BUUCTF PWN get_started_3dsctf_2016

利用mprotect函数实现缓冲区溢出攻击
最新推荐文章于 2024-12-03 15:49:23 发布
原创 最新推荐文章于 2024-12-03 15:49:23 发布 · 454 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #pwn #linux #python #c语言

1.checksec +运行

32位/NX保护

2.32位IDA

1.main函数

gets()函数溢出

跟进v4看看偏移

offset=0x38

这个题有些不同,看看调用函数的汇编

 该题没有用ebp寻址,用的是esp寻址

也就是说不需要覆盖ebp四字节

这就说明有时候后卡住回去仔细看看汇编

2.get_flag 

 if ( a1 == 814536271 && a2 == 425138641 )

a1/a2满足条件

最低0.47元/天 解锁文章
buuctf|get_started_3dsctf_2016 1
m0_64236521的博客
05-01 773
方法一 我将文件下载后将其重命名为pwn_13，checksec一下 可以直接栈溢出，32位，进入ida gets(v4)可以栈溢出，这里没找到后门函数，只发现了get_flag函数，进去看看 只要a1,a2满足值便可以输出flag，a1和a2是函数参数，我们可以进行传入，同时为了让get_flag正常结束，我们要使其返回函数为exit() exp如下 from pwn import* p=remote('node4.buuoj.cn',26832) context.log_level='debu
BUUCTF-Pwn-get_started_3dsctf_2016
餐桌上的猫
03-04 282
题目截图
[BUUCTF]PWN11——get_started_3dsctf_2016
mcmuyanga的博客
08-28 4812
[BUUCTF]PWN11——get_started_3dsctf_2016 题目网址：https://buuoj.cn/challenges#get_started_3dsctf_2016 步骤： 第一个方法，本地打通，要自己创建一个flag.txt 例行检查，32位，开启了nx保护 nc一下，看看程序大概的执行情况 32位ida载入，shift+f12查看程序里的字符串，看到了flag.txt 双击跟进，ctrl+x查看哪个函数调用了它，发现了一个函数，当a1=0x308cd64f，a2=0x19
BUUCTF(Pwn)get_started_3dsctf_2016
半岛铁盒的博客
03-27 417
from pwn import * p = remote("node3.buuoj.cn",28584) context.log_level = 'debug' a1 = 0x308cd64f a2 = 0x195719d1 get_flag_addr = 0x080489A0 exit_addr = 0x0804E6A0 payload = 'a'* 0x38 + p32(get_flag_addr) + p32(exit_addr)+ p32(a1) + p32(a2) p.sendline(pay..
BUUCTF get_started_3dsctf_2016
qq_51821131的博客
07-23 303
记录在csdn里面看到的暴力解法 from pwn import * context(os="linux", arch="i386", log_level="debug") q = process("./get_started_3dsctf_2016") elf = ELF("./get_started_3dsctf_2016") mprotect_addr = elf.symbols["mprotect"] read_addr = elf.symbols["read"] # 内存权限改变的起始地址，也
【BUUCTF-PWN】12-get_started_3dsctf_2016
燕麦葡萄干的博客
07-05 1499
垃圾数据–>mprotect函数地址–>三个连续的pop地址–>.got.plt表起始地址–>内存长度–>内存权限–>read函数–>三个连续的pop地址–>read函数的三个参数–> .got.plt表的起始位置。其中gets()函数存在栈溢出，溢出距离为0x38，这里是使用的esp寻址，属于外平栈，不需要覆盖ebp的四个字节。第二种是直接在IDA中查找，crtl+s调出程序的段表，这里还不太清楚怎么去选择可用的程序段，看很多博客都是直接用的.got.plt的起始位置。
get_started_3dsctf_2016|get_started_3dsctf_2016
12-11
网络安全逆向PWN题目，简单的栈溢出，虽然有后门函数，但同时又给了一定的限制条件，可以使用更复杂的ROP解法。该样本题解：https://blog.youkuaiyun.com/A951860555/article/details/111030289
【BUUCTF - PWN】get_started_3dsctf_2016
古月浪子的博客
03-25 1640
checksec一下，可以栈溢出 IDA打开看看，一个很普通的栈溢出漏洞，有后门函数，应该说是一道非常简单的题了 但是，本地打通非常容易，可是靶机打不通 =_= 于是乎，换个方法，利用mprotect函数修改bss段为rwx，写入shellcode跳过去执行 from pwn import * from LibcSearcher import * context.os='linux' con...
buuctf get_started_3dsctf_2016
carol2358的博客
04-09 514
先checksec 这道题打远程需要改变内存权限，需要用到mprotec，这道题里也是有这个函数的 这道题有点特殊，是没有bp的，程序的函数调用约定是cdecl，依靠sp来进行平衡栈，需要取值就看与sp的偏移。 padding为0x38 大致的思路就是先找到mprotect，bss，read（向bss写入shell），pop（用来pop出mprotect的参数，进行第二次函数调用）的地址，然后传...
【Pwn】get_started_3dsctf_2016
ethan18的博客
07-20 279
这是一个有点难度的题目，反正我是后面去看师傅们的wp了。。。这个题目听大家讲本地的和远程的exp居然还是有差别的首先拿到文件，开始老三样查看主要看在哪个平台：32位还是64位，还有就是有没有canary，如果有的话一般来说都不会是栈溢出攻击的题目然后拖进ida这个可以看出真的是一个栈溢出攻击我们还可以看到get_flag函数看出来是直接进行溢出到第8行地址就行。但是注意，可能是由于这题目远程的时候一些奇妙问题，在我们使用远程的时候没有正常退出会导致出错，无法获取回显。
BUUCTF get_started_3dsctf_2016（mprotect）
、moddemod
06-10 695
典型的栈溢出 而且还留了后门 在本地可以拿到flag.txt文件，但是远程不行！ 栈不可执行 原型： int mprotect(const void *start, size_t len, int prot) start：需改写属性的内存中开始地址 len：需改写属性的内存长度 prot：需要修改为的指定值 功能： mprotect()函数可以用来修改一段指定内存区域的保护属性。 他把自start开始的、长度为len的内存区的保护属性修改为prot指定的值。 prot可以取以下几个值： 1）PRO.
BUUCTF pwn——get_started_3dsctf_2016
CNS-Enterprise BCC-1701-J
04-01 227
BUUCTF 做题练习
[BUUCTF-pwn]——get_started_3dsctf_2016
Y_peak的博客
02-10 296
[BUUCTF-pwn]——get_started_3dsctf_2016 题目地址:https://buuoj.cn/challenges#get_started_3dsctf_2016 题目: 这道题让我学到很多细节,虽然又一次栽倒了没有ebp的坑中 首先还是先checksec 一下看看,老样子32位NX保护. IDA中 看到这些,你是不是和我一样觉得so easy!!! 我一开始也觉得这种题 payload = ‘a’ * offest + ‘junk’ + get_flag的地址 +
get_started_3dsctf_2016【BUUCTF】(两种解法)
qq_41696518的博客
08-27 1807
get_started_3dsctf_2016
get_started_3dsctf_2016
2401_83500274的博客
12-03 1514
欢迎指正
buuctf pwn others_shellcode
最新发布
02-25
### BUUCTF Pwn Others_shellcode 解题思路 #### 题目概述 此题目属于PWN类别中的shellcode编写挑战。目标是在给定环境中执行任意代码，通常通过构造特定的机器码来实现这一目的[^1]。 #### 环境准备 为了成功完成该挑战，需了解所使用的`libc`版本特性以及其对应的函数偏移地址等信息。这有助于定位并利用可能存在的漏洞点。此外，还需掌握基本的反汇编技能以便理解二进制文件的工作原理。 #### 漏洞分析 通过对程序逻辑的研究发现存在一处可以被攻击者控制的数据输入路径。当用户提交恶意构造的数据时，能够覆盖返回地址从而改变正常流程指向自定义指令序列的位置。这种技术被称为“Return-Oriented Programming (ROP)” 或直接注入 shellcode 执行。 #### Shellcode 构建 考虑到现代操作系统防护机制如NX bit 和 ASLR 的存在，在构建有效载荷时需要特别注意避开非法字符以免破坏栈结构完整性。同时也要考虑如何绕过这些安全措施以确保 payload 成功运行。一种常见做法是从内存中寻找可写区域作为跳转目标，并在那里放置精心设计过的 machine code 来打开 shell 或连接远程服务器发送 flag。 ```python from pwn import * context.arch = 'amd64' context.os = 'linux' # 连接至服务端口 conn = remote('challenge_address', port_number) # 发送payload前先读取一些数据防止阻塞 conn.recvuntil(b'Input your choice:') ``` #### Exploit 实现 最终解决方案涉及多个部分协同工作：首先是找到合适的 gadget 组合用于泄露 libc 基址；其次是计算出 system() 函数的确切位置；最后则是巧妙安排参数传递方式使得 execve("/bin/sh", ...) 能够被执行。整个过程要求精确控制每一步操作以达到预期效果而不触发任何异常终止条件。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值