样的，程序中hint存入了/bin/sh，我们直接使用即可。 system函数的地址也很容易获得，剩下的就是pop e...
(Jarvis Oj)(Pwn) level2(x64)
Nothing
04-19 1449
(Jarvis Oj)(Pwn) level2(x64) 首先用checksec查一下保护，和level2一样。 反汇编，程序和32位的程序几乎一致。找到溢出点。 那么溢出思路也和32位的差不多，唯一不同的是，64位程序在调用system函数时，参数的传递方式和32位不一样，32位是通过栈传参，而64位通过edi寄存器传参，所以这时我们的思路变成如何覆盖edi的值，通过基本rop就可...
jarvisoj pwn level1 ——记第一次shellcode的编写
Vccxx的博客
03-19 3653
jarvisoj（https://www.jarvisoj.com/challenges ）pwn部分 level1 解题过程：在队友的指导下写了人生第一个shellcode感觉很刺激，过程中还是学到了很多东西，记录一下这个程序流程很简单，用ida分析就两个主要的函数：main：int __cdecl main(int argc, const char **argv, const char **en
Jarvis OJ [XMAN]level2(x64)
九层台
07-07 1153
liu@liu-F117-F:~/桌面/oj/level2_x64$ checksec level2_x64 [*] '/home/liu/\xe6\xa1\x8c\xe9\x9d\xa2/oj/level2_x64/level2_x64' Arch: amd64-64-little RELRO: No RELRO Stack: No canary fo...
JarvisOJ PWN level系列 wp
苗_的博客
02-09 435
菜菜的小白最近学习pwn，做了Jarvis上的一些题目进行练习，也从很多师傅的博客里学习到了很多新的知识，今天重新温习并且总结一下，以下的wp可能会比较详细，大佬可略： level0 这一题的难度还是蛮容易的，首先拖进ida里，发现有'/bin/sh/字符串和system函数，然后找溢出点，发现read函数这里发生溢出，只给了0x88的内存，但是却要读0x200个字节，必溢出： 然后构造...
jarvisoj_level1
最新发布
08-28
- *1* *3* [[BUUCTF-pwn]——jarvisoj_level1](https://blog.csdn.net/Y_peak/article/details/114916604)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值