BugkuCTF-PWN题canary超详细讲解

最新推荐文章于 2024-11-20 10:24:50 发布
原创 最新推荐文章于 2024-11-20 10:24:50 发布 · 2.9k 阅读 · 9 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#c# #安全

这篇博客深入剖析了Bugku CTF中的一道PWN题，涉及Canary保护机制和栈溢出漏洞。文章解释了小端序内存存储、解题流程，以及如何利用栈溢出泄露Canary值。作者通过设置断点观察寄存器变化，并使用ROPgadget找到所需 gadget，最终目标是调用system函数执行'/bin/sh'来控制系统。

知识点

小端序说明，数据在内存里是如何存储的？下表里数据都为16进制
在这里插入图片描述

解题流程

在这里插入图片描述
题目Hint:更新 LibcSeacher 的 libc-database

checksec查看保护机制
在这里插入图片描述
存在Canary和NX。

在这里插入图片描述
0x28=40
0x10=16
0x29=41
0x300=768
0x2C=44

buf长度为48，而read读取长度为768
v5长度为520，而read读取长度为768
所以存在栈溢出漏洞
在这里插入图片描述
注意关注以下两条语句
.text:000000000040082C mov rax, fs:28h
.text:0000000000400835 mov [rbp+var_8], rax
canary存在rbp+var_8，可以在0x40082C下断点，

最低0.47元/天 解锁文章
BugkuCTF pwn canary
ChaoYue_miku的博客
07-03 1361
** 0、下载附件使用checksec检查保护情况 ** 开启了NX保护和Canary保护 ** 1、nc 114.67.246.176 19138远程连接，查看题目 ** ** 2、使用IDA 64 Pro打开文件反编译 ** 查看main函数，两个read()函数都可以读取0x300个字节的数据，而buf和v5到栈底指针rbp的距离只有0x240和0x210字节，因此这里存在栈溢出漏洞 靠近栈底处的var_8应该就是canary 查看main函数的汇编指令 结合题意可知，覆盖canary末尾的
【PWN学习】cannary绕过方式汇总
weixin_41748164的博客
12-23 1274
利用cannary解题在现在的CTF比赛中似乎已经过时了，只是为了学习了解一下。
CTF pwn canary的绕过技巧
zwb2603096342的博客
05-22 593
fork函数会直接拷贝父进程的内存,所以通过fork函数创建的子进程中的canary是相同的!64位的canary溢出在这篇博客里面有提到,32位也差不多,注意是rjust就行。具体这道题目呢，可以看我的这篇两校"联合杯"的博客（还没有写，后续有时间写）32位中，canary有4字节，其中最低位为0x00，然后逐字节爆破其余3位。每遇到一种方法就补充一种。
ctf pwn 题目
m0_64195960的博客
04-11 1808
2022年3月21栈迁移 这道题是栈迁移 1）先checksec一下 嗯哼哼，貌似影响不大 2）丢在ida里瞅 1、main（） 没啥用再看看其它的 2、vul（） 第一个read读进去的东西，可以被printf呸！吐出来！ 芜湖！看到了第二个read可以栈溢出，但是可以溢出的空间太少！ ————————那么就要来到了，刚学习的栈迁移—————————— 3、hack（） 芜湖看到system函数了，那我们就可以获得system的返回地址从而调用.
BUGKU canary2
qq_39628285的博客
11-20 1174
plt表指过程连接表，got表指全局偏移量表，这两个表在程序调用动态链接库中的函数时起作用。函数地址=库被加载的基地址+函数在库内的偏移地址。要获取库中任一函数在调用时的地址，关键在于确定库的基地址。如果程序已经调用了某个库函数的地址，那么该函数在got表中的对应表现则会被改写为其地址，那么我们使用该地址减去该函数的库内偏移即可得到基地址。在本题中，puts函数是已经调用过的，因此我们可以通过溢出让puts函数打印自身地址的方式获取基地址。先使用ROPgadget寻找一个pop rdi；
ctf(pwn) canary保护机制讲解 与 解密方法介绍
半岛铁盒的博客
03-03 2927
Canary保护机制 canary的意思是金丝雀，来源于英国矿井工人用来探查井下气体是否有毒的金丝雀笼子。工人们每次下井都会带上一只金丝雀如果井下的气体有毒，金丝雀由于对毒性敏感就会停止鸣叫甚至死亡，从而使工人们得到预警。 在函数开始时就随机产生一个值，将这个值CANARY放到栈上紧挨ebp的上一个位置，当攻击者想通过缓冲区溢出覆盖ebp或者ebp下方的返回地址时，一定会覆盖掉CANARY的值；当程序结束时，程序会检查CANARY这个值和之前的是否一致，如果不一致，则不会往下运行，从而避免了缓冲区溢出攻
BugkuCTF-PWN题pwn7-repeater详细讲解多解法
am_03的博客
08-31 4636
知识点 解题流程 方法一 查看文件类型： 32位文件 查看保护机制 只开启了NX 32位IDA打开 伪码： 0x70=112 0x64=100 发现该题目为典型的格式字符串漏洞。 解题思路 此题的大概思路如下： 1、找到libc_start_main在栈内的偏移，使用%p暴露该地址 2、利用LibcSearcher猜测使用的libc，算出libc基址 3、计算出此libc的system地址 4、把prinf的got表改为system地址 5、执行system(’/bin/sh’) 具体调试 执行gd
BugkuCTF-PWN题pwn2-overflow超详细讲解
am_03的博客
08-30 2805
解题思路 1）计算出get_shell_的地址偏移量 2）算出来之后就直接溢出到后门函数 知识点 x64函数调用规则 解题之前我们先学下linux x64的函数调用规则。 x64机器在调用某个函数前，比如int func(int a, int b, int c, int d, int e, int f, int g, int h)，首先他会把前6个参数从左往右存入到寄存器rdi、rsi、rdx、rcx、r8、r9，其余参数存入到栈里，保存的顺序是从右往左入栈。比如abcdef会存入到寄存器里，然后一次入栈h
BugkuCTF-PWN题pwn5-overflow2超详细讲解
am_03的博客
08-31 2123
知识点 setvbuf: setvbuf函数的功能： 如果你的内存足够大，可以把文件IO的BUF设置大一些，这样每次你用 fopen/fread/fwrite/fscanf/fprintf语句的时候，都会在内存里操作，减少内存到磁盘IO读写的操作次数，提高系统效率。 如果你的程序的功能涉及到类似数据库、视频、音频、图像处理等大量需要爆发式磁盘到内存的IO情况下，可以考虑setvbuf进行优化内存IO。 功 能: 把缓区与流相关 解题流程 查看保护机制 发现开启了RELRO,NX 只能通过ROP绕过 IDA
ctf题库ctf-pwn赛题收集
03-31
ctf题库 CTF(夺旗赛)题库是一个由安全专家和爱好者们制作的一系列网络安全挑战。这些挑战旨在测试各种安全技能，包括密码学、逆向工程、漏洞利用和网络分析等。 CTF题库通常由多个类别的挑战组成，例如Web安全、二...
BugkuCTF pwn pwn1
H4ppyD0g的博客
08-17 1367
1 pwn1 ubuntu下输入 nc 114.116.54.89 10001 然后ls查看该目录下文件，发现有flag文件， cat flag 获取flag。 nc 主机的ip或域名端口号 作用是建立于对应ip或端口的链接，相当于一个后门web shell，可以进行访问等操作。 nc的作用还有很多，这里只是最简单的应用。 ...
BugkuCTF刷题 pwn
像初雪一样自由洒落
04-02 706
唉，觉得自己TCL，栈溢出知识点差不多都会了，可是题目做不出来啊啊啊啊！缺少锻炼吧，这两天把BugkuCTF上面的pwn题做一下吧。。。 pwn1 只给了连接 第一次，才50分，想来不会太难，连上去 果然，连接就能拿flag ...
BugkuCTF-PWN题pwn3-read_note超详细讲解
am_03的博客
08-30 3033
知识点 puts()的特性 , puts()会一直输出某地址的数据,直到遇到 \x00 Canary最低位为\x00(截断符) \x 和 0x 的区别： 区别不大，都是把数按16进制输出。 1、0x 表示整型数值 （十六进制） char c = 0x42; 表示的是一个数值(字母B的ASCII码66)，可以认为等价于： int c = 0x42; 2、\x42用于字符表达，或者字符串表达 char c = ‘\x42’; 亦等价于： char c = 0x42; char* s = “\x41\x42
bugku ctf pwn1 (nc 114.116.54.89 10001)
热门推荐
qq_42777804的博客
06-17 1万+
nc 114.116.54.89 10001 在Linux里面运行 nc 114.116.54.89 10001 （ nc命令用于设置路由器。） 之后用 ls -l 命令 （ls命令用于显示指定工作目录下之内容（列出目前工作目录所含之文件及子目录)。） （-l 除文件名称外，亦将文件型态、权限、拥有者、文件大小等资讯详细列出） 发现flag 使用命令 ：...
ctf-pwn:canary绕过
chennbnbnb的博客
01-19 3353
文章目录覆盖00字符读出canary原理利用条件漏洞代码编译选项EXP利用格式化字符串漏洞读出canary原理漏洞代码编译选项EXP逐字节猜解canary原理漏洞代码编译EXPSSP Leak原理 覆盖00字符读出canary 原理 canary的值设计为以0x00结尾，防止read，printf灯函数直接读出 通过栈溢出覆盖最低位的字节，从而获得canary 利用条件 存在read/pri...
CTF pwn题堆入门 -- Unsorted bin
lifanxin的博客
04-08 3619
Unsorted bin概述攻击方式泄露libc地址总结 概述   Unsorted bin也是堆题中常见的，当一个堆块被释放时，且该堆块大小不属于fast bin（libc-2.26之后要填满tcache），那么在进入small bin和large bin之前，都是先加入到unsorted bin的。之后当我们再次分配内存到unsorted bin上寻找时，如果申请的内存堆块小于寻找的unsorted bin，那么会将该内存块切割后返回给用户，剩下的仍然保存在unsorted bin上；如果申请的内存堆块
ctf-pwn nc题总结
weixin_61995249的博客
05-21 3315
命令来查看文件或目录的详细信息，并根据文件的属性来确定其类型。
BugkuCTF pwn题第一弹
weixin_43489686的博客
09-09 2261
BugkuCTF pwn题第一弹
[Bugku CTF——Pwn] pwn4
Y_peak的博客
03-22 864
[Bugku CTF——Pwn] pwn4 题目地址：https://ctf.bugku.com/ 给的提示很清楚，绕过canary保护 那就绕过就好 题目当中有system函数 利用ROPgadget就好 思路 将canary低位的 ‘\x00’ 给覆盖掉， 就可以利用 %s 将其输出， leek出来 exploit from pwn import * #p = process('./pwn4_') p = remote('114.67.246.176',15541) pop_rdi = 0x00
ctf-pwn怎么用write+read求libc的基址
最新发布
11-15
我们参考引用内容，特别是引用[1]到[5]，来回答用户关于使用write和read函数在CTF Pwn中求libc基址的方法。 根据引用[4]和[5]，我们知道： 1. 程序运行后，libc中的函数在内存中的实际地址 = libc基址 + 函数在...
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值