pwn(7.3)

最新推荐文章于 2024-03-12 21:30:23 发布
最新推荐文章于 2024-03-12 21:30:23 发布
阅读量235 收藏
点赞数
分类专栏： pwn 文章标签： 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_72827793/article/details/131524241
版权
文章介绍了通过nc连接服务器，利用Linux命令查找信息，并探讨了栈溢出漏洞的利用，包括ret2txt和ret2libc两种方法。在ret2txt中，通过栈溢出改变EIP返回地址实现目标功能。在ret2libc场景下，寻找System函数并尝试替换执行命令。此外，文章还提到了整数溢出的概念，如何利用负数导致的地址误解来触发安全问题。
摘要由CSDN通过智能技术生成

Nc

通过nc，我们可以链接到对方的服务器
在这里插入图片描述
再用过Linux的命令可以查找到我们想要的信息

Ret2txt

先查壳
在这里插入图片描述
没开任何保护，拿IDA看看
在这里插入图片描述
很明显的栈溢出，看到/bin/sh地址
解释，通过汇编语言我们知道调用函数使用call命名，call执行时，会将此时eip的值用push ebp或者rbp进行入栈，最后ret命令做一个返回，会返回到之前主程序运行的地方，那么栈的溢出，就是通过栈溢出后将函数返回的地址改成我们想要的函数
在这里插入图片描述
写exp
在这里插入图片描述
在这里插入图片描述
最后成功拿到flag

Ret2libc_easy

前面的操作和Ret2txt一样，nc，查壳
这里我们直接看IDA
在这里插入图片描述
我们的思路还是找/bin/sh
用shift+F12找一下看看有没
在这里插入图片描述

但是奇怪的是我们发现
在这里插入图片描述
System函数执行的不是/bin/sh
那解决问题，我们想着能否把whoami替换掉呢？
在这里插入图片描述
利用此命令，我们可以把栈上存储的数据存入寄存器中
在这里插入图片描述
然后执行system函数
那么直接写脚本
这里要理解，ret直接返回到了pop rdi ret 命令这里
然后再ret执行的sysytem函数
在这里插入图片描述
在这里插入图片描述

整数溢出

计算机中存在有符号和无符号数的存在，当一个数本来是无符号数而被传如有符号数，计算机会将符号也看成数，从而当成地址例如-1 会被识别为无符号的数据 所以-作为标识符会被认为是数据1 0001
看IDA
在这里插入图片描述
Read函数便是这样
同时我们看到bin/sh的地址
在这里插入图片描述
最后读的是无符号数，那如果我们，发送负数过去，造成整数溢出
脚本
在这里插入图片描述
在这里插入图片描述

Back～～
关注
专栏目录
GKCTF2020_web
ChenZIDu的博客
05-25 751
不完整，先把打出来的题目写一下，再写复现的好了 CheckIN 源码 <title>Check_In</title> <?php highlight_file(__FILE__); class ClassName { public $code = null; public $decode = null; function __construct() { $this->cod
ptmalloc堆实现
MillionSky的专栏
05-10 1248
1 概述在 glibc-2.3.x. 之后，glibc 中集成了ptmalloc2。 可以下载glibc源码查看ptmallochttp://ftp.gnu.org/gnu/glibc/ 查看glibc版本millionsky@ubuntu-16:~/tmp$ ldd --versionldd (Ubuntu GLIBC 2.23-0ubuntu9) 2.23 这里主要参考：https://ctf...
攻防世界-whoami-栈迁移-ROP
aptx4869_li的博客
12-25 1006
攻防世界-whoami-栈迁移-ROP
pwn 例题level2解析
m0_67423114的博客
04-26 483
下面就是寻找bin/sh了，由于题目较为基础，我们甚至能够直接在源代码中找到/bin/sh，利用它和main函数已存在的system函数，即可凑齐构造payload的全部材料。看开头英文变量以及观察末尾，可知Frame Size大小为0x88，Saved regs大小为0x04，即需要写0x88+0x04个填充后才能到达返回地址。可以看到存在一个缓冲区buf，并且大小为0x88，并且该函数返回了一个read函数，大小为0x100u，双击&buf变量具体查看。通过这种套路，确实获得了/bin/sh的地址！
new-easy（pwn)
最新发布
m0_72827793的博客
03-12 1371
由于栈溢出攻击的主要目标通过溢出覆盖函数栈高位的返回地址，因此其思路是在函数开始执行前，即在返回地地址前写入一个字长的随机数据，在函数返回前校验该值是否被改变，如果被改变，则认为是发生了栈溢出。与ASLR保护十分类似，PIE保护的目的是让可执行程序ELF的地址进行随机化加载，从而使得程序的内存结构对攻击者完全未知，进一步提高程序的安全性。ASLR的目的是将程序的堆栈地址和动态链接库的加载地址进行一定的随机化，这些地址之间是不可读写执行的为映射内存，降低攻击者对程序内存结构的了解。
linux栈溢出漏洞,PWN简单栈溢出漏洞获取shell | kTWO-个人博客
weixin_39611389的博客
05-16 930
摘要本文讲述的是PWN中利用溢出漏洞来执行shell命令的方法教程，本文将以简单的小程序来作为演示，从分析程序到编写payload加以利用，其中还含有二进制程序的保护机制简介。0x01 前言经过前面的几篇文章我们大概以及了解了基本的栈溢出漏洞的利用方式，那今天就来个进阶版。有时候我们在打CTF的时候需要的是获取系统shell，然后通过shell去拿到flag，那么我们该怎么通过溢出漏洞来拿到服务器...
第一解出的pwn题
weixin_30485799的博客
10-27 224
虽然题目不难，但是 是我第一次做出的pwn题，得写下。 __int64 sub_4007E6() { char s1; // [sp+0h] [bp-30h]@1 memset(&s1, 0, 0x30uLL); puts("Input your Name:"); gets(&s1); if ( strcmp(&s1, "root"...
Buuctf-Reverse(逆向) [RoarCTF2019]Polyre && SangFor(深育杯)-Reverse(逆向) XOR_Exercise Write up
weixin_50166464的博客
11-30 828
前言：看完这篇需要些耐心，可能会遇到很多报错什么，多查就能解决，题目只是个形式，每题带给我们的是其中的知识点，题目做不出来没关系，学习到平坦化控制流或是能写idapython都是自己的收获。 文章参考： [RoarCTF2019]polyre_m0_46296905的博客-CSDN博客 [RoarCTF2019]Polyre | bypass ollvm - 暖暖草果 - 博客园 https://www.cnblogs.com/Mayflynymph/p/11718845.html#3.%E4%BB
linux下php中的disable_function的几种绕过方式
jia3643的博客
02-06 1771
php disabled_function 写入shell之后，经常会遇到disabled_function禁用了关键函数，想总结一下绕过方式(网安新手，不全或者错误之处希望大佬们多多指教） 有些时候可能不能用了，但是大部分情况下可以使用 常见危险函数如下，如果没有完全禁用可以尝试利用未被禁用的函数 system,shell_exec,passthru,exec,popen,proc_open,p...
第二周任务[GKCTF2020]
Lumos427的博客
03-26 628
[GKCTF2020]cve版签到 刚看是啥也不会，去百度了一下这题，发现这是一个ssrf漏洞（服务端请求伪造） 下面是在网上找到的介绍 漏洞详情 PHP（PHP：Hypertext Preprocessor，PHP：超文本预处理器）是PHPGroup和开放源代码社区的共同维护的一种开源的通用计算机脚本语言。该语言主要用于Web开发，支持多种数据库及操作系统。 PHP 7.2.29之前的7.2.x版本、7.3.16之前的7.3.x版本和7.4.4之前的7.4.x版本中的‘get_headers()’函数存
pwn--栈迁移
weixin_44642009的博客
04-17 1000
栈迁移–ROP 本次实验我们使用lab4的可执行文件。 在开始之前我们需要明确一些问题以及需要注意的地方，以下我会讲到，这也是在实验过程中我碰到的一些情况和解题关键： 为什么使用栈迁移？ 由上图可知，程序开辟的堆栈大小是0x50字节，而read函数输入可以输入0x60字节，明显存在栈溢出的可能，不过可输入的字节数不是足够多，空间较小，不足以使我们填入足够的ROP链，所以我们需要栈迁移。 ...
linux内核pwn,Pwn In Kernel（一）：基础知识
weixin_39772566的博客
04-29 503
Kernel Pwn In CTF简单分析一下 CTF Kernel Pwn 题目的形式，以 2017 CISCN babydrive 为例。先对文件包解压➜ example lsbabydriver.tar➜ example file babydriver.tarbabydriver.tar: POSIX tar archive➜ example tar -xvf babydriver.t...
pwn10详细过程
weixin_42072280的博客
05-21 1620
题目均为linux 32系统静态链接编译程序，关闭栈执行保护 要求： 1.需在Linux系统下安装pwntools。 2、编写python脚本，基于pwntool在本地加载目标测试程序， 通过脚本给程序灌入输入数据，构造的输入数据需绕过程序各种校验条件，达到漏洞触发路径，最后构造能够利用漏洞的样本。 题目中说了是32位系统的程...
kernel pwn入门
Peanuts
05-09 2746
kernel入门 自己的环境是16.04，出入kernel记录下，大佬勿喷。。 环境编译 下载kernel源代码：https://www.kernel.org/ 按照必要的依赖 sudo apt-get update sudo apt-get install build-essential libncurses5-dev 编译kernel源码 make menuconfig #遵循sakura...
二进制安全：PWN：pwntools工具的用法
「鸿渐之翼」的博客
04-17 1492
pwntools是一个CTF框架和开发库。它是用Python编写的，是为快速原型设计和开发而设计的，旨在使利用漏洞的编写尽可能简单。 from pwn import This imports a lot of functionality into the global namespace. You can now assemble, disassemble, pack, unpack, and many other things with a single function. A full list of
buuctf pwn刷题（1）
清霂的博客
01-30 1189
目录1.test_your_nc2.pwn13.warmup_csaw_2016 1.test_your_nc 先用exeinfo查壳，是64位的程序 用64位ida静态分析一下，找到main函数 F5反汇编，看到system("/bin/sh") system()的作用———执行shell命令也就是向dos发送一条指令。 即执行/bin/sh命令，获得shell权限 用虚拟机连node3.buuoj.cn:27191 nc node3.buuoj.cn 27191 查看文件目录 ls 查看flag
攻防世界新手pwn题writeup
thinker11的博客
01-28 1589
level2 1.查壳 2.IDA分析 进入vulnerable_function函数 读入的值明显大于buf自身的大小 又有system函数，就差/bin/sh了 接下来我们 SHIFT+F12 双击system函数，得到地址 0x8048320 双击binsh，得到地址 0x0804a024 双击buf,得到buf到返回地址的偏移 0x88+4=140 3.EXP from pwn ...
Pwn学习历程（1）--基本工具、交互、调试
热门推荐
Aka丶的博客
12-02 5万+
1、 从基础开始1.1 简单原理介绍以下内容摘自Wiki: 　　Pwn是一个骇客语法的俚语词，自”own”这个字引申出来的，这个词的含意在于，玩家在整个游戏对战中处在胜利的优势，或是说明竞争对手处在完全惨败的情形下，这个词习惯上在网络游戏文化主要用于嘲笑竞争对手在整个游戏对战中已经完全被击败（例如：”You just got pwned!”）。 　　在骇客行话里，尤其在另外一种电脑技术方面，包
Pwn笔记
caterpillarous的博客
04-18 2651
Pwn笔记 -前言 以下内容摘自Wiki: Pwn是一个骇客语法的俚语词，自”own”这个字引申出来的，这个词的含意在于，玩家在整个游戏对战中处在胜利的优势，或是说明竞争对手处在完全惨败的情形下，这个词习惯上在网络游戏文化主要用于嘲笑竞争对手在整个游戏对战中已经完全被击败（例如：”You just got pwned!”）。 在骇客行话里，尤其在另外一种电脑技术方面，包括电脑（服务器或...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Back～～

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值