【PWN系列】攻防世界pwn进阶区welpwn分析

最新推荐文章于 2023-03-08 20:40:43 发布
最新推荐文章于 2023-03-08 20:40:43 发布
阅读量493 收藏
点赞数
分类专栏： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41918771/article/details/109008623
版权
本文详细分析了攻防世界pwn进阶区的welpwn挑战，揭示了该程序的NX保护和溢出漏洞。在echo函数中，由于从buf到s2的复制过程可能导致栈溢出，但0x00字节的存在影响了ROP链的构造。解决方案是将ROP链放入buf，并利用pop_4_ret gadget来绕过0x00问题。接着，文章介绍了如何泄露函数地址，找到libc基址，最终完成exploit的编写。
摘要由CSDN通过智能技术生成

个人博客地址

http://www.darkerbox.com

欢迎大家学习交流

分析

下载文件直接拖入ida分析。开了NX保护，一般就是rop
在这里插入图片描述

函数代码也比较简单。read那里也不存溢出。都是0x400。
紧接着调用了echo函数。

在这里插入图片描述
在echo函数中，将大小为0x400的buf中的值复制给大小为0x10的s2,。很明显会造成溢出。唯一的问题就是，如果Buf中含有\x00。会中断循环。

在这里插入图片描述

函数运行的整体流程就是，用户输入的字符串会存放到buf中，在echo函数中，将buf复制到

了解本专栏 订阅专栏 解锁全文 超级会员免费看
Bog0n
关注
专栏目录
订阅专栏
攻防世界PWN进阶区（warmup）
BurYiA的博客
02-03 1574
warmup 这是一个没有附件的题，看起来题目是要求我们fuzz了 nc连接上后可以发现有个输入点，并且还给了我们一个十六进制数，看起来是个地址 那首先根据这些我们可以先将fuzz函数写出来，分三种情况（不用他给的地址，用p32发送，用p64送） def fuzz(r, num, flag): payload = 'a' * num if flag==1: pa...
攻防世界-PWN进阶区-echo_back(CISCN-2018-Quals)
weixin_44145820的博客
03-03 854
本题考查的是对格式化字符串漏洞的利用以及修改_IO_2_1_stdin来实现任意写 题目分析 checksec: 发现保护全开 源码分析： echo函数： 在该函数中有明显的格式化字符串漏洞，但是格式化字符串的长度有限制，最长只能为7，这使得许多利用格式化字符串进行任意内存写的方式不能使用，不过泄露信息还是能够做到的 对于信息泄露，首先我们需要获取libc的基地址，这样我们才能计算system...
攻防世界 Pwn welpwn
MrTreebook的博客
12-25 2535
攻防世界 Pwn welpwn1.题目下载地址2.checksec3.IDA分析4.exp 1.题目下载地址 点击下载 2.checksec 没有canary 没有PIE 3.IDA分析 main函数中有一个可以输入的地方，但是不能溢出 接着往下看 在eho函数中，缓冲区至分配了0x10大小，但是传入的buf有0x400字节，因此可以看出存在溢出 不过拷贝遇到\x00就停止了，这个时候我们只能注入一个返回地址。 但是在ROPgadget里面能找到一个特殊的gadget，它就是破题的关键 我们
攻防世界 welpwn WP
Zarcs_233的博客
01-29 970
这道题出的确实很wel 拿到这题，查看保护 发现shellcode走不通，一般都是走rop路线 IDA打开，分析代码，发现main函数内调用了echo函数 这里的buf有0x400大，但是main不存在栈溢出，继续点开echo 这里我们发现有一个赋值的过程，但是a1也就是buff有0x400，而s2只有0x10字节。 很明显，复制过程中存在栈溢出，但是我一开始没发现这一点，那就是这个赋值的终止...
[攻防世界]-welpwn
m0_55906008的博客
12-05 619
pwn
深入探究64位rop链构造，wp中常见的万能gadgets详解| 攻防世界pwn进阶区welpwn
Kni9hT's Blog
03-20 1923
文章目录前言思路分析0x00.检查保护机制0x01.找到溢出点0x02.跳过echo在buf上构造rop0x03.选择合适的gadgets0x04.万能的通用gadgets利用过程使用DynELF使用LibcSearcher 前言 这一题做的时间跨度比较长了，断断续续做了一天多，然后尝试了两种方式，一种是DynELF泄露system地址，还有一种是利用python的LibcSearcher模块得到...
攻防世界-PWN进阶区-welpwn(RCTF-2015)
weixin_44145820的博客
02-27 1096
题目分析 首先看一下开了哪些保护 因为开了NX，所以考虑使用ROP或者return-into-libc 用IDApro分析一下源代码 可以看出main函数中不存在注入点，我们看一下echo函数 在eho函数中，缓冲区至分配了0x10大小，但是传入的buf有0x400字节，因此可以看出存在溢出 不过拷贝遇到\x00就停止了，这个时候我们只能注入一个返回地址。 但是在ROPgadget里面能找到...
攻防世界 pwn进阶区解法 write up（一）
qq_46441427的博客
03-01 418
实时数据监测 找信息 没有发现canary，没有开启PIE和NX 查看ida 发现有一个printf，这里是fgets，可能会用到格式化字符串漏洞，运行一下程序 结合ida的分析我们可知，要把这个值改成0x2223322，那结合之前的printf，可以确定是格式化字符串漏洞 给了我们地址，那我们的payload就以地址为开头，因为是p32，所以后面35795746要减4，构成%35795742d%偏移量n$ 然后确定偏移量： 总共，从A到41包括A有12个，偏移量=12 所以得到payload
pwn篇：攻防世界进阶welpwn，LibcSearcher使用
weixin_44644249的博客
02-10 950
攻防世界welpwn 这题主要是考无Libc泄露地址，在没有Libc的情况下，可以使用LibcSearcher进行动态匹配，匹配完成后会给出选项，选择libc的版本即可。如果不知道版本可以一个个试。 安装LibcSearcher git clone https://github.com/lieanu/LibcSearcher.git 文件有点大，100多Mb 配置LibcSearcher,可以直接install，会自动build cd LibcSearcher python setup.py instal
攻防世界-PWN进阶区-Noleak(XCTF 4th-QCTF-2018)
weixin_44145820的博客
03-01 927
本题主要考察对堆的利用，需要有一定的背景知识，本文也参考了几篇大佬的Writeup，让本文尽可能详细。 题目分析 checksec: 本题的RELRO是完全开启的，意味着我们不能通过修改GOT表来进行攻击 以下是源代码： main函数 delete函数： 这里可以看到free之后没有把指针置空，可能有UAF或者Dubble Free edit函数： 在本函数中，没有检测大小就直接写入，明显...
攻防世界 pwn进阶区 pwn-200
Kni9hT's Blog
03-04 1755
前言 一到夜晚就不太想睡…想了想还是把昨天（不，前天 ）的那题pwn writeup写了吧。虚假の二进制选手终于捡起了他的pwn…话说从web新手区转到pwn进阶区，wtnl。 学习要点 DynELF的使用 plt地址和got地址的区别 如何利用write函数 思考 题目的逻辑不难，开启了NX防护（即不能直接执行栈上的数据，通常使用ROP，本题就是），没有给libc地址，有个明显的栈溢出漏...
攻防世界高手进阶区 ——Welpwn
weixin_62675330的博客
03-21 958
攻防世界高手进阶区 ——Welpwn 分析文件 checksec分析 coke@ubuntu:~/桌面/CTFworkstation/OADW/welpwn$ checksec welpwn [*] '/home/coke/桌面/CTFworkstation/OADW/welpwn/welpwn' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX e
（攻防世界）（pwn）welpwn
PLpa的博客
07-18 2739
首先，放在最前面：这题服务器远端的libc版本是libc-2.23.so而不是libc-2.19.so的版本（害得我编译半天出不来） 看到题目，我们下载附件，一看是个tar.gz文件，我们解压一下，发现里面有三个文件： 我就心想，这个攻防世界怎么就这么好心这次，以前要给的时候从来不给，这次这么大方？？？答案是大错特错，这就是个骗局，这个反而是个障碍，版本根本就是错的（但仔细一想，有可能是出题者故...
攻防世界 welpwn
10-07 324
1.题目 2.IDA分析 3.流程分析 流程很简单，输入buf，这里不存在溢出，然后进入echo方法，将buf复制到s2，当遇到\x00就结束。这个条件会导致p64(addr)后面的内容被截断（地址经p64包装后肯定会出现\0x00）。栈结构如下： 也就是说，s2只能复制buf前面32个单元的内容。为了使32位后面的内容得以执行，我们需要在ret位置跳去执行四个pop指令，去掉buf前32位内容（也就是复制到s2里面的这些内容），这样就能连贯执行32位之后的内容了。 所以，..
攻防世界welpwn
weixin_56777139的博客
03-08 224
攻防世界welpwn
攻防世界pwn(warmup&welpwn)
song_10的博客
05-21 491
攻防世界pwn题题解记录
welpwn RCTF-2015 攻防世界
qq_41071646的博客
06-03 1676
参考链接 http://www.purpleroc.com/md/2015-11-17@RCTF-Writeup.html 这个题只是没有想到 找到这个点 然后 攻防世界 给的 so库也有问题 感觉 攻防世界的so环境都是 2.23的鸭 然后我就没有用DynELF 其实 可以在服务器看一下 地址 然后根据 后三位来判断是那个 只不过没有 DynELF 方便 思路就是 构造一个 ...
welpwn [XCTF-PWN][高手进阶区]CTF writeup攻防世界题解系列24
重新启程
12-27 1265
题目地址：welpwn 本题是高手进阶区的第13题，先看看题目 照例检查一下保护机制 [*] '/ctf/work/python/welpwn/a9ad88f80025427592b35612be5492fd' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found ...
pwn-welpwn
醉等佳人归
09-08 280
1.题目 1.保护机制 开启nx 2.关键代码 主函数 echo函数 2.思路 重点1：可以看到栈溢出漏洞，但是echo函数代码显然限制了ROP链中有\x00的出现，但是我们发现echo函数栈非常小，导出我们溢出可以溢出到主函数的buf缓冲区中，而且主函数的buf是不受\x00影响的，所以我们先使用pop覆盖echo函数的返回值，然后在主函数的buf中执行shellcode 重点2：这次试用了LibcSearcher库来完成函数地址泄漏 from pwn import * from ctypes imp
攻防世界 pwn repeater
最新发布
09-13
攻防世界是一个CTF竞赛平台，其中包含了各种类型的题目，包括pwn和repeater题目。根据引用中提到的信息，攻防世界标记的难度可能不准确。这可能是因为题目的实际难度与标记的难度不一致，导致出现了这种情况。 至于...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Bog0n

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值