BUUCTF pwn ez_pz_hackover_2016

最新推荐文章于 2024-08-28 11:55:31 发布
最新推荐文章于 2024-08-28 11:55:31 发布
阅读量2.3k 收藏 4
点赞数
分类专栏： ctf_pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qinying001/article/details/104406550
版权
本文详细分析了BUUCTF中pwn类别的一道题目ez_pz_hackover_2016，通过文件分析、运行观察、IDA逆向工程，发现栈溢出漏洞。利用该漏洞，通过fgets写入shellcode，并修改返回地址，最终执行shellcode。通过调试确定了关键偏移量，编写exp成功完成挑战。
摘要由CSDN通过智能技术生成

0x01 文件分析

在这里插入图片描述
 没有不可执行栈和段上的读写保护，可以做到很多事情。
 

0x02 运行

在这里插入图片描述
 输入name并且回显，上面还有一个地址。
 

0x03 IDA

在这里插入图片描述
在这里插入图片描述
 主要的漏洞点在这个函数内部的，chall栈的大小很大，足够写入shellcode，之后的vuln函数会将s的数据复制到vuln的栈上面，但是复制的数据量远远大于栈的长度，会造成栈溢出。
 并且此函数的栈的地址直接打印出来，不用再去泄露栈地址，可以直接利用。
 

0x04 思路

 通过fgets写入shellcode，结合已经泄露的栈地址，在vuln里面改写返回地址，跳转到栈上的shellcode执行。
 做之

最低0.47元/天 解锁文章
影子019
关注
专栏目录
BUUCTF pwn ez_pz_hackover_2016（write up）
qq_44768749的博客
08-23 464
BUUCTF pwn ez_pz_hackover_20160x01 文件分析0x02 运行0x03 IDA0x04 思路0x05 exp 0x01 文件分析 没有不可执行栈和段上的读写保护。 0x02 运行 输入name后发现上面还有一个地址。 0x03 IDA 若输入crashme，即可进入vlun函数，主要的漏洞点在这个函数内部的，chall栈的大小很大，足够写 入shellcode，之后的vuln函数会将name的数据复制到vuln的栈上面，而且复制的数据量远远大于栈的 长度，会造
BUUCTF PWN get_started_3dsctf_2016
Rt1Text的博客
04-23 365
1.checksec +运行 32位/NX保护 2.32位IDA 1.main函数 gets()函数溢出 跟进v4看看偏移 offset=0x38 这个题有些不同,看看调用函数的汇编 该题没有用ebp寻址,用的是esp寻址 也就是说不需要覆盖ebp四字节 这就说明有时候后卡住回去仔细看看汇编 2.get_flag if ( a1 == 814536271 && a2 == 425138641 ) a1/a2满足条件即可得到flag.tx...
memcpy
weixin_45959515的博客
08-26 189
memcpy指的是C和C++使用的内存拷贝函数，函数原型为void *memcpy(void *destin, void *source, unsigned n)；函数的功能是从源内存地址的起始位置开始拷贝若干个字节到目标内存地址中，即从源source中拷贝n个字节到目标destin中。 memcpy(c, temp, sizeof(char) * temp_size); ...
BUUCTF ez_pz_hackover_2016
最新发布
m0_73743784的博客
08-28 379
需要注意dest到ebp的距离，使用 IDA Pro 分析时并不一定是正确的，需要配合动态调试才能真正确定利用偏移值可以间接确定写入shellcode。
[BUUCTF-pwn]——ez_pz_hackover_2016
Y_peak的博客
02-15 350
[BUUCTF-pwn]——ez_pz_hackover_2016 题目地址：https://buuoj.cn/challenges#ez_pz_hackover_2016 checksec一下，NX都没开，十有八九是让自己写shellcode了 在IDA中,main里面没什么可以看的. 在chall函数中发现,0x40C = 1036 > 1023无法栈溢出。不过总算找到可以写shellcode 的地方。 发现vuln函数，只要通过输入"crashme\x00"就可以绕过检查,执行vuln
BUUCTF【ez_pz_hackover_2016】
weixin_51055545的博客
02-14 1289
BUUCTF【ez_pz_hackover_2016】 例行检查 开了relro，其他保护机制都没开，扔到IDA中分析 漏洞分析 chall()函数中，有fgets()，但长度不够覆盖到返回地址，没法溢出，接着会获取s的长度，然后字符串检索，在这里我给出memchr()的定义：*C 库函数 void *memchr(const void str, int c, size_t n) 在参数 str 所指向的字符串的前 n 个字节中搜索第一次出现字符 c（一个无符号字符）的位置。 然后程序会有一个if检查，
3S软件
Zzzpiu的博客
12-29 478
地址:https://www.ixxin.cn/software.html 转载地址:https://www.ixxin.cn/software.html
BUUCTF ez_pz_hackover_2016[动态调试之初入门]
weixin_45441024的博客
01-26 575
BUUCTF ez_pz_hackover_2016[动态调试之初入门] 之前做题基本上都是放到IDA里面进行分析，所以在动态调试这方面一直有所欠缺，今天这道题就弥补了这个不足，真正地走进了栈题的动态调试 先check一下，发现什么保护都没有开，还是一个32位的程序，心里不免有些小激动，难道这题简单？ 不管简单与否，我们都先运行一下，发现在输入之前回显给我们一个栈地址，并且这个地址不是固定的，所以这里一定会用到，拿小本本记下来，之后程序会将我们输入的东西打印出来 之后我们进到IDA来分析一下这个程序
ez_pz_hackover_2016
m0_52231248的博客
11-18 159
ez_pz_hackover_2016 Checksec： Ida： Fgets会读取我们的输入但存在一个strlen检查，我们知道strlen在读入/x00就会停止。 同时当我们的输入包含crashme的时候会进入vlun函数， Vlun函数里的memcpy会拷贝我们之前的输入，存在溢出 所以我们只需要构造payload=crashme/x00+偏移+返回地址+shellcode就行了 Crashme/X00到ebp的偏移： 0xffffcd58-0xffffcd42=0x16
BUUCTF-ez_pz_hackover_2016
Rt1Text的博客
11-28 457
challC 库函数 - strcmp()C 库函数 int strcmp(const char *str1, const char *str2) 把 str1 所指向的字符串和 str2 所指向的字符串进行比较。strcmp只能比较字符串，比较数组和字符串常量，不能比较数字等其他形式的参数。两个字符串自左向右逐个字符相比（按ASCII值大小相比较），直到出现不同的字符或遇'\0'为止strcmp的返回值可控，传入空字符串即可strlen同样遇0截断。
[PWN] BUUCTF ez_pz_hackover_2016 1
空城惜梦的博客
06-08 745
[PWN] BUUCTF ez_pz_hackover_2016 1解题分析漏洞利用payload分析输入点与ebp距离的计算方法泄露的地址与shellcode的偏移量payload 解题分析 按照惯例先checksec一下，除了RELRO，其他都没开 执行，观察程序运行逻辑，给出一个地址，然后让我们输入name 32IDA打开程序，观察main函数，header()只是打印图形，chall()才是关键函数 在chall中先输出s的地址，之后fgets接收一个不大于1023(0x3ff)的字符到s的缓
ctf【ez_pz_hackover_2016】
HUANGliang_的博客
10-29 219
ez_pz_hackover_2016
BUUCTF pwn rip
01-28
根据提供的引用内容，BUUCTF PWN-RIP是一个关于PWN技术的详解文章。文章中提到了64位的EIF文件中rbp寄存器的大小为8个字节。如果对这部分不太理解，可以阅读作者的另一篇关于PWN基础知识的文章。 BUUCTF PWN-RIP...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值