(Jarvis Oj)(Pwn) level0

最新推荐文章于 2025-02-18 15:53:11 发布
原创 最新推荐文章于 2025-02-18 15:53:11 发布 · 1.2k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍了如何解决 Jarvis Oj 的 Pwn level0 挑战。通过 checksec 发现保护措施很少，然后使用 IDA 反汇编程序，发现 main 函数调用了两个关键函数。分析后确定可以通过溢出 buf 缓冲区来控制执行流，并找到 callsystem() 函数。最后编写脚本，注意到由于是64位程序，在覆盖 rbp 和返回地址时需使用64位数据。

(Jarvis Oj)(Pwn) level0

首先用checksec查一下保护。几乎没开什么保护措施。
这里写图片描述
用ida反汇编。main函数就调用了两个函数。
这里写图片描述
跟进第二个函数。
这里写图片描述
找到溢出点，同过buf缓冲区。又找到函数callsystem()。
这里写图片描述
只要控制程序返回到callsystem地址即可。找到callsystem地址。
这里写图片描述
写得脚本。 

  1 from pwn import *
最低0.47元/天 解锁文章
攻防世界(pwn篇)---level0
飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘飘
04-13 1909
攻防世界(pwn篇)—level0 文章目录攻防世界(pwn篇)---level0题目描述基本情况分析运行分析IDA 分析分析出payloadexp 题目描述 菜鸡了解了什么是溢出，他相信自己能得到shell 基本情况分析 发现只开启了 NX(数据不可执行)保护机制，因此可以做栈溢出漏洞攻击。 1.RELRO: RELRP会有Pratial RELRO 和FULL RELRO，如果开启FULL RELRO，意味着我们无法修改got表 2.Stack: Canary found 表示不能直接用溢
jarvisoj_level0
weixin_56301399的博客
07-21 690
在Functionswindow可以看到有一个callsystem()函数，按F5反汇编可以看到这是一个系统调用，且callsystem()函数的起始地址为0x400596。双击vulnerable_function()函数可以看到buf的长度只有0x80，即可用栈大小只有108字节，但是read()并没有限制输入，显然存在栈溢出漏洞。buf需覆盖0x80个字节覆盖，再加上rbp的0x8个字节，最后加上callsystem()函数的起始地址0x400596构成payload。信息就了解他是64位即可。...
jarvisoj——[XMAN]level0
王嘟嘟的博客
07-14 494
题目 Wp 拿下来之后发现是一个64位的，直接开ida main函数，现在对main函数已经很熟悉了 这里看到一个方法 这里按照规则覆盖即可。 脚本 from pwn import * sh=remote("pwn2.jarvisoj.com","9881") data="A"*136+p64(0x400596) sh.sendline(data) sh.interactive() sh.close() ...
[buuctf]jarvisoj_level0
逆向萌新的博客
05-30 624
[buuctf]jarvisoj_level0
Jarvis Oj Pwn 学习笔记-level0
baoan4763的博客
05-31 240
一道64位的pwn题 呈上地址： 原文件：https://files.cnblogs.com/files/Magpie/level0.rar nc pwn2.jarvisoj.com 9881 先查一下保护： 扔进ida： 典型的64位栈溢出，莫得啥子难度，注意一哈64位即可 控制流打到callsystem即可 地址是：0x400596 直接贴ex...
jarvisoj pwn level0
Joey_l的博客
07-31 378
前几天做了几道pwn题，记录一下 https://www.jarvisoj.com/challenges 拿到程序后先file可知为64位程序和动态链接 file level0 然后checksec检查保护机制 checksec level0 将程序拖到ida中，F5反汇编，得到伪c代码 双击vulnerable_function()函数 可以看到read函数读0x200进入...
Jarvis OJ-PWN-[XMAN]level0 wp
分不清东西南北的Laffey
09-22 1042
地址：nc pwn2.jarvisoj.com 9881 第一次做pwn的题目 先准备一下环境 1.pwntools sudo pip install pwntools 2.python sudo apt install python-pip 先打开虚拟机 把文件放进去用checksec看一下 发现是64位的 程序编译时关了栈不可执行保护 这说明我们可以在buf里面输入shellcode和填...
Jarvis OJ pwn wp - level 0 ~ level 5
fa1c4的blog
07-03 421
level 0 溢出, ROP调用system("/bin/sh"), get shell from pwn import * from pwnlib.util.cyclic import cyclic sel = 1 filename = "./level0" URL, PORT = "pwn2.jarvisoj.com", 9881 io = process(filename) if sel == 0 else remote(URL, PORT) elf = ELF(filename) sy
buuctf-jarvisoj_level0(pwn)题解
最新发布
2301_81574836的博客
02-18 595
buuctf-jarvisoj_level0(pwn)题解
pwn之jarvisoj_level2_x64
勿山几已
01-11 1056
缓冲区溢出漏洞导致漏洞利用system函数，64位程序利用rop设置函数参数
BUUCTF Pwn jarvisoj_level01
2301_81505831的博客
02-04 528
查看之后发现是64位的ELF文件，只开启了一个NX保护，不影响栈溢出，直接放入IDA64进行反编译。发现buf变量分配的空间只有0x80，而read函数的第三个参数是0x200，会造成溢出。可以看到起始地址是400596，我们将其覆盖return的地址就会调用其函数。按shift+F12,出现下面的信息，双击/bin/sh。"node5.buuoj.cn",25586是靶机信息。双击vulnerable_function。双击callsystem函数。在python脚本中输入。
【BUUCTF-PWN】8-jarvisoj_level2
燕麦葡萄干的博客
07-05 464
32位的分布是：返回地址+下一次的返回地址+参数1+参数2+…这里没有可以直接利用的后门函数，所以需要构造 system（/bin/sh）去执行。system的地址还不是0x0804A038，而是0x08048320。查看vulnerable_function()函数。需要找不是extern的system函数。/bin/sh的地址0x0804A024。read()函数存在缓冲区溢出漏洞。32位，开启了NX保护。
JarvisOJ-PWN-Level0
杀生丸？不，其实我要的是桔梗
03-15 841
JarvisOJ-PWN-Level0 IDA打开分析。 在Export找到这两个关键函数。 先双击进入main 关键函数在vulnerable_function()，继续跟进。 可以看出read函数是把标准输入的200位的写入buf中。 再看buf： 低位： 高位： 所以buf的首地址到返回地址共=(+0x0000000000000008) - (-0x00...
Jarvis OJ（PWN）level0
qq_43409582的博客
09-11 292
0x01 开始做Jarvisoj上的题了，先从最基本的开始吧。 首先看保护： 只开了NX，说明可能要利用栈溢出的知识。 打开IDA看main函数没什么东西，但return了一个函数打开一看发现了栈溢出漏洞： 然后找能利用的地方，发现了一个callsystem函数（太明显了）。。。 所以思路就是利用栈溢出漏洞直接覆盖到/bin/sh执行的地址上，就能getshell 了。 exp.py: f...
pwn_level0
qq_42956710的博客
08-15 2724
level0(deepin解题记录) 打开链接： 判断了下文件类型及其保护 在终端里面运行一下： 64位的,所以就用idax64打开 看一下数据位置： 其中有bin/sh， 里面有几个函数需要看看，callsystem,main,read，vulnerable_function 栈溢出，由于没有NX保护和开栈保护，为了得到shell，可以找一个输入没有限制的...
攻防世界PWN题——level0
Greic的博客
12-01 3714
嘿嘿，又是我，我又肥来了。今天带来的是攻防世界第三题的writeup，这次话不多说，我们直接进入主题。 无论怎么样，pwn题前两步少不了——查看文件类型和保护类型： 64位linux操作系统，只开了NX保护，再打开IDA看看。 将Hello,World显示到屏幕上，再点开函数看看： 可以看到，buf是分配了80个字节（从rbp-80-rbp+0),但是read函数读入了0x200字节，因此，这里明显有栈溢出，再点开buff看看： 可以看到，我们只需要将buf和s覆盖，也就...
攻防世界pwn题level0
Sakura给爷pwn全场
09-02 390
查壳64bit 拖进IDA f5查看伪代码 vulnerable_function中文译为脆弱函数，可疑，点进去查看vulnerable函数。 buf数组距离栈帧顶部rsp为0h，距离栈帧顶部rbp为80h，可知buf长度为0x80. 查看vulnerable函数栈 s代表save ebp,长度8个字节 r代表return address,长度8个字节,通常只要覆盖4个字节。 查看callsystem函数，代码段地址为0x400596 思路 把return address用callsystem函数
jarvisOJ-level0
qq_35661990的博客
09-28 370
jarvisOJ上的题目梯度似乎比pwnable.tw上的题目更合理点，pwnable.kr目前做的十几题都是考察各种基础，只有少数像pwn题。 level0是考最基础的ROP 先把下载的文件放进IDA里看看 .text:00000000004005C6 main proc near ; DATA XREF: _start+1D↑o .te...
pwn level0--沙窝里的王
weixin_43600412的博客
07-23 276
下载文件后查看属性，发现不认识，语言编译器打开后是一堆64位编码，看不到信息，载入IDA查看主函数的C语言形式： 显示读入“hello world”，下面的 vulnerable_function函数有hello world作为参数，点开后却发现与hello world没多大关系: 程序显示buf长度为0x80，即0x80h填充满，之后跟上地址就可以实现任意跳转。 shift+F12查找字符串：...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值