攻防世界-PWN进阶区-welpwn(RCTF-2015)

最新推荐文章于 2023-03-08 20:40:43 发布
最新推荐文章于 2023-03-08 20:40:43 发布
阅读量1k 收藏 1
点赞数
分类专栏： 攻防世界-PWN 文章标签： 栈
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44145820/article/details/104535634
版权
该博客详细分析了RCTF-2015比赛中welpwn挑战的解决过程，讨论了栈溢出的情况，由于存在NX保护，作者转向使用ROP技术。通过分析echo函数中的缓冲区溢出，并找到特殊的gadget，构造了两个阶段的ROP链来实现攻击，最终成功获取shell。
摘要由CSDN通过智能技术生成

题目分析

首先看一下开了哪些保护
在这里插入图片描述
因为开了NX，所以考虑使用ROP或者return-into-libc
用IDApro分析一下源代码
在这里插入图片描述
可以看出main函数中不存在注入点，我们看一下echo函数
在这里插入图片描述
在eho函数中，缓冲区至分配了0x10大小，但是传入的buf有0x400字节，因此可以看出存在溢出
不过拷贝遇到\x00就停止了，这个时候我们只能注入一个返回地址。
但是在ROPgadget里面能找到一个特殊的gadget，它就是破题的关键
在这里插入图片描述
我们先分析一下拷贝前的栈结构,（每格大小为8byte）
在这里插入图片描述
我们构造payload为’a’*0x18 + pop_4 + ROPchain，拷贝结束时栈的结构如下图所示
在这里插入图片描述
当4个pop完成时，栈结构如下
在这里插入图片描述
此时rsp指向ROPchain的开头，我们构造的rop链就能够执行了
第一次溢出的ROPchain如下：

pop rdi
read_got
puts_plt
main_addr

返回之后,第二次构造的ROPchain如下

pop rdi
/bin/sh addr
system

Exp

from pwn
最低0.47元/天 解锁文章
L.o.W
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
专栏目录
攻防世界 welpwn
10-07 304
1.题目 2.IDA分析 3.流程分析 流程很简单，输入buf，这里不存在溢出，然后进入echo方法，将buf复制到s2，当遇到\x00就结束。这个条件会导致p64(addr)后面的内容被截断（地址经p64包装后肯定会出现\0x00）。栈结构如下： 也就是说，s2只能复制buf前面32个单元的内容。为了使32位后面的内容得以执行，我们需要在ret位置跳去执行四个pop指令，去掉buf前32位内容（也就是复制到s2里面的这些内容），这样就能连贯执行32位之后的内容了。 所以，..
攻防世界 Pwn welpwn
MrTreebook的博客
12-25 2515
攻防世界 Pwn welpwn1.题目下载地址2.checksec3.IDA分析4.exp 1.题目下载地址 点击下载 2.checksec 没有canary 没有PIE 3.IDA分析 main函数中有一个可以输入的地方，但是不能溢出 接着往下看 在eho函数中，缓冲区至分配了0x10大小，但是传入的buf有0x400字节，因此可以看出存在溢出 不过拷贝遇到\x00就停止了，这个时候我们只能注入一个返回地址。 但是在ROPgadget里面能找到一个特殊的gadget，它就是破题的关键 我们
攻防世界 welpwn WP
Zarcs_233的博客
01-29 930
这道题出的确实很wel 拿到这题，查看保护 发现shellcode走不通，一般都是走rop路线 IDA打开，分析代码，发现main函数内调用了echo函数 这里的buf有0x400大，但是main不存在栈溢出，继续点开echo 这里我们发现有一个赋值的过程，但是a1也就是buff有0x400，而s2只有0x10字节。 很明显，复制过程中存在栈溢出，但是我一开始没发现这一点，那就是这个赋值的终止...
[XCTF-pwn] 10-welpwn-rctf-2015
weixin_52640415的博客
02-26 237
很久前的题，主程序里没有溢出，echo里遇0截断这里虽有溢出但也写不了rop，64们0太多了。 思路是，A*0x10+0这样会将rbp的尾部1字节置0，然后在payload尾部写rop,中间补ret int __cdecl main(int argc, const char **argv, const char **envp) { char buf[1024]; // [rsp+0h] [rbp-400h] BYREF write(1, "Welcome to RCTF\n", 0x10uL
攻防世界welpwn
weixin_56777139的博客
03-08 201
攻防世界welpwn
Wi-PWN_8.0_ENGLISH.bin
08-25
ESP8266的WIFI杀手固件，这是不带显示的。 我后续更新带OLED显示的固件。教程后将更新。
Wi-PWN_8.0_ENGLISH_OLED.bin
08-25
这是ESP8266的带OLED显示的WIFI杀手固件。
mqtt-pwn:MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式服务
05-02
MQTT-PWN MQTT是一种机器对机器的连接协议，被设计为一种极其轻量级的发布/订阅消息传递，并已被全球数百万个IoT设备广泛使用。 MQTT-PWN打算成为IoT Broker渗透测试和安全评估操作的一站式商店，因为它结合了枚举...
CSAWCTF-2018-pwn-shellcode|CSAWCTF-2018-pwn-shellcode
12-10
CSAWCTF 2018年pwn题 shellcode 变形shellcode练手题目，该题目主要是利用三个节点来注入shellcode，考验解题人对shellcode的熟悉程度。题解：https://blog.csdn.net/A951860555/article/details/110350773
ctf题库ctf-pwn赛题收集
03-31
ctf题库 CTF(夺旗赛)题库是一个由安全专家和爱好者们制作的一系列网络安全挑战。... ...每个类别都包含多个挑战，每个挑战都有一个或多个标志(flag)。参赛者必须通过解决每个挑战来获取相应的标志，然后提交标志以获得...
welpwn pwn 入门题
02-11
pwn 入门题
RCTF-2015——welpwn
05-11 325
64位程序 程序逻辑 1 int __cdecl main(int argc, const char **argv, const char **envp) 2 { 3 char buf; // [rsp+0h] [rbp-400h] 4 5 write(1, "Welcome to RCTF\n", 0x10uLL); 6 fflush(_...
[攻防世界]-welpwn
m0_55906008的博客
12-05 574
pwn
攻防世界高手进阶区 ——Welpwn
weixin_62675330的博客
03-21 869
攻防世界高手进阶区 ——Welpwn 分析文件 checksec分析 coke@ubuntu:~/桌面/CTFworkstation/OADW/welpwn$ checksec welpwn [*] '/home/coke/桌面/CTFworkstation/OADW/welpwn/welpwn' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX e
RCTF 2015 welpwn [ROP] [x64通用gadgets]
ACdream
01-26 784
先checksec一下： 漏洞点其实蛮好找的：程序里也没几个函数 main函数中read了一个字符串，然后当成参数传递给了echo函数 在echo中的函数的接收buffer长度仅仅为0x10，而且是一个一个字符赋值的，栈缓冲区溢出漏洞，0x10 + 0x8 = 0x18个填充 控制了ESP之后，程序开启了NX，一定想到的是ROP 这里的基础知识是： http:/...
菜鸟做题记--------welpwn（RCTF2015）
Return的博客
02-12 514
1.看下保护发现只打开了NX。 [*] 'home/ctf/welpwn' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x400000) 2.拖入IDA看下结果 int __cdecl main(int argc, const char **argv, const char **e
【PWN系列】攻防世界pwn进阶区welpwn分析
Vicl1fe的博客
10-11 473
个人博客地址 http://www.darkerbox.com 欢迎大家学习交流 分析 下载文件直接拖入ida分析。开了NX保护，一般就是rop 函数代码也比较简单。read那里也不存溢出。都是0x400。 紧接着调用了echo函数。 在echo函数中，将大小为0x400的buf中的值复制给大小为0x10的s2,。很明显会造成溢出。唯一的问题就是，如果Buf中含有\x00。会中断循环。 函数运行的整体流程就是，用户输入的字符串会存放到buf中，在echo函数中，将buf复制到s2时造成了溢出。通过循
welpwn（RCTF-2015）--write up
ATFWUS的博客
03-12 921
文件下载地址： 链接：https://pan.baidu.com/s/1MG2z9r4wz_WTEz1vIikqJQ 提取码：3tbc 0x01.分析 checksec： 源码分析： 流程非常简单，首先输入一个1024大小字符串，然后进入函数echo，这个函数会将buf的数据一个字节一个字节的复制到s2中，...
welpwn RCTF-2015 攻防世界
qq_41071646的博客
06-03 1641
参考链接 http://www.purpleroc.com/md/2015-11-17@RCTF-Writeup.html 这个题只是没有想到 找到这个点 然后 攻防世界 给的 so库也有问题 感觉 攻防世界的so环境都是 2.23的鸭 然后我就没有用DynELF 其实 可以在服务器看一下 地址 然后根据 后三位来判断是那个 只不过没有 DynELF 方便 思路就是 构造一个 ...
攻防世界pwn-forgot
最新发布
08-10
很抱歉，但是我无法回答你的问题。我只能提供关于麦田怪圈的信息。123 #### 引用[.reference_title] - *1* [攻防世界pwn题：forgot](https://blog.csdn.net/m0_62396648/article/details/125134327)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] - *2* *3* [攻防世界：PWN刷题-forgot](https://blog.csdn.net/m0_53932372/article/details/122244244)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] [ .reference_list ]
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值