CTFshow-PWN-栈溢出（pwn65 详细版）

于 2025-07-14 17:16:07 发布
阅读量1.2k 收藏 20
点赞数 41
CC 4.0 BY-SA版权
分类专栏： PWN67 文章标签： linux CTF 安全 pwn shellcode alpha3
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Myon5/article/details/149328864

检查一下：64 位程序，存在 PIE 保护，程序中存在 RWX 段

无法反编译

直接看汇编

调用 read 读取 0x400 到 buf

如果读入数据长度大于 0 就跳转到 loc_11AC

否则跳到 locret_1254，函数直接结束

可以看到 loc_11AC 中 将 var_4 置零后，跳到 loc_123A

继续看 loc_123A，判断 0 是否小于读入字节数，满足则跳转到 loc_11B8

了解本专栏 订阅专栏 解锁全文 超级会员免费看
CTFshow-PWN-栈溢出（pwn49）两种方法+动调分析
Welcome To Myon'Blog !
06-09 1296
执行后，可以看到 0x80da000 往后部分为可读可写可执行权限。看似开了 canary 保护，实际没有，是 checksec 版本太老了，检测到 __stack_chk_fail 函数就算开了。看似和上一题一模一样，但是细心的小朋友应该注意到了，左边多出了很多函数，说明这个程序是静态链接的，静态链接就意味着没法去打 ret2libc了，还是无 system 无 /bin/sh，考虑打 ret2syscall。
CTFshow-PWN-栈溢出（pwn50）
最新发布
Welcome To Myon'Blog !
06-10 182
摘要：本文描述了一个64位程序的ROP攻击过程。通过gets函数溢出，利用ret2libc技术，先使用puts函数泄露真实地址，找到gadgets（pop rdi;ret和ret指令）。攻击分两步：首先构造payload泄露puts函数地址，计算libc基址；然后组合system和/bin_sh地址实施攻击，最终成功获取flag（ctfshow{11ba423c-006e-429f-9ebd-9fb219f3611f}）。整个过程涉及动态链接库地址计算和ROP链构造技术。
CTF PWN简单栈溢出
2301_81031055的博客
01-25 676
（mov esp,ebp）意思是先将ebp赋给esp，此时esp与ebp位于同一个地址，可以把它们现在指向的那个地址，既可以当成栈顶又可以当成是栈底。因为填充的数据后面跟的就是栈，所以它会将栈地址顺带打印出来，接下来我们继续编写脚本。到这里，我们的第一次输入就算完成了，在第二次输入的时候就能去构造payload。（此时栈顶的内容也就是ebp的内容，也就是说现在把ebp的内容赋给了esp）在这里我们发现有system函数，我们可以利用system函数的plt表。我们会发现溢出字节较少，考虑用栈溢出解题。
ctfshow吃瓜杯 八月群赛 WriteUp/WP
mumuzi的博客
08-16 3069
可以 Web: shellme 题目问题，没什么说的，进去直接搜ctfshow就是flag 热身 签到题，做过web入门的都应该知道怎么绕，分开来看 比如第一个部分可以用小数绕过，第二部分没有字母，可以用8进制绕过。 所以目前得到的payload是 num=010574 但是第三部分还要看0是不是出现在首位，这里就可以用+号，来凑个数 最终payload num=+010574 PWN wuqian 只会最简单的，别骂了 就一个栈溢出，找到rdi、system、/bin/sh的地址就行了 from
CTF——PWN——栈溢出（1.woof）
qq_45215609的博客
09-10 618
CTF——PWN——栈溢出（1.woof）
CTF——PWN——栈溢出（3.Easy_ShellCode）
qq_45215609的博客
09-18 850
CTF——PWN——栈溢出（3.Easy_ShellCode），bss段上的ret2shellcode
CTF中的PWN——无安全防护（栈溢出）
壊壊的诱惑你的博客
09-20 2782
前言 今天心情不错，人最大的敌人真的就是自己！！！ 好久没学PWN和逆向了，今天写一篇关于CTF中PWN的文章回忆一下。本文主要讲的是利用栈溢出的基础PWN，分别有使用shellcode类型、满足函数条件类型及使用软件自带system函数类型，其中自带system函数的类型软件因为传参方式不同进而分为32bit与64bit的软件。 满足函数条件类型 很low的命名...
ctf(pwn)栈溢出介绍
半岛铁盒的博客
03-05 1793
栈溢出指的是程序向栈中某个变量中写入的字节数超过了这个变量本身所申请的字节数，因而导致 与其相邻的栈中的变量的值被改变。这种问题是一种特定的缓冲区溢出漏洞，类似的还有堆溢出，bss 段溢出等溢出方式。栈溢出漏洞轻则可以使程序崩溃，重则可以使攻击者控制程序执行流程。此外，我们也不难发现，发生栈溢出的基本前提是 程序必须向栈上写入数据。 写入的数据大小没有被良好地控制。 一般来说，我们会有如下的覆盖需求 覆盖函数返回地址，这时候就是直接看 EBP 即可。 覆盖栈上某个变量的内容，这时候就需要更加精细的.
ctfshow--pwn入门--栈溢出
pandasaymmm的博客
06-21 402
这题像极了pwn23 代码就是判断我们输入的参数是否大于1，如果大于1进入ctfshow()函数并且将我们输入的第一个参数作为ctfshow函数的参数。ctfshow函数用到了strcpy()函数，而这个函数是可以发生溢出的。
CTFSHOW-PWN入门-栈溢出（35-42）
2402_84585385的博客
10-09 1027
发现hint函数中存在system函数，useful函数存在sh，根据题目的提示得知或许sh可以替代bin/sh，找到sh的地址为0x80487BA。发现hint函数中存在system函数，useful函数存在sh，根据题目的提示得知或许sh可以替代bin/sh，找到sh的地址为0x400872。ctfshow函数中的，v1大小为14，而read函数读取大小为50，所以read函数存在栈溢出，使用cyclic计算栈偏移量为22。ctfshow函数中的read函数存在栈溢出，cyclic计算栈偏移量为18。
CTFshow-PWN入门-栈溢出pwn35~pwn40
weixin_63576152的博客
08-22 1627
本文主要详解CTFshow中pwn入门系列的栈溢出模块的前6题所用工具：linux环境下的虚拟机、IDA Pro、exeinfope参考文章：以下操作中小编用的都是自己的kali环境。
CTFshow-PWN入门-栈溢出38-40详解 持续更新
王慕杨。的博客
09-06 974
本来是不想写的，但是想想还是写一下吧，基础知识这些就先不写了，以后有时间再补上吧，比较懒前面的有时间再写吧 主要是做过了。。懒。
ctfshow pwn
zip471642048的博客
06-04 641
ctfshow pwn系列
ctfshow pwn1
qq_39980610的博客
08-19 459
pwn1
PWN栈溢出
u012173720的博客
11-21 1676
Shellcode －－修改返回地址，让其指向溢出数据中的一段指令 根据上面副标题的说明，要完成的任务包括：在溢出数据内包含一段攻击指令，用攻击指令的起始地址覆盖掉返回地址。攻击指令一般都是用来打开 shell，从而可以获得当前进程的控制权，所以这类指令片段也被成为“shellcode”。shellcode 可以用汇编语言来写再转成对应的机器码，也可以上网搜索直接复制粘贴，这里就不再赘述。下面...
CTFshow——Pwn(1)
Y_peak的博客
02-24 491
CTFshow——Pwn(1) 有点懒不想写write up了。只有exploit。 PWN签到题 from pwn import * p = remote('xxx',xxx) p.interactive() pwn02 from pwn import * p =remote("pwn.chall.ctf.show",28006) p.sendline('a'*(0x9+4) + p32(0x0804850F)) p.interactive() pwn03 from pwn import * from
PWN入门之栈溢出
cyy001128的博客
12-13 1079
看了很多博客，自己总结下来就是以下几点：1.栈是用来存放局部变量的，例如函数的参数，返回地址，局部变量等，然后由系统自动分配释放2.在C语言中，将数据压入栈中用的是push，将数据弹出用的是pop3.先入栈的数据是在底部的，后入栈的数据在顶部，而去数据的时候又是从顶部开始的，总的来说 就是先进的后出，后进的先出4.递归调用用的是栈作为缓冲区。
ctfshow pwn3
qq_39980610的博客
08-19 695
所以如果我们知道 libc 中某个函数的地址，那么我们就可以确定该程序利用的 libc。此外，在得到 libc 之后，其实 libc 中也是有 /bin/sh 字符串的，所以我们可以一起获得 /bin/sh 字符串的地址。我们一般常用的方法是采用 got 表泄露，即输出某个函数对应的 got 表项的内容。然后接受到的地址就是程序在libc中的地址我们就可以确定libc的版本和libc基址。函数在libc中的偏移都是固定的我们可以通过基址加偏移拿到函数地址和binsh字段。然后我们再构造rop链。
CTFShow pwn07 （ret2libc-64bit
Mintind的博客
12-03 1491
CTFShow pwn07解题记录
CTFSHOW-PWN入门 pwn5
01-10
### CTF SHOW PWN入门 pwn5 解法 对于CTF SHOW平台上的PWN挑战，尤其是针对`pwn5`这一题目，解决方法通常涉及对二进制漏洞的理解以及如何利用这些漏洞来获取flag。 #### 题目分析 在处理这类问题时，首先需要下载并理解目标程序的行为模式。通过逆向工程工具如IDA Pro或Ghidra可以查看可执行文件内部结构，识别潜在的安全缺陷[^1]。 #### 漏洞发现 经过初步审查后得知此题存在栈溢出的可能性。当输入长度超过缓冲区大小时未作适当检查便直接复制到固定空间内，这使得攻击者能够覆盖返回地址从而控制EIP寄存器指向任意位置执行恶意代码片段[^2]。 #### 利用技巧 为了成功完成该关卡，需构建特定格式的数据包作为输入发送给服务端进程。这里采用的方法是构造ROP链（Return-Oriented Programming Chain），即精心挑选一系列现有指令序列组合起来实现所需功能而不必注入额外shellcode： ```python from pwn import * context(os="linux", arch="amd64") binary_path = './path_to_binary' elf = ELF(binary_path) # 远程连接设置 host, port = "remote_host", 1234 conn = remote(host, int(port)) # 构造payload offset = ... # 计算偏移量 ret_address = ... pop_rdi_ret_gadget = ... payload = b'A' * offset + \ p64(pop_rdi_ret_gadget) + \ p64(target_function_arg) + \ p64(ret_address) conn.recvuntil(b'Tell me your name:') conn.sendline(payload) ``` 上述Python脚本展示了基本框架，实际应用中还需根据具体情况调整参数值，比如计算正确的偏移量(offset)，找到合适的gadgets等[^3]。 #### 获取Flag 一旦成功触发了预期行为，则可以通过读取内存中的字符串或其他方式获得最终答案。例如，在某些情况下可能需要解析动态链接库表项以定位标准I/O函数的实际映射地址，进而打印出隐藏信息；而在另一些场景下则可能是直接调用了puts()之类的API输出预设好的标志位[^4]。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

My6n

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值