2019.7.25 ret2libc3 填充从112遍为104

最新推荐文章于 2025-07-17 03:09:36 发布
原创 最新推荐文章于 2025-07-17 03:09:36 发布 · 592 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文探讨了一道没有system函数和/bin/sh的栈溢出题目，解题策略涉及泄露libc的相对路径。核心在于理解填充值从112变为104的原因，这与程序的内存对齐机制有关。通过使用gdb进行调试，揭示了这个变化过程。

在这里插入图片描述
这道题目存在栈溢出，没有system函数，/bin/sh，需要我们自己泄露，解题思路跟前一篇博客的思路是一样的。讲一下怎么用libc的相对路径。
在这里插入图片描述
着重讲一下为什么开始的填充是112，后面填充变为了104。主要是程序为了对齐。我们可以用gdb来调试一下，来看看他变化的过程。
变化前：
在这里插入图片描述
变化后：
在这里插入图片描述
放exp：
在这里插入图片描述

最低0.47元/天 解锁文章
Wiki-ret2libc3
TedLau的博客
03-20 634
0x 00 前言 因为libc3里面没有自带的system函数，我的水平又比较低，之前的kali里面没有更新libc-database，导致以为是自己的kali系统的问题，所以一直就没有学这方面的内容，这次更新了ubuntu中的libc-database，从而使得这方面的题目可以正常运行了，所以就来学习了，我觉得正常的比赛中也是不常有带有system函数的，故打算写出来以加深印象。这周再学习...
ret2libc3
m0_49959202的博客
08-06 510
文章目录ret2libc31.程序分析2.栈帧设计3.exp编写 ret2libc3 当前的ret2libc3：无system，无”\bin\sh“ 1.程序分析 首先file一下，发现是32位程序： checksec一下，发现没有开启pie ida分析程序： 发现有个See_something()函数可以用来泄露具体给定地址内的信息： main函数内还有个Print_message()，可以用来栈溢出： [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-SKJoX7
【pwn】基础ROP攻击实战：ret2libc3
ethan18的博客
07-10 642
这里用来记录一下关于PWN中ROP攻击的各种过程和经验ROP攻击是针对那些使用了NX防护的程序，开启NX防护的程序使得栈以及堆上的代码没有办法被执行，导致不能单独将函数栈中的返回地址修改到函数帧中。ROP主要思想是在栈缓冲区溢出的基础上，利用程序中已有的小片段 (gadgets) 来改变某些寄存器或者变量的值，从而控制程序的执行流程。讲起来还是很抽象，我的理解就是利用了函数帧中的返回地址，以及具有gadgets（也就是带着ret指令的一段汇编语句）都算是ROP攻击。这里我挑一个最经典的ROP作为实战。
基本ROP之ret2libc3
至臻求学，胸怀云月
02-15 7323
ret2libc思路 ret2libc就是控制函数的执行libc中的函数，通常是返回至某个函数的 plt 处或者函数的具体位置 (即函数对应的 got 表项的内容)。一般情况下，我们会选择执行 system("/bin/sh")，因此我们通常需要找到 system 函数的地址。 ret2libc通常可以分为下面这几类： 程序中自身就含有system函数和"/bin/sh"字符串 程序中自身就有s...
ROP-基础-ret2libc3
ATFWUS的博客
02-29 2421
文件下载地址： 链接：https://pan.baidu.com/s/1IMZt9WIlXDZBX2J-hoCyNA 提取码：jrsx 0x01.分析 checksec: Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enab...
pwn ret2libc
清霂的博客
02-04 642
目录1.攻防世界 level32.buu babyrop3.buu ciscn_2019_c_1 1.攻防世界 level3 把文件放到kali里面发现是一个压缩包（放入exeinfo里面也可以发现是压缩包），解压缩得到level3和libc.so文件 file checksec ida32 进入漏洞函数vunl（），发现有栈溢出漏洞 没有system函数和/bin/sh 题目提示了用libc。 libc.so是一个函数库（类似于C语言#include<iostream>的iostrea
[OGeek2019]babyrop(ret2libc)
qq_45691294的博客
12-14 414
题目给出了一个动态链接文件，是ubantu16的系统，先进入到题目环境里，可以直接进行输入，无回显，先checksec文件查看一下保护 IDE分析一下程序 先看主函数，读取了随机数，读到了buf的内存空间里，然后将这个随机数传入到sub_804871F的函数里 进入到sub_804871F函数 首先，发现函数中有个字符串的比较，如果字符串不相同，则会直接退出程序，而s是main函数中的buf（随机数），所以要想办法直接绕过这个比较，所以v1必须等于0。 v1 = strlen（buf），strlen这个
BUUCTF刷题之路-ciscn_2019_c_11
qq_30528603的博客
05-29 558
因为程序走到这时puts函数已经执行过了，got表里面填充的就是puts函数的真实地址，因此我们再次调用一次puts函数并把puts的got表的内容当做参数传给puts函数，所以程序会去puts_plt去执行puts函数，并把puts函数的真实地址打印出来。我们分析这里是做什么的，得到了puts_addr这个puts函数的真实地址，减去puts在libc的偏移得到Libc加载的真实基地址，然后利用基地址加上system函数的偏移得到system函数的真实地址。这是个64位的程序，没有开启金丝雀和PIE。
【CTF题解NO.00004】BUUCTF/BUUOJ - Pwn write up by arttnb3
arttnba3的博客
11-20 1729
GITHUB BLOG LINK THERE 文章目录[GITHUB BLOG LINK THERE](https://archive.next.arttnba3.cn/2020/09/08/%E3%80%90CTF%E9%A2%98%E8%A7%A3-0x04%E3%80%91BUUOJ-Pwn-write-up-by-arttnb3/)0x000.绪论0x001.test your nc - nc0x002.rip - ret2text0x003.warmup_csaw_2016 - ret2text0
pwn ——ret2libc3
qq_41696518的博客
07-06 1026
ret2libc3
pwn学习-ret2libc3
Sa1nZen的博客
06-30 775
pwn学习-ret2libc3
好好说话之ret2libc3
hollk’s blog
06-22 1935
题目路径： /ctf-challenges/pwn/stackoverflow/ret2libc/ret2libc3 看一下C代码 #include <stdio.h> #include <stdlib.h> #include <time.h> char buf2[100]; void secure(void) { int secretcode, in...
ret2libc3_x86
最新发布
aksghj的博客
07-17 375
这里要进行两次溢出，第一次先用puts泄漏某个函数(这里是gets)的got地址，然后再用计算出的libc库偏移找到system和“/bin/sh”ret2libc3中，只有一个gets的溢出，system和“/bin/sh”都需要自己获取。实际题目中常常要用到LibcSearcher之类的小工具来寻找libc库版本。答案是动态链接库中的函数和字符串。先用gdb的vmmap找到库地址。与retlibc2保护相同。
栈溢出实例--笔记三（ret2libc）
一只青木呀
08-07 1797
栈溢出实例--笔记三（ret2libc）1、栈溢出含义及栈结构2、ret2libc基本思路3、实战3.1、二进制程序如下3.2、查看栈结构3.3、第一次栈溢出3.4、第二次栈溢出 1、栈溢出含义及栈结构 请参考栈溢出实例–笔记一（ret2text) 栈溢出实例–笔记二（ret2shellcode） 2、ret2libc基本思路 在当一个程序开启了NX（栈不可执行）的时候，我们没办法去写shellcode，而且程序中也没有system函数供我们调用的时候，那此时我们该如何做呢？ 首先，程序本身没有system
Pwn学习-ret2libc三联
cdl10000的博客
11-05 545
正常请求ebp要ret至main函数，因此把此间的变量覆盖成其他的函数地址。此处调试过程需要注意，输入的位置是gets函数，要继续调试至main函数再查看stack，计算此时的偏移量，偏移量为112。此题目与上一题最大的区别就是没有/bin/sh，那么结合攻击思路，需要写一个/bin/sh进去执行。调试过程中有坑，需要一个地址能够写进程序，使用IDA调试，发现buf2函数可以写入。继续跟进调试，直至ret至下个main函数，再查看stack。思路一样，减少找函数的过程，提升解题效率。
Ret2libc
iextract的博客
04-24 743
昨晚同学问了关于ret2libc时参数布置的问题，今天在此记录 假设熟悉stack overflow Ps：ret2libc是为了对抗DEP/NX产生 栈的布置在说明ret2libc之前，栈的布置需要提前说明一下，以以下简单代码为例#include <stdio.h>int trap(int x) { int y=0; y+=x; return y; }int m
从零开始学逆向：理解ret2libc-3
weixin_44626085的博客
02-20 1698
题目下载链接：https://pan.baidu.com/s/1wk3JFQBHgVZ0vjfnQk60Ug 提取码：0000。
栈溢出入门0x07 ret2libc3&Hijack GOT
砖家
10-04 1163
使用patchelf保证ret2libc3的实验结果一致性，先泄露函数地址后得到libc版本和加载基地址之后计算出system和/bin/sh的真实加载地址，从而getshell
ret2libc3地址泄露--pwn
weixin_44642009的博客
03-17 2942
练习三–ret2libc3地址泄露 在此实验前，我们从简到难实验了ret2libc1，ret2libc2两个实验，对getshell有了一定了解，基本学会了如何在有无system及/bin/sh函数的情况下获取权限，在此以实验二的名为pwn的可执行文件为入手点，进行getshell。 首先，对ret2libc3可执行文件进行检测， checksec ret2libc3 结果如图： 发现其不存...
[*] Process &#39;./ret2libc3&#39; stopped with exit code -11 (SIGSEGV) (pid 5146)
03-24
根据用户提供的引用内容，特别是引用[2]提到的栈溢出漏洞，以及引用[3]和[4]中提到的ret2syscall和ret2libc技术，看起来用户可能在尝试进行ROP（Return-Oriented Programming）攻击，利用栈溢出漏洞来执行系统调用或...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值