angr学习笔记（7）（malloc地址单元符号化）

最新推荐文章于 2023-03-15 22:28:40 发布

原创最新推荐文章于 2023-03-15 22:28:40 发布 · 801 阅读

0 ·

CC 4.0 BY-SA版权

ctf 专栏收录该内容

148 篇文章

订阅专栏

博客围绕angr系列展开，包含00_angr_find到13_angr_static_binary等内容。还进行了伪代码分析，如找出起始地址的esp，符号化所需输入变量等。最后提及脚本及验证相关，如改变编码等操作。

部署运行你感兴趣的模型镜像

angr系列

00_angr_find

01_angr_avoid

02_angr_find_condition

03_angr_symbolic_registers

04_angr_symbolic_stack

05_angr_symbolic_memory

06_angr_symbolic_dynamic_memory

07_angr_symbolic_file

08_angr_constraints

09_angr_hooks

10_angr_simprocedures

13_angr_static_binary

文章目录

伪代码分析

在这里插入图片描述
首先记得找出起始地址的esp：

 	start_addr=0x08048699
    init_state=p.factory.blank_state(addr=start_addr)
    print("ESP:",init_state.regs.esp)

输出如下：
在这里插入图片描述

malloc的地址具有随机性，所以我们直接指定即可。

angr默认写入int数据，是大端写入，所以我们在这里不能缺少：


    buffer0=0x7fff0000-0x100
    buffer1=0x7fff0000-0x200
    
    buffer0_addr=0x0ABCC8A4
    buffer1_addr=0x0ABCC8AC

    init_state.memory.store(buffer0_addr,buffer0,endness=p.arch.memory_endness)
    init_state.memory.store(buffer1_addr,buffer1,endness=p.arch.memory_endness)

这一参数endness=p.arch.memory_endness来指定参数。

接着符号化所需输入的变量：

    p1=init_state.solver.BVS("p1",8*8)
    p2=init_state.solver.BVS("p2",8*8)

    init_state.memory.store(buffer0,p1)
    init_state.memory.store(buffer1,p2)

把栈的内存单元地址放在这个buffer0的内存单元里面，然后再去把栈的内存单元去符号化

在这里插入图片描述
buffer0=0x7fff0000-0x100也就是需要符号化的内存单元（也是把原来malloc开辟的空间，返回开辟空间的地址，把这个给丢弃，紧接着把栈中空间地址赋给buffer0）

脚本：

import angr
import sys
def main(argv):
    bin_path=argv[1]
    p=angr.Project(bin_path)

    start_addr=0x08048699

    init_state=p.factory.blank_state(addr=start_addr)

    print("ESP:",init_state.regs.esp)

    buffer0=0x7fff0000-0x100
    buffer1=0x7fff0000-0x200

    buffer0_addr=0x0ABCC8A4
    buffer1_addr=0x0ABCC8AC

    init_state.memory.store(buffer0_addr,buffer0,endness=p.arch.memory_endness)
    init_state.memory.store(buffer1_addr,buffer1,endness=p.arch.memory_endness)

    p1=init_state.solver.BVS("p1",8*8)
    p2=init_state.solver.BVS("p2",8*8)

    init_state.memory.store(buffer0,p1)
    init_state.memory.store(buffer1,p2)

    sm=p.factory.simgr(init_state)

    def is_good(state):
        return b'Good Job.'in state.posix.dumps(1)

    def is_bad(state):
        return b'Try again.' in state.posix.dumps(1)
    sm.explore(find=is_good,avoid=is_bad)

    if sm.found:
        found_state=sm.found[0]
        pass1=found_state.solver.eval(p1)
        pass2=found_state.solver.eval(p2)
        print("Solution: {} {}".format(pass1,pass2))
    else:
        raise Exception("Solution nou found")

if __name__=='__main__':
    main(sys.argv)

在这里插入图片描述

6143547931880145494 6146937700559509843

改变编码后

        pass1=found_state.solver.eval(p1,cast_to=bytes).decode("utf-8")
        pass2=found_state.solver.eval(p2,cast_to=bytes).decode("utf-8")

记得加cast_to=bytes
在这里插入图片描述

验证

在这里插入图片描述

您可能感兴趣的与本文相关的镜像

Llama Factory

模型微调

LLama-Factory

LLaMA Factory 是一个简单易用且高效的大型语言模型（Large Language Model）训练与微调平台。通过 LLaMA Factory，可以在无需编写任何代码的前提下，在本地完成上百种预训练模型的微调