学习笔记-PWN

最新推荐文章于 2024-10-03 12:04:43 发布
最新推荐文章于 2024-10-03 12:04:43 发布
阅读量832 收藏 8
点赞数 2
文章标签： 学习 linux 运维 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sinat_35360663/article/details/127661834
版权

PWN

相关工具

  • pwntools
    如何验证 pwntools 安装成功
python 进入交互，导入 pwn 库，出现如下字符证明 pwntools 安装成功

python3
>>> from pwn import *
>>> asm("xor eax,eax")
b'1\xc0'
  • pwndbg/pwndbg
    git clone https://github.com/pwndbg/pwndbg.git
cd pwndbg
echo "source ~/pwndbg/gdbinit.py" >> ~/.gdbinit
./setup.sh
  • david942j/one_gadget

基础部分

ELF文件

ELF文件有三种类型，可以通过ELF Header中的 e_type 成员进行区分：

  • 可重定位文件(Relocatable File) ：ETL_REL。一般为.o文件，可以与其他目标文件链接来创建可执行文件或共享目标文件的代码和数据。静态链接库属于可重定位文件
  • 可执行文件(Executable File) ：ET_EXEC。可以执行的一个程序，此文件规定了exec()如何创建一个程序的进程映像。
  • 共享目标文件(Shared Object File) ：ET_DYN。一般为.so文件。

动态链接和静态链接

链接可以分为静态链接和动态链接俩种。gcc默认使用动态链接，添加“-static”即可指定为静态链接。这一阶段将目标文件及其依赖库进行链接，生成可执行文件，主要包括地址和空间分配，符号绑定和重定位等操作。

linux下动态链接文件 .so

  • ida打开动态链接文件function里粉色的函数只是一个符号，并没有函数具体实现,符号去解析动态链接库里的函数

静态链接文件 .a

  • ida打开的静态链接function的函数都有函数体实现,并且函数有父函数的实现
gcc -fno-pie test.o -o test -static  静态链接，并且关掉pie
gcc -fno-pie -o dytest test.c  动态链接,并且关掉pie

部分寄存器的功能

32位架构下寄存器功能
EIP
存放当前执行的指令的地址
ESP
存放当前栈帧的栈顶地址
EBP
存放当前栈帧的栈底地址
EAX
通用寄存器。存放函数返回值
EBX
"基地址"(base)寄存器, 在内存寻址时存放基地址。
ECX
计数器(counter), 是重复(REP)前缀指令和LOOP指令的内定计数器。
ESI/EDI
分别叫做"源/目标索引寄存器"(source/destination index),因为在很多字符串操作指令中, DS:ESI指向源串,而ES:EDI指向目标串.

常用的汇编指令

指令等同于
call funcpush pc，jmp func
leavemov esp ebp，pop ebp
retpop pc (相当于在栈顶弹出一个数据赋值给EIP寄存器)
push xxx将xxx压栈，将esp减4
pop rdi弹栈，将此时esp所指内容存入rdi，同时esp加4

栈的工作方式

linux的保护机制

  • RELRO: Full RELRO - 重定向，RELRO会有Partial RELRO和FULL RELRO，如果开启FULL RELRO，意味着我们无法修改got表
  • Stack: No canary found - 栈canary检查
  • NX: NX enabled - 栈不可执行
  • PIE: PIE enabled - 程序地址随机化
  • ASLR：Address space layout randomization - 内存地址随机化

工具使用

gdb的使用

  • vmmap：查看虚拟内存空间

  • break：下断点

  • del：删除断点

  • run：运行整个程序

  • continue：继续运行

  • start：和b main，然后run差不多

  • n：单步步过

  • s：单步步入

  • ni：单步步过，汇编层面

  • si：单步步入，汇编层面

  • bt：栈回溯

  • x：查看内存

  • x/nfu

    • n,f,u都是可选参数，指要显示的内存的格式
    • n 代表个数，要显示多少单位的内存
    • u 代表单位大小，b 表示单字节，h代表双字节，w表示四字节，g表示八字节
    • x 代表显示格式，常用的格式有 x十六进制，s字符串，i机器指令，c字符型

  • info：查看一些信息

    • info b查看断点信息
    • info r查看寄存器信息
    • info threads查看线程信息

  • disass：反汇编

    • disass 反汇编指定函数
    • disass 反汇编指定地址
    • disass <addr_begin> <addr_end> 反汇编指定地址范围

  • fin：结束此函数，返回上一层

  • p：打印一些值

    • p $esp 打印寄存器的值
    • p 打印地址里面的值

  • attach：附加进程

pwntools的使用

导入pwnlib库

from pwn import *

打开与本地程序的交互

io = process("./test")

打开与远程指定程序的交互

io = remote("xxxx",8888)

打开debug调试模式，显示交互中的输入与输出

context.log_level = "debug"

设置操作系统

context.os = "linux"

指定32位交互程序的体系架构

context.arch = "i386"

指定64位交互程序的体系架构

context.arch = "amd64"

接收所有字符流输出

io.recv()

接收程序的一行字符流输出

io.recvline()

接收程序的字符流直到str字符

io.recvuntil("str")

发送payload

io.send(payload)

发送payload并在结尾加上"\n"

io.sendline(payload)

直到接收到str，然后发送payload

io.sendafter("str",payload)

直到接收到str，然后发送payload,并在payload结尾加上"\n"

io.sendlineafter("str",payload)

关闭io

io.close()

用户交互

io.interactive()

首先先创建一个ELF对象，方便我们对齐数据进行查找

elf = ELF('test')

输出一个sh的shellcode 汇编代码 默认是32位的shellcode

shellcraft.sh()

输出一段sh的shellcode的机器码

asm(shellcraft.sh())

输出一个sh的shellcode 汇编代码 amd64位的shellcode 记得加上64位环境说明 context.arch

shellcraft.amd64.sh()

ljust是左对齐，shellcode后面用A来填充垃圾数据，一共形成112个字节的字节流

payload = asm(shellcraft.sh()).ljust(112,b'A')+p32(buf_addr)

搜索一个字符串并返回其所在地址 python3里字符串前面必须加上b''，不然找的就是str对象,而不是字节数据

hex(next(elf.search(b'/bin/sh')))

查看puts函数在got表中表项的地址

hex(elf.got["puts"])

变量名和函数名本质上都是符号，下面是查找gets函数的plt表地址，got表地址和buf2变量的地址

elf.plt['gets']
elf.got['gets']
elf.symbols['buf2']

生成60个字节的垃圾数据

cyclic(60)

如果想在pwntools中某一位置在pwndbg中调试，可以在pwntools中的这一位置pause(),然后执行到这里的程序就被挂起到了进程，gdb进入，attach pid 就可以在pwndbg中进行调试

pause()

checksec的使用

file test		查看二进制程序的架构
checksec test	检查二进制程序的保护

ROPgadget的使用

ROPgadget --binary xxx --only "pop|ret"		//查找pop和ret的gadget片段
ROPgadget --binary xxx --string "/bin/sh"	//查找/bin/sh字符串

one_gadget的使用

one_gadget /lib32/libc-2.23.so

ropper的使用

$ ropper
$ help
$ search pop rdi

patchelf的使用

patchelf --set-interpreter ~/lib/2.23-0ubuntu3_i386/ld-2.23.so ./test
patchelf --replace-needed libc.so.6 ~/lib/2.23-0ubuntu3_i386/libc-2.23.so ./test

点击关注，共同学习！安全狗的自我修养

github haidragon

https://github.com/haidragon

C-haidragon
关注
Python学习笔记 - 探索读取输入和写入输出
Mr数据杨
04-30 9076
在本教程中，我们深入探讨了Python中与输入和输出相关的基本操作及其高级应用。掌握这些内容对于编写高效、用户友好的程序至关重要。通过本教程的学习，你应该已经掌握了如何有效地读取用户输入，并将结果通过多种方式输出到控制台。这些技能不仅在命令行程序中至关重要，而且在更复杂的应用中，如图形界面开发、文件处理、网络编程等，都是不可或缺的基本技能。在实际编程中，这些输入输出操作可能需要结合更多的逻辑处理、异常处理，以及与其他功能模块的集成。建议你在掌握这些基础知识后，通过实战项目来进一步巩固和扩展你的技能。
Docker-学习笔记-ctf_xinded
Peanuts
02-01 923
因为出题目的原因，接受题目的人说要我提供dockerfile。。可是我这样的小白怎么会，只能是现学现卖一波了。 在github上有个开源的dockerfile针对pwn题部署的这里对其进行一个解读 项目中的文件就是大概这几个 dockerfile学习 FROM ubuntu:16.04 #需要的镜像文件的系统 RUN sed -i "s/http:\/\/archive.ubuntu.com/...
PWN 的 武器库
m0_52098866的博客
01-03 464
一、前言 由于今天在解决linux上遇到的问题的时候，不假思索地把一些系统配置文件内容给修改了。额，然后该文件没备份，也没拍快照。所以…… 还是默默地重装虚拟机了~ 顺便捋一下配置pwn工具过程的相关操作。 我的虚拟机是：64位 的 Ubuntu 16。 安装目录： VMware Tools 安装 LibcSearcher 安装 pwndbg 安装 pwntools 安装 ROPgedget 和 one_gedget 安装 二、VMware To
pwn
weixin_42072280的博客
05-13 627
pwn 参考：百度百科 ”Pwn”是一个黑客语法的俚语词，是指攻破设备或者系统。发音类似“砰”，对黑客而言，这就是成功实施黑客攻击的声音——砰的一声，被“黑”的电脑或手机就被你操纵了。 pip安装时报错Cannot uninstall 'pyserial'. It is a distutils installed project and thus we...
菜鸟笔记之pwn工具篇--pwntools库的基本使用
最新发布
XiDPPython的博客
10-03 1387
这种类型用于将消息变成对应的进制流（因为原本程序里面的数据都是已经编译过的，所以打入的数据也需要是编译过的,所以需要使用p64()这类工具）,这一点细节上的差距就可能导致我们的脚本无法打通，所以我们需要面对合适的函数使用合适的方法，后续我们将会继续讨论。，它可以将多个数据结构（如字符串、整数等）连接在一起，并将它们转换为二进制数据。在pwn(1.0.0)中曾经介绍过，我们启动靶机后会得到一个靶机地址，把靶机地址的前缀和端口分别输入在。的时候将泄露的进制流变成对应的原本的样子，方便来辨认查找glibc版本。
Pwn学习
红叶的博客
10-25 1246
需要输入的字符数量为112，由于没有system，因此需要使用ROPgadget工具。其中vuln函数与replace函数配合使用，输入的I被replace函数替换为you。这题没什么好说的，打开就是shell函数，使用nc直接连接就可以拿到shell。输入I又被替换为you，因此60/3 = 20，输入20个I即可溢出。栈溢出漏洞，buf2为全局变量，并且是bss段，具有可执行权限。shell的地址为IDA下get_shell函数的地址 即。fun函数为shell函数，main函数中存在栈溢出漏洞。
pwn入门
qq_41629053的博客
03-12 632
此篇文章只是记录如何操作，具体的原理还有待学习。 栈溢出原理 •栈溢出原理的是基于x86汇编指令，通过改变函数返回地址ret的值，将函数返回到我们想要的函数入口。具体做法就是找到函数的输入或数组，通过输入数据个数超过函数分配的缓冲区大小，进一步输入，造成ret值被输入值替换。 buf指的是输入地址，所以也需要通过计算找到缓冲区的大小。 操作步骤 多的不说，先上脚本。 coding=UTF-8 fr...
pwn学习（一）
weixin_33701617的博客
08-12 1280
实战前的准备 pwn在ctf中算是一个门槛较高的分支，而且这方面的资料也相对较少，所以学习pwn的人也是相对较少的。我本人呢，是一个菜鸟，本科不是计算机系的，学习这个完全是出于兴趣。写这些东西，一来是记录自己的学习状况，二来呢，就是希望给正准备踏上pwn这条路的朋友们，提供一点思路。 废话不多说，开始进入正题： 1. 学习pwn所需要的...
Pwn学习路线及学习笔记以及gem安装
10-15
Pwn学习路线及学习笔记 Pwn是计算机安全领域中的一个重要方向，旨在研究和学习 Binary Exploitation，CTF 等安全知识。本文将从Pwn学习路线及学习笔记入手，总结作者在学习Pwn过程中的心得体会和经验。 一、前期...
pwn学习笔记 BUU
2301_79525044的博客
01-11 587
本来配完20和22以后以为自己已经会配基本的环境了，结果18又让我看到了很多新的问题。搜出来的文章大部分都没用，找到有用的文章也忘记保存了，以后如果有缘要重新配环境应该会吃很多亏。之前一直没有做笔记，现在开始正式进入寒假学习。这Ubuntu18的问题比20和22多好多，不停的报错，报错方式不停地变，已经麻了。刚回家，一堆事要搞，没学什么，主要还是配环境。
CTF Blind pwn题型学习笔记
lifanxin的博客
08-31 2121
Blind pwn概述如何辨别漏洞类型逻辑漏洞盲打格式化字符串盲打原理阐述例题讲解axb_2019_fmt32栈溢出盲打堆盲打总结 概述   所谓Blind pwn，即是在无法获得二进制程序文件的情况下对题目进行漏洞利用。这篇博客主要是将见到过的盲打pwn题做一个总结，大概可以分为以下几类盲打pwn题：逻辑漏洞盲打、格式化字符串盲打、栈溢出盲打、堆盲打。 如何辨别漏洞类型   对于盲打题，首先第一步应该是判断属于哪种类型的盲打，判断的步骤也很简单，nc连上后，直接看程序提供的菜单功能。   一般来说，需要逻
PWN利器-pwntools安装、调试教程一览
samli的博客
12-05 7708
pwntools是一个CTF框架和漏洞利用的python开发库，专为快速开发而设计，旨在使漏洞利用编写尽可能简答
PWN（一）
weixin_44169596的博客
01-21 3774
1. 安装pwntools工具： pwntools是什么？ pwntools 是一款专门用于CTF Exploit的python库，能够很方便的进行本地与远程利用的切换，基本涵盖了pwn题利用脚本所需要的各种工具。 安装过程： sudo apt install python3-pip sudo python3 -m pip install --upgrade --force pip sudo pip install setuptools==33.1.1 sudo pip3 install
linux pwn 基础知识
sky123博客
08-11 2913
环境搭建 虚拟机安装 镜像下载网站 为了避免环境问题建议 22.04 ，20.04，18.04，16.04 等常见版本 ubuntu 虚拟机环境各准备一份。注意定期更新快照以防意外。 虚拟机建议硬盘 256 G 以上，内存也尽量大一些。硬盘大小只是上界，256 G 不是真就占了 256 G，而后期如果硬盘空间不足会很麻烦。 基础工具 vim sudo apt install vim gedit 不习惯 vim 的可以使用 gedit 文本编辑器。 sudo apt install gedit git
windows pwn 基础知识
sky123博客
06-21 5068
在 Win10 和 Win Server2016 版本之前，只有一种堆类型 NT Heap在 Win10 和 Win Server2016 之后，引入了 Segment Heap（段堆）在之后版本中，除了 UWP 程序之外 一般都继续使用 NT Heap 进行堆管UWP（Universal Windows Platform）是 Win10 引入的一种新的应用程序开发模型，他们采用了一套共享的 API。所以采用 UWP开发的程序，可以在所有 Win10 设备上运行。
CTF(Pwn) 当题目为我们提供Libc版本.so文件, 与 不提供的区别
半岛铁盒的博客
03-25 5197
做了一道题目,它提供了 libc文件; 这道题 可以使用 libc-2.23.so文件 来 解出来, 也可以不使用; 当使用 libc2.23.so文件时 EXp为 from pwn import * p = remote("node3.buuoj.cn",29829) libc=ELF('libc-2.23.so') elf = ELF('./pwn1') write_plt = elf.plt['write'] write_got = elf.got['write'] main = 0x0804
【二进制安全】PWN基础入门大全（非常详细）零基础入门到精通，收藏这一篇就够了
leah126的博客
07-25 7191
PWN是一个黑客之间使用的词语，通常指攻破设备或系统。发音类似“砰”，对黑客而言，这象征着成功实施黑客攻击的声音——砰的一声，被“黑”的电脑或手机就被操纵了。在网络安全语境中，PWN通常指的是通过不同的攻击手段如利用漏洞、进行社会工程学攻击等方法成功地获得了一个设备、系统或网络的未授权控制权。一旦攻击者“PWN了”一个系统，他们就可以执行各种恶意活动，如窃取数据、安装恶意软件或制造更广泛的破坏。
CTF中的常见python库（base64、Pillow、requests、pwn）
热门推荐
Love&Share
06-01 1万+
内建模块 base64 Base64是一种任意二进制到文本字符串的编码方法，常用于在URL、Cookie、网页中传输少量二进制数据。 >>> import base64#导入 >>> base64.b64encode(b'library')#编码，b代表bytes b'bGlicmFyeQ=='#base64最多有两个等号 >>> base64.b64decode('bGlicmFyeQ==')#解码 b'library' >>> ba
BUUCTF pwn
qq_40026795的博客
06-20 714
test_your_nc 丢进ida可以看到只有一个后门函数 使用nc 网址 端口连接反弹shell 或者使用pwntools连接 frompwnimport* p=remote('网址',端口) p.interactive() rip 一、载入ida 载入ida可以看到主要有两个函数，main()和fun() 使用f5产生类C代码 int__cdeclmain(inta...
mqtt-pwn安装
09-20
安装mqtt-pwn的步骤如下： 1. 克隆mqtt-pwn仓库：使用命令`git clone https://github.com/akamai-threat-research/mqtt-pwn.git`将mqtt-pwn仓库克隆到本地。 2. 进入mqtt-pwn目录：使用命令`cd mqtt-pwn`进入mqtt-...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

C-haidragon

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值