[BUUCTF]-PWN:ciscn_2019_n_3解析

已于 2024-01-20 20:56:50 修改
阅读量922 收藏 6
点赞数 27
分类专栏： PWN 文章标签： chrome 前端 网络安全 安全
于 2024-01-20 05:10:40 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/2301_79326813/article/details/135710187
版权

堆题，先看保护

4e711962dad4460482bdfe4a14d86d86.png

32位，Partial RELRO，没pie关键信息就那么多，看ida

2de9f379d5764cefb5cd8de24c877e34.png

大致就是alloc创建堆块，free释放堆块，dump打印堆块内容

28c12b2c83ea4c29ad92b91464c25972.png

但是仔细看这三个函数就可以发现在实际运行中，会先创建一个存有free相关函数的地址和打印堆块内容相关函数的地址。

2fec1c8001784d7eb9d4d3a7dd5aba8b.png

看delete函数并结合动态调试，可以知道释放堆块的过程实际上是调用先创造的12字节堆块的rec_str_free。那也就意味着无论那块地址存的是哪里的地址，我们在free堆块时他都会执行，并且题目给了我们system。注意，这里释放堆块之后并没有清除指向堆块的指针，也就是存在records数组的地址，所以我们可以利用这一漏洞修改12字节堆块中fr

最低0.47元/天 解锁文章
[BUUCTF]-PWN:ciscn_2019_final_3解析(tcache dup)
2301_79326813的博客
02-15 517
查看保护RELRO保护为FULL，got表不可修改，只能修改hook表了查看ida这里的大致功能为alloc创建堆块（可填充内容）、free释放堆块（但是不清空指针）值得注意的就是创建堆块大小不可以超过0x78（实际大小会对齐）
[BUUCTF]-PWN:ciscn_2019_es_7解析（系统调用execve，srop）
2301_79326813的博客
01-30 539
这道题好像和buu的ciscn_2019_s_3是一模一样的看保护64位，没开canary和pie看ida题目还有能往rax传递0x3B和0xf的函数，这就提示我们可以用系统调用来getshell。
ciscn_2019_n_3
12-30
ciscn(全国大学生信息安全竞赛)，2019年的一道题目，涉及到fastbin堆漏洞的利用。由于调用了system函数，所以漏洞利用的难度不大，推荐初学者练习。题解链接：https://blog.youkuaiyun.com/A951860555/article/details/111991072
buuctf ciscn_2019_n_3
weixin_45677731的博客
08-31 304
do_new函数： 申请一个0xc大小的chunk，前四个字节存放的是输出函数的地址，中间四个字节存储的是删除函数的地址，最后四个字节，因数据类型的不同而不同 当你选择整数类型，最后四个字节存放的就是一个数字 当你选择文本类型，你就可以向程序请求申请一个一定大小的chunk用于存放文本，而最后四个字节存放的就是这个新的chunk的地址 do_dump函数： 输出内容 do_del函数： 发现free并未将指针置0，再看rec_int_free函数和rec_str_free函数，也没有置0，存在UAF的漏
[BUUCTF]PWN——ciscn_2019_n_3
mcmuyanga的博客
01-06 1124
ciscn_2019_n_3 附件 步骤 例行检查，32位，开启了nx和canary保护 本地试运行一下，经典的堆题的菜单 3.32位ida载入 new（），申请了两个chunk，第一个chunk（13行）固定大小0xC，存放的是rec_int_print和rec_int_free函数的地址，第二个chunk（32行），是我们申请的chunk del() 如果值是整数，直接 free chunk 如果值是字符串，则 chunk 和存储字符串的 chunk 都要 free。注意这里只是进行了
[BUUCTF-pwn]——ciscn_2019_n_3
Y_peak的博客
11-20 3217
[BUUCTF-pwn]——ciscn_2019_n_3 结构体： //该结构体仅仅是选择字符串的时候的结构体 struct chunk { void *rec_str_print(); void *rec_str_free(); char *str; } //该结构体仅仅是选择数字的时候的结构体 struct chunk { void *rec_int_print(); void *rec_int_free(); int number; } 这道题目就是简单的u
[BUUCTF]-PWN:ciscn_2019_es_1解析(tcachebin duf)
最新发布
2301_79326813的博客
02-17 390
查看保护再查看ida大致为alloc创建堆块，free释放堆块，show输出堆块内容但是要注意一点free没有清空堆块指针。
日行一PWN之ciscn_2019_c_1不给出libc题型
m0_57221101的博客
06-02 905
BUUCTF ciscn 依旧使用buu提供的题这次大体和上次babyrop一样，都是使用源程序中不存在的函数来进行攻击，区别在于此次没有给出libc的版本，我们需要自己暴漏libc的版本以及本次的64位程序，在传参上和32位程序的一些不同闲话少叙，后面需要的知识点我们后面再学，我们便分析边聊checksec分析64位的程序，只有数据段免执行保护。地址为0000000000400B28我们可以通过telnet连接一下看看她在干什么可以看到是一个简单的输入判断
[BUUOJ] ciscn_2019_n_3
Joaus的博客
10-06 1882
这里写自定义目录标题漏洞点漏洞利用exp 漏洞点 可以看到主要就是在free的时候没有将相应的数组里的置0，可以导致UAF的漏洞： 漏洞利用 由于本题将printf和free函数的指针都放在了申请的堆上，而且程序调用了system函数因此我们就不用泄露libc基址了，我们的目标就是取得对存放指针的堆块的控制。 我们可以利用fastbin的LIFO的机制，取得对存放指针的堆块的控制，修改free指...
ciscn_2019_ne_3
seaaseesa的博客
05-07 485
ciscn_2019_ne_3 (在rop长度过小情况下，通过read劫持read自身的返回来达到后续大量rop) 首先检查一下程序的保护机制 然后，我们用IDA分析一下，32位栈溢出，难点在于结束变更了两次esp，因此，我们单纯的溢出，直接会造成esp变更到一个无效的地址处。 因此，我们需要将将ecx覆盖为bss段，将栈切换到bss上进行rop。但是切换到bss之前，需要先...
ciscn_2019_n_3 题解
lifanxin的博客
12-30 697
Write Up知识点关键字样本运行静态分析求解思路求解脚本 知识点关键字 UAF fastbin 样本 ciscn_2019_n_3 运行 检查样本   32位小端程序，开启了栈保护和NX保护。 运行样本   样本的运行结果如上图所示：该程序主要模仿了一个笔记管理的功能，选项1可以开辟新的节点，会让选中是整型还是文本；选项2会让我们根据索引删除一个节点；选型3可以打印一个节点中存储的数据信息；选项4主要是打印一个随机生成的金钱数目，告诉你没法购买Pro版本。   此处不赘述也不一一截图运行结果，读者可
ciscn_2019_n_3 writeup
SkYe's Blog
10-24 656
基本情况 这题被环境坑了一把，用的是 docker 环境做题，checksec 检测是保护全开，ida 分析时也没有留意地址都是真实地址，所以一直没想用 system@plt getshell 。。。后面才发现程序是关闭 PIE ，程序有 system ，直接调用不需要泄露 libc 操作。 程序是一个有增删查的堆管理器，根据存储资料的类型分为两类，对应结构体如下： struct int_chunk { void *rec_int_print(); void *rec_int_free();
ciscn_2019_n_3[use after free]
、moddemod
07-05 289
exp from pwn import * context.log_level = 'debug' def debug_pause(): log.info(proc.pidof(p)) pause() def new_note(idx, _type, length, value): p.sendlineafter('CNote > ', str(1)) p.sendlineafter('Index > ', str(idx)) p.sendlin..
ciscn_2019_n_3 Writeup
Calllin的博客
05-10 525
前提 本程序中的释放堆块后未对堆块指针置空，从而可能引发UAF。 程序本身带有函数system()，可以直接使用system@plt的方式使用该函数。 涉及堆块结构的代码如下下文所示，第一种块大小固定位0x10（0x11），有一种块大小可控，最大为0x400。 //当堆块结构是integer时 *(_DWORD *)v3 = rec_int_print; *(_DWORD *)(v3 + 4) = rec_int_free; *(_DWORD *)(v3 + 8) = ask("Value"); //
ciscn_2019_n_3题目细说
Tw0的博客
02-04 271
修正一些exp讲解思路不对的地方，讲述真正getshell的原理。
buuoj刷题记录 - ciscn_2019_n_3 1
qq_34010404的博客
03-15 498
查看程序保护: IDA分析程序,可以发现程序存在UAF漏洞： 只要使某一个Node的数据区域和已经free的Node的12个字节相重合,就可以修改函数地址. 只需要这样构造即可: 释放掉Node1,Node0,然后add一个 content为12字节的Node.就可以修改Node1的前12个字节. 1.可以修改Note1的前四个字节为 ‘sh\x00\x00’,后四个改为system.plt 2.可以修改Node1前四个字节为system.plt 的下一条指令地址(直接jmp由于该指令的地址低字节为
【buu刷题】ciscn_2019_final_3
m0_73756460的博客
03-18 492
【buu刷题】ciscn_2019_final_3 write up
ciscn_2019_pwn挑战赛：破解五道经典题目解析
资源摘要信息:"ciscn-2019-pwn包含五个不同难度级别的pwn挑战题目，分别为baby_pwn、bms、daily、Double和your_pwn。这些题目要求参赛者具备扎实的二进制漏洞挖掘和利用能力，以及对操作系统底层安全的深刻理解。接...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值