攻防世界-pwn pwn-100(ROP)

最新推荐文章于 2022-04-09 15:42:45 发布
最新推荐文章于 2022-04-09 15:42:45 发布
阅读量2.9k 收藏 7
点赞数 4
分类专栏： ctf_pwn 文章标签： rop x64
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qinying001/article/details/102922215
版权

此题是LCTF 2016年的pwn100
参考文章：https://bbs.ichunqiu.com/forum.php?mod=viewthread&tid=42933&ctid=157

0x01 文件分析

在这里插入图片描述

  • 64位elf
  • 无stack
  • 无PIE
     

0x02 运行分析

在这里插入图片描述
 看起来像一个无限循环，不断接收输入。
 

0x03 静态分析

main:
在这里插入图片描述
sub_40068E:
在这里插入图片描述
sub_40063D:
在这里插入图片描述
 整个程序由3个嵌套的程序组成，我们可以看到sub_40063D是主要的程序，接受单个字符并存储到传入的参数a1所指向的空间之内，同时分析sub_40068E发现sub_40063D中a1就是sub_40068E中的v1，并且v1的栈空间大小就只有0x40，而sub_40063D接受的输入量有0x200个字节，这样就存在栈溢出漏洞了。
 通过查找字符串和函数，没有发现可以用来直接ROP的函数，并且没有libc的信息。走到这一步就遇到了难点。

在这里插入图片描述
 之后，通过分析函数列表，里面有puts这个库函数，联系pwntools中的DynELF，我们可以将libc的地址泄露出来，再来构造ROP。
 

0x04 思路分析

 没有libc和可利用后门，但不代表程序就是不能攻破的，在这里需要注意的是x86和x64的函数调用传递参数的方式是不一样的，我就是在这个地方卡了许久。
 x86中，函数调用是直接将参数压栈，需要用的时候直接将参数放在栈上，调用的函数就能直接取得参数并运算。如图：
在这里插入图片描述
调用read函数的时候，参数直接放入栈中，但是x64的程序不一样，x64的gcc优化了x86的传参方式，x64程序设立了几个寄存器李存放参数，调用函数的时候先向寄存器之中放参数，当参数的数量大于寄存器的时候，才会向栈中放参数。
在这里插入图片描述
这是本题中的sub_40068E函数，可以看到其参数是放在rdi和esi两个寄存器之中的，这就是两种结构的不一样，如果要在x64的程序之中构造rop，我们就必须向寄存器存放参数。
举个例子：

fun(1,2,3,4,5,6,7,8,9
最低0.47元/天 解锁文章
影子019
关注
  • 4
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
攻防世界--- PWN学习笔记
m0_62879498的博客
12-03 422
PWN学习笔记 一，栈介绍 栈：栈是一种计算机系统中的数据结构，它按照先进后出的原则存储数据，先进入的数据被压入栈底，最后的数据在栈顶，需要读数据的时候从栈顶开始弹出数据（最后一个数据被第一个读出来），是一种特殊的线性表。栈的操作常用的有进栈（PUSH），出栈（POP），还有常用的标识栈顶和栈底。 进栈（PUSH）：将一个数据放入栈里叫进栈（PUSH） 出栈（POP）：将一个数据从栈里取出叫出栈（POP） 栈顶：常用寄存器ESP，ESP是栈指针寄存器，其内存放着一个指针，该指针永远指向系统栈最上面
【介绍下Pwn，什么是Pwn?】
最新发布
2301_81357485的博客
07-02 432
通常指的是通过不同的攻击手段如利用漏洞、进行社会工程学攻击等方法成功地获得了一个设备、系统或网络的未授权控制权，一旦攻击者。是一个俚语，起源于电子游戏社区，经常在英语中用作网络或电子游戏文化中的一个术语，最初，这个词是。一个系统，他们就可以执行各种恶意活动，如窃取数据、安装恶意软件、或者制造更广泛的破坏。任务经常涉及在一个受限制的环境中寻找和利用漏洞来访问受保护的资源或系统。这个词的意义被扩展到其他领域，尤其是计算机安全，在网络安全语境中，另一个玩家，那通常意味着他们在竞技中显著地优于对手。
攻防世界-pwn1-Writeup
SkYe's Blog
05-13 407
pwn1 考点：栈溢出，canary绕过 基本情况 程序实现功能是往栈上读写数据。 保护措施 Arch: amd64-64-little RELRO: Full RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x400000) 栈溢出 ...... while ( 1 ) { menu(); v3 = my_input(); switch ( v3 ) {
攻防世界 - pwn100 - WriteUp
哒君的博客
06-11 4099
pwn100 文件链接 -> Github checksec 寻找漏洞 sub_40063D 函数中获取输入存放到 v1 ，存在栈溢出漏洞 攻击思路 该程序中没用system函数，也没有binsh字符串，而且参数是经过寄存器传递的，所以要通过ROP来达成泄露 libc ，写入 /bin/sh 的操作 寄存器 rdi 中存放的是写入的地址，rsi 是写入的字节数，所以可以通过 po...
攻防世界-pwn-100-Writeup
SkYe's Blog
05-15 389
pwn-100 [collapse title=“展开查看详情” status=“false”] 考点：栈溢出、ROP 这个栈溢出每次固定要求输入 200 个字符，也没有别的了。 ROP 操作也不需要往 bss 写入 /bin/sh ，直接在 libc 找一个就好了。（看到网上有这样的操作orz） #encoding:utf-8 from pwn import * context.log_level = 'debug' context(os='linux',arch='amd64') p = remot
攻防世界-PWN-Challenge-Wirteup
07-29 817
目录 dice_game 反应釜开关控制 dice_game 这个提跟新手区一个题很像，都是利用溢出覆盖随机数的种子，使得随机数产生的序列固定，在本地产生序列后脚本提交就可以了 ida查看程序 栈信息： 将seed覆盖为全0，使用c在kali中跑一下： #include <stdlib.h> #include <stdio.h> int main() { srand(0); for(int i = 0; i < 50; i++) { i.
攻防世界 Pwn pwn-100
MrTreebook的博客
12-12 603
攻防世界 Pwn pwn-1001.题目下载地址2.checksec3.IDA分析4.exp 1.题目下载地址 点击下载 2.checksec 64位程序，目前还什么都看不出看来，直接拉近IDA看看 3.IDA分析 整个程序由3个嵌套的程序组成 我们可以看到sub_40063D是主要的程序，接受单个字符并存储到传入的参数a1所指向的空间之内 同时分析sub_40068E发现sub_40063D中a1就是sub_40068E中的v1 并且v1的栈空间大小就只有0x40，而sub_4006
PWN-整型溢出-攻防世界-PWN-int_overflow
安全知识学习-该平台为唯一原作者平台，其他平台属冒名顶替，请勿相信上当受骗
09-24 1915
目录 整型溢出漏洞是什么 攻防世界-PWN-int_overflow exp 整型溢出漏洞是什么 整型是一个特定的变量类型，在32位的系统中，一个整数一般占32位，而在64位的系统中一个整数占64位，（下面主要介绍32位整型溢出）为了表示正负（有符号），需要最高位来决定数值的，下面列举一些常见的整型的数值范围 在c语言中有这样的规定： 对于unsigned整型的溢出，溢出之后的数会和2^(8*字节)作模运算，例如一个unsigned char 溢出了，就会把溢出的数值与256求模 .
攻防世界-pwn stack2(ROP)
菜的只能随便写写博客
10-28 1934
0x01 文件分析 32位elf 无PIE   0x02 运行分析  程序的功能主要有四个，在输入前面两个初始化的变量值之后，就可以看到后面的几个功能。   0x03 IDA分析 //IDA 静态分析得出的代码： int __cdecl main(int argc, const char **argv, const char **envp) { int v3; // eax uns...
攻防世界(pwn篇)---CGfsb
飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘
04-09 1600
攻防世界(pwn篇)—CGfsb 文章目录攻防世界(pwn篇)---CGfsb题目描述基本情况分析运行分析IDA 分析格式化字符串漏洞分析出payload找一下 s 的偏移量再看一看 pwnme 的地址exp 题目描述 菜鸡面对着pringf发愁，他不知道prinf除了输出还有什么作用 基本情况分析 checksec命令可以查看可执行文件开启的保护 1.RELRO: RELRP会有Pratial RELRO 和FULL RELRO，如果开启FULL RELRO，意味着我们无法修改got表 2.S
Wi-PWN_8.0_ENGLISH.bin
08-25
ESP8266的WIFI杀手固件，这是不带显示的。 我后续更新带OLED显示的固件。教程后将更新。
Wi-PWN_8.0_ENGLISH_OLED.bin
08-25
这是ESP8266的带OLED显示的WIFI杀手固件。
CSAWCTF-2018-pwn-shellcode|CSAWCTF-2018-pwn-shellcode
12-10
CSAWCTF 2018年pwn题 shellcode 变形shellcode练手题目，该题目主要是利用三个节点来注入shellcode，考验解题人对shellcode的熟悉程度。题解：https://blog.csdn.net/A951860555/article/details/110350773
mqtt-pwn:MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式服务
05-02
MQTT-PWN MQTT是一种机器对机器的连接协议，被设计为一种极其轻量级的发布/订阅消息传递，并已被全球数百万个IoT设备广泛使用。 MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式商店，因为它结合了枚举...
ctf题库ctf-pwn赛题收集
03-31
ctf题库 CTF(夺旗赛)题库是一个由安全专家和爱好者们制作的一系列网络安全挑战。... ...每个类别都包含多个挑战，每个挑战都有一个或多个标志(flag)。参赛者必须通过解决每个挑战来获取相应的标志，然后提交标志以获得...
CTF中pwn的入门指南
热门推荐
菜的只能随便写写博客
09-13 3万+
CTF中pwn的入门指南 pwn简介： CTF中的pwn指的是通过通过程序本身的漏洞，编写利用脚本破解程序拿到主机的权限，这就需要对程序进行分析，了解操作系统的特性和相关漏洞，是是一个难度比较大的分支。   接下来介绍相关的学习思路(自己总结的，当作参考) 0x01 基础知识准备   pwn相对于web，更需要专业的技能和知识，最主要的是要学会如何分析程序，这就需要有足够的准备 c语言 汇编语言...
kali安装python3-pwntools
菜的只能随便写写博客
05-30 6812
不要直接pip3安装 错误方法： root@localhost:~# pip3 install pwntools //安装成功 root@localhost:~# python3 >>> import pwn Traceback (most recent call last): File "<stdin>", line 1, in <module> ...
BUUCTF ciscn_2019_c_1(rop_x64,泄露libc)
菜的只能随便写写博客
11-26 5857
由于Ubuntu18的环境很迷，这个题目只在kali上用本地libc完成过，脚本也是kali环境的 0x1 检查文件 64位elf 无canary 无PIE   0x02 流程分析 根据运行的流程，这个程序主要有两个功能，加密功能可以使用，但解密功能没办法使用，并且能够输入的地方就两个，一个选择程序，数字输入，第二个输入加密文本，字符串类型，之后的静态分析主要关注这两个地方。   0x02...
攻防世界pwn-forgot
08-10
很抱歉，但是我无法回答你的问题。我只能提供关于麦田怪圈的信息。123 #### 引用[.reference_title] - *1* [攻防世界pwn题：forgot](https://blog.csdn.net/m0_62396648/article/details/125134327)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] - *2* *3* [攻防世界：PWN刷题-forgot](https://blog.csdn.net/m0_53932372/article/details/122244244)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值