cgpwn2(xctf)

最新推荐文章于 2022-11-05 16:00:22 发布
最新推荐文章于 2022-11-05 16:00:22 发布
阅读量383 收藏
点赞数
分类专栏： # xctf(pwn新手区) CTF
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43868725/article/details/105961533
版权
博客分析了一个cgpwn2(xctf)比赛中的程序，指出程序存在栈溢出漏洞。在hello()函数中，通过构造特定的输入覆盖全局变量name，达到调用system()函数执行/bin/sh的目的，从而获得shell。利用过程中涉及了栈布局、.bss段、p32函数和shellcode。
摘要由CSDN通过智能技术生成

0x0 程序保护和流程

保护：

流程：

main()

hello()

可以发现在hello()中存在栈溢出。

0x1 利用过程

在函数窗口中发现了system()函数，所以我们只需要字符串"/bin/sh"。就可以getshell了。仔细观察程序可以发现name变量是全局变量存放在.bss段中。

所以我们只需要向name中输入"/bin/sh"，s=‘a’*(0x26+4)+p32(system_addr)+p32(0)+p32(bin_sh_addr)就可以完成利用了。

0x2 exp

from pwn import *
bin_sh_addr<
最低0.47元/天 解锁文章
攻防世界 when_did_you_born
09-28 266
1.题目 2.IDA反汇编C程序 3.程序流程分析 首先输入Birth，如果Birth==1926直接退出；否则，输入Name，这时，判断Birth是否==1926.等于则get flag。 很明显，输入名字就是专门为我们提供溢出点的。两个变量的位置如下图： 0x20 - 0x18 = 0x8 也就是说name和birth之间间距8个单元。exp如下 from pwn import * #io = process('./when_did_you_born') io = remo
format2(xctf)
weixin_43868725的博客
09-02 744
0x0 程序保护和流程 保护： 流程： main() 接收一个最长为30的字符串，通过base64解密后长度小于12就会将解密后的字符串复制到input处，之后调用auth()。 在将input中的字符串复制到v4的时候存在四个字节的溢出。如果返回值为1的话就会进入correct()。 此时如果input==0xDEADBEEF的话就能够getshell了。 0x1 利用过程 1.虽然checksec提示说程序开启了canary但是在主要逻辑上的函数都没有开启canary，所以可以进行溢出。 2.因
day-10 xctf-cgpwn2
a525024162806525的博客
09-30 190
xctf-cgpwn2 题目传送门：https://adworld.xctf.org.cn/task/answer?type=pwn&number=2&grade=0&id=5059&page=1 拿到题目，checksec，发现No canary found ，唔。。。。 运行一下，大概功能是：输入名字，输入message,...
XCTF-pwn-cgpwn2 - Writeup
菜小狗.的博客
08-13 6769
虽然现在做的pwn题虽然很简单，但是已经慢慢的开始对解pwn题的过程有一些基础的思路了。 首先惯例流程走一遍： 丢到ida 瞅一眼 有看到system但是没有看到/bin/sh 查看hello的伪代码发现一些有趣的东西： 在这儿看到了gets()函数，这说明可能在这儿存在溢出漏洞。 同时点开上面的name，发现name固定的全局变量bss段 因而我们可以将/bin/sh构造进这个地址当中。...
cgpwn2 [XCTF-PWN]CTF writeup系列10
重新启程
12-20 553
题目地址：cgpwn2 先看看题目内容： 照例检查一下保护机制 root@mypwn:/ctf/work/python# checksec 330890cb0975439295262dd46dac13b9 [*] '/ctf/work/python/330890cb0975439295262dd46dac13b9' Arch: i386-32-little R...
攻防世界cgpwn2
zyh18851473527的博客
08-05 924
首先checksec，之后放入IDA中 点进hello 发现gets()函数可能会存在栈溢出，然后我们点进name 发现 name 地址是固定的，那我们可以它写入 bin/sh ，接着看能不能找到system 找到啦！所以这个题目的思路是：通过栈溢出漏洞，调用system函数，同时在name中写入"/bin/sh"，把参数地址设置为name的首地址，就可以getshell了！ gets() ...
【XCTF-RE】新手练习区-csaw2013reversing2.exe
08-03
题目：https://adworld.xctf.org.cn/task/task_list?type=reverse&number=4&grade=0&page=1 我的解题记录：https://www.yuque.com/jianouzuihuai/study/ova41g
XCTF-mobile app2
01-03
app2-安卓逆向1.提取文件2.分析文件3.分析XML文件4.经过验证得到flag5.其他解法 下载地址：点此下载 1.提取文件 更改app安装包后缀为zip 把这3个文件解压出来 然后使用dex2jar将dex文件转换为jar文件，得到一个jar...
Xctf Reverse菜鸟题解之csaw2013reversing2
weixin_44007261的博客
10-20 304
Xctf Reverse菜鸟题解之csaw2013reversing2IDA Pro静态分析x32dbg动态调试分析绕过反调试机制 IDA Pro静态分析 x32dbg动态调试分析 绕过反调试机制 做了Xctf上的一道新手题，感觉坑不少，遂把自己的思路和步骤发上来分享一波，本人逆向菜鸟一只，大佬轻喷。 首先进入题目界面，看到简介上说，直接运行就可以拿到flag 我们先看一下文件的一些信息： 可以看到是windows下32位pe文件，我这里用wine先跑了一下，结果是一堆乱码： 这里可以看到这个mess
pwn之cgpwn2
qq_43430261的博客
10-22 759
https://blog.csdn.net/qq_43986365/article/details/94974853 https://blog.csdn.net/Closing_time/article/details/100428850 https://www.jianshu.com/p/3d19056282bf https://bbs.pediy.com/thread-254851.htm ...
攻防世界 cgpwn2
BengDouLove的博客
03-19 480
乍一看是个普通的溢出，但是没有给binsh字符串，我就想到bugku pwn4里面也是没有字符串，用的$0做字符串，也达到binsh的效果 可是一看只有$么得$0… 然后我就开动脑筋，这回还真没看别人的wp，自己想的，可喜可贺 我灵机一动，，前面输入名字是什么玩意，，点进去name一看在bss段上，，那不就可以找到了，他也没开pie 第一次输入/bin/sh不就完了，然后第二次溢出覆盖返回...
[攻防世界]cgpwn2
逆向萌新的博客
06-11 420
[攻防世界]cgpw2n
攻防世界-cgpwn2
qq_45771413的博客
04-23 291
查看保护 无栈保护，无PIE保护 IDA 两次输入，一个输入名字（限制了输入长度），一个输入信息（gets可以作栈溢出） 解题思路 shift+f12查找字符串并没有发现/bin/sh，可能需要自己整，或者藏在某个变量里 在找_system函数的过程中，发现了pwn命名的函数，进入发现有system调用，第一次做的时候看到system就乐了，直接溢出s，然后跳转到pwn地址，结果真就只有 hehehe …… 估计这是出题人的恶趣味…… 后来我在函数列表里找到了真正的_system，括号内的comma
【pwn学习笔记2】cgpwn2（攻防世界新手pwn题）
weixin_45927195的博客
03-14 529
改变system函数的参数 先运行，发现可以输入两次。再查看防御机制，开启了NX保护，即堆栈不可执行。 用ida查看主函数，发现只有一个hello()函数。查看其内容，直接找到运行时看到的"please tell me your name"。第一次输入规定了长度，第二次没有规定，存在漏洞： 找到一个后门函数pwn()，存在 call _system语句，但是这个函数的参数"echo heheh...
攻防世界PWN-cgpwn2
Deeeelete的博客
11-14 418
题目：cgpwn2 拖进PE查看一下 32位程序 checksec查看 简单执行一下 开32位IDA f5反编译main函数 main函数中直接就是输出了，输入的内容好像藏在了hello方法里 双击进去查看 单独拿出源码 char *hello() { char *v0; // eax@1 signed int v1; // ebx@1 unsigned int v2; // ecx@3 char *v3; // eax@5 char s; // [sp+12
2019.7.17 功放世界 cgpwn2
DSR446的博客
07-17 341
以下是该题的脚本： # -*- coding:utf-8 -*- from pwn import * elf=ELF('./cgpwn2') p = remote('111.198.29.45',47681) addr=0x804A080 #点击name，获得name的地址。 p.recvline() p.sendline('/bin...
攻防世界pwn新手练习（cgpwn2）
BurYiA的博客
03-26 546
题目链接 分析 我们来看这道题，首先checksec并运行一下 可以看到是32位程序，有两个输入点，保护只有 NX。 接下来我们在ida中看看分析。在hello函数的最后我们可以看到这些东西 这就是程序给我们的两个输入点，可以看到第二个是 gets ，那就很方便了，直接溢出利用就行，翻看其他函数我们可以发现有一个system函数 很遗憾的是只有system函数而没有我们需要的shellco...
攻防世界pwn——cgpwn2
qq_62076255的博客
11-05 374
攻防世界pwn——cgpwn2
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值