【BUUCTF-PWN】4-ciscn_2019_n_1

最新推荐文章于 2025-10-07 19:27:39 发布
原创 最新推荐文章于 2025-10-07 19:27:39 发布 · 702 阅读 · 7 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#CTF #BUUCTF #PWN

最低0.47元/天 解锁文章
BUUCTF ciscn_2019_n_1
RookieMOR的博客
05-14 825
1.下载文件，用checksec一下： 2.用IDA64查看，进入func函数： 当v2=11.28125时获得flag，但只有v1的输入，没有v2输入。因为有一个gets函数，点击v1，v2可以知道，v1与v2差44个字节，可以通过输入v1的值去改变v2的值，实现栈溢出。 查看汇编可以看到有一个uconiss的比较指令，把xmm0与cs:dword_4007F4，由movss可以知道xmme0是v1或v2的值，那么点击dword_4007F4 看到一个 dd ，百度一下可以知道，.
BUUCTF—ciscn_2019_n_1 1
qq_41560595的博客
09-24 4847
这道题是栈溢出题型，又不同于一般的栈溢出，在此做个总结。 查看权限 拖入IDA，F5可用函数 解题思路：这道题的意思是输入字符串v1，判断v2。考虑输入长字符串覆盖到存储v2的内存空间，把v2的值改掉。 因此，覆盖0x30-0x4=44个字节给v1，另外4个字节给v2 由于v2数值在内存中以16进制存储，所以，找到11.28125的16进制值。 存在两个比较指令，双击进去。 0x41348000就是16进制的11.28125。 编写脚本 from pwn import * p=remote('
[BUUCTF-pwn]——ciscn_2019_n_1
Y_peak的博客
01-31 1482
[BUUCTF-pwn]——ciscn_2019_n_1 [BUUCTF-pwn]——ciscn_2019_n_1思路一 —— 覆盖局部变量思路二 —— 覆盖返回地址 题目地址：https://buuoj.cn/challenges#ciscn_2019_n_1 题目： 老规矩下载下来后，在Linux上checksec一下，64位，并且没有开启栈保护，意味着我们可以利用栈溢出 在IDA中看一下，main函数里面没有什么可以利用的 双击func函数看看，就是我们想要的。 思路一 —— 覆盖局部变量
[BUUCTF-PWN] ciscn_2019_n_1
最新发布
weixin_44570459的博客
10-07 280
程序运行流程中，当v2等于11.28125时，将读取flag中的内容。因此需要将v2的内容覆盖成11.28125，但其为浮点类型，需要转化为其对应的十六进制形式，为0x41348000。结构如下图所示，为0x30-0x4=0x2c，即当往v1写入0x2c个垃圾数据时，刚好填满v1，即将开始填v2。1、发现存在gets函数，可导致栈溢出漏洞，其中v1长度为0x30。方法1：栈溢出直接跳转到system(“cat /flag”)2、在下方存在system函数读取flag文件，1、v1到v2的距离。
【BUUCTF - PWN】ciscn_2019_n_1
古月浪子的博客
03-19 3665
checksec一下 IDA打开，发现如果满足的条件达成，就能get flag 找到栈溢出漏洞，输入可以覆盖到v2 写代码把11.28125在内存中的十六进制表示出来 from pwn import * from LibcSearcher import * context.os='linux' context.arch='amd64' context.log_level='debug' ...
BUUCTF-PWN-ciscn_2019_n_1
m0_64180167的博客
04-13 457
我们可以使用栈溢出 我们看看 v1函数的地址 是30h 然后是64位的 所以 基地址是8字节。我们发现了system 然后get()函数。所以发现system的地址 开始写exp。发现是64位的 然后 放入ida。我们开始查看 system的地址。发现 cat flag。
BUUCTF PWN wp--ciscn_2019_n_1
2302_81740139的博客
08-25 483
得到gets缓冲区的范围大小。用垃圾数据填充v1（如上图箭头为0x30+0x8），溢出v2，覆盖到下方的system函数，转换到cat/flag的地址0x4006BE。第二步 进入主函数，发现func，main函数调用了func，func中存在经典gets()漏洞，我们看到本题是v2数组在做比较。第一步 checksec，并检查该题的保护机制。第三步 编写脚本。
buuctf--ciscn_2019_c_1
2301_81060697的博客
02-20 857
获取libc库构造rop链
[BUUCTF]-PWN:ciscn_2019_n_3解析
2301_79326813的博客
01-20 1022
堆题，先看保护32位，Partial RELRO，没pie关键信息就那么多，看ida大致就是alloc创建堆块，free释放堆块，dump打印堆块内容但是仔细看这三个函数就可以发现在实际运行中，会先创建一个存有free相关函数的地址和打印堆块内容相关函数的地址。看delete函数并结合动态调试，可以知道释放堆块的过程实际上是调用先创造的12字节堆块的rec_str_free。那也就意味着无论那块地址存的是哪里的地址，我们在free堆块时他都会执行，并且题目给了我们system。
BUUCTF Pwn ciscn_2019_c_1 题解
qq_33348179的博客
12-01 484
2.接下来找libc的版本 利用 libc地址 = 真实地址 - 偏移地址 得到system和binsh的地址。其中，用两次recvline（）的原因是隔离掉 \n 和 ciphertext。puts_address的那一大串是用于接收地址 去掉结尾的\0 并且将长度补到。SHIFT+F12查看字符串 可以看到没有后门函数 这是一道ret2libc题。同时因为这是64位程序，函数参数用寄存器存储且第一个是 RDI寄存器。1.首先，构造payload1，得到puts的真实地址。ret用于64位栈平衡。
BUU ciscn_2019_n_1
xieyichensss的博客
03-19 463
**BUUOJ ciscn_2019_n_1** （今天来晚了，嘿嘿，出去唱歌了，被淋成落汤鸡） 1.老规矩，将其checksec和file一下，发现NX保护被打开了，且是64为的ELF文件。 2.那就放入IDA64内分析，按fn+F5查看c的代码，发现一个func（）的函数，双击进入 cat flag直接映入眼帘，我tm直接暗喜，有后门函数了诶，那就不慌了，直接看c的代码。 3.要想将后门函数覆盖到返回地址，那就必须要v2=11.28125，可是又没有v2的gets函数，我们...
BUUCTF_PWN - ciscn_2019_n_1
weixin_46009088的博客
12-06 432
BUUCTF_PWN - ciscn_2019_n_1 查看程序保护模式和文件基本信息 有个NX保护，如果要写shellcode有点麻烦，文件是64位小端程序（各条保护详情介绍请看胡写瞎写(1) pwntools常见命令) IDA载入 shift+F12寻找敏感字符串，发现一个cat /flag 查看该字符串的交叉引用: 查看该函数： 很明显这是通过栈溢出覆盖v2的值变成11.28125 拿到 flag 我们发现gets()并且v2是在 rsp + 2Ch，那就是说只要输入超过44个字符便可以覆盖.
PWN学习记录（4）BUUCTF-ciscn_2019_n_1
m0_58824086的博客
08-05 424
下载题目得到ciscn_2019_n_1，利用 file 命令查看该文件的类型，再通过checksec ./filename查看保护机制。将文件放入IDA中查看，打开字符串窗口。没有发现 /bin/sh，但找到了cat flag.txt。打开终端，输入vim 1.py 创建一个python文件（命名随意）NX enabled如果这个保护开启就是意味着栈中数据没有执行权限。将exp文件输入进1.py中，Esc+:wq保存并退出1.py。双击cat flag.text。打开main，F5反编译。
[每日一PWN]BUUCTF ciscn_2019_n_1
qq_55233040的博客
11-21 679
这道题双解，一种ret2text，另一种就是单纯的覆盖数据改变判断结果。
CTF buuoj pwn-----第4题:ciscn_2019_n_1
bing_Max的博客
08-29 784
CTF buuoj pwn-----第4题:ciscn_2019_n_1前言一. checkesc ,检测文件的保护机制二. 静态分析，IDA打开文件 前言 记录一下pwn的过程 同第1、2、3题一样,新手学习日记,流水线记录. 打开题目, 连接靶机，下载文件ciscn_2019_n_1 一. checkesc ,检测文件的保护机制 bing@bing-virtual-machine:~/pwn$ checksec ciscn_2019_n_1 [*] '/home/bing/pwn/cisc
ciscn_2019_n_1
weixin_56301399的博客
07-20 601
还是一道栈溢出的题，我们在那个可疑的函数里发现有两个变量，v1，v2，其中只有v1可以通过gets（）函数输入，但我们的判断的条件是v2=？？一个数，我们如和更改v2值呢，答案是通过v1的溢出来改变v2里的值。.........
[BUUCTF]PWN------ciscn_2019_n_1
BangSen1的博客
01-16 447
ciscn_2019_n_1 例行检查，64bit，NX保护开启 运行一下，没有信息 64位IDA打开，看到了cat flag ，跟进瞧瞧 函数显示 ，当v2等于11.28125时，得到flag，但要求 我们输入的是v1，所以我们只有把v1和v2 之间全部填满之后紧接着写入11.28125即可。 我们可以看到这两个之间的大小为0x2C 再将11.28125转换为内存中的16进制，结果为 0x41348000 摘自 exp 得到FLAG ...
ciscn_2019_n_8
03-24
### 关于CISCN 2019 N8题目的解析 在全国大学生信息安全竞赛（CISCN）中，Web方向的题目通常涉及漏洞利用、文件包含、反序列化攻击等内容。对于CISCN 2019中的N8题目，其核心考点可能围绕PHP反序列化漏洞展开。 #### PHP反序列化漏洞分析 在CISCN 2019 Web1题目中提到的内容表明，该赛事的部分题目设计基于PHP对象反序列化的特性[^2]。具体到N8题目，可能存在类似的机制： - **Payload构造**：通过精心构造的对象结构触发特定逻辑路径，实现任意文件读取或其他敏感操作。 - **关键点提示**：根据已有资料，在某些情况下需要调整`Handle`类的相关属性来适配目标环境的要求[^5]。 以下是针对此类问题的一个通用解决思路及其Python脚本示例用于生成payload： ```python import pickle class Exploit(object): def __reduce__(self): import os command = 'cat /flag' # 假设我们需要执行命令获取flag return (os.system, (command,)) def serialize_exploit(): serialized_data = pickle.dumps(Exploit()) with open('exploit_payload', 'wb') as f: f.write(serialized_data) serialize_exploit() ``` 需要注意的是上述代码仅为演示如何创建一个简单的pickle反序列化攻击向量，并不适用于实际比赛场景下的PHP应用；真正的解决方案需依据具体的程序行为模式定制相应的php序列化字符串形式的数据包提交给服务器端处理以达成预期效果。 #### 文件上传与包含技巧 如果N8还涉及到文件上传功能，则可以尝试以下方法绕过检测并植入恶意脚本： - 利用MIME类型校验不足上传图片马； - 结合LFI(Local File Inclusion)缺陷访问已上载至服务器上的特制图像文件完成进一步渗透活动。 综上所述，解答这类综合性较强的CTF赛题不仅考验选手们的技术功底同时也对其创造力提出了较高要求。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值