(Jarvis Oj)(Pwn) level1

最新推荐文章于 2025-04-23 09:19:45 发布
最新推荐文章于 2025-04-23 09:19:45 发布
阅读量1.3k 收藏 2
点赞数
CC 4.0 BY-SA版权
分类专栏： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/github_36788573/article/details/79997249
该博客分析了Jarvis Oj的Pwn Level1挑战，指出保护机制近乎未开启，特别是NX保护。通过IDA反汇编，作者发现可以利用printf函数输出buf的地址，并在NX关闭的情况下，将shellcode写入buf，通过函数返回跳转执行shellcode来获取shell。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

(Jarvis Oj)(Pwn) level1

首先用checksec查一下保护。几乎没开什么保护措施。关键的是NX没开，意味着栈上的数据可执行。
这里写图片描述
用ida反汇编，找到溢出点。
这里写图片描述
但这次没有找到system函数了，那么该怎么得到shell呢，发现这个函数调用了printf函数，输出了buf的地址，在结合NX保护是关闭的，那么就意味着，如果将shellcode写到buf中，函数返回时跳转到buf位置，就可以执行shellcode了，示意图如下。
这里写图片描述
写得脚本 。

  1 from pwn import *                                                                                                  
  2 
  3 conn=remote("pwn2.jarvisoj.com",
最低0.47元/天 解锁文章

200万优质内容无限畅学
Jarvis OJ level1
Kni9hT's Blog
11-08 647
要点：使用shellcraft.i386()来编写shellcode 和level0相比，本题没有system函数可以直接调用。 所以我们要发送shellcode来getshell 首先看一下开了哪些保护。(好吧，不出意料是全裸) 然后IDA里面看函数调用，main()函数先调用了vulnerable_function函数。 vulnerable_function： text:0804847B ...
jarvis oj PWN - level3
07-23 321
1.使用write 泄漏出 got地址, 通过libc计算偏移得到system, binsh。关键传参: write_addr, 返回地址, 1, output, 4(4字节)3.这次覆盖ebp执行system /bin/sh。2.覆盖ebp返回主函数再次执行。
PWN_JarvisOJ_Level1
michaelinfinity的博客
03-13 838
首先nc一下 之后我们来看ida反编译 在“Hello,World!\n”之前有一个vulnerable_function，进去之后查看一下这个函数 可以看出来刚刚出现的奇怪的地址是buf的首地址（%p是返回参数地址的），那么我们就要查看一下buf。 从中能看出buf有0x88的字节，并且返回指令在+0004的位置，所以需要填充0x88+4的字节 这个题目中没有syste...
jarvis：智能生活管理助手
最新发布
gitblog_01007的博客
04-23 607
jarvis：智能生活管理助手 项目介绍 在数字化时代，管理日常任务和日程安排变得越来越复杂。Jarvis 是一个命令行个人助理，它通过与 Google Calendar、Gmail 和 Tasks 的集成，帮助您轻松管理数字生活。Jarvis 的核心功能是自动化和简化日常任务的管理，让您的生活变得更加高效和有序。 项目技术分析 Jarvis 采用 Python 3.12+ 作为主要开发语言，并且...
JarvisOJ-PWN-Level1
杀生丸？不，其实我要的是桔梗
03-16 919
JarvisOJ-PWN-Level 先checksec一下： 发现NX栈保护没有打开，也就是堆栈代码没有进行保护，那么就就题目很可能就是要输入shellcode在栈里执行吧。 打开IDA分析（32位）： 主函数： vulner..fuction()函数: 题目的逻辑是打出buf的首地址然后写入从标准输入100字节给buf。 然后输出Holle world。 我们再看b...
jarvisoj pwn level1
Joey_l的博客
07-31 467
https://www.jarvisoj.com/challenges 拿到程序后先file可知为32位和动态链接 file level1 然后checksec检查保护机制 checksec level1 拖入ida查看，在vulnerable_function()函数的printf()处存在注入点 栈结构： 低地址→高地址 buf→ebp→eip(返回地址) 思路：没有s...
jarvisoj_level1
m0sway的博客
12-03 2367
jarvisoj_level1 使用checksec查看： 保护全关，并且还有RWX区域。栈溢出的题目的话直接ret2shellcode即可。 放进IDA中查看： 主函数中直接给出漏洞函数： 妥妥的一个栈溢出了，程序会输出buf的地址。 查看了下字符串也没有关键字符串，看来就是ret2shellcode 然而…BUU上的环境可能有点问题。并不能打通。 于是…使用ret2libc的方式。用write泄露libc的地址，然后捣鼓捣鼓。 exp： from pwn import * from six imp
jarvisoj pwn level5 wp
zszcr的博客
03-26 2025
题目要求练习 mmap和mprotect 函数 不能调用system或者是execv函数来获取shell同时给了可执行文件和libc文件先查了下mmap和mprotect函数是干什么的两个函数原型如下：void* mmap(void* addr, size_t len, int port, int flag, int filedes, off_t off)#mmap(rdi=shellcode_a...
BUUCTF jarvisoj_level2 题解
qq_51802916的博客
08-20 596
可以看到程序中已经有了shell的字符串，由于是32位程序，函数的参数通过压栈传递，因此我们可以直接将其地址放在system之后就能够完成参数的传递。而不是使用call指令，因此计算机会将调用函数前栈顶指针指向的地址视为函数的返回地址，因此我们需要在这个地方随便填入一些值，然后在后面填入函数的第一个参数。，因此我们需要填充0x88个字符就能到达ebp的位置，然后再填充4个字符就能到达eip的位置，并且。可以看到是32位程序，栈上开启了不可执行保护，但是没有栈检测标志，推测需要进行缓冲区溢出。
BUUCTF Pwn jarvisoj_level21解题步骤
2301_81505831的博客
02-04 400
这里需要注意的是，由于我们是直接调用system()而不是使用call指令，因此计算机会将调用函数前栈顶指针指向的地址视为函数的返回地址，因此我们需要在这个地方随便填入一些值。从反汇编后的代码可以看出read()这个函数对buf进行写入时存在缓冲区溢出。查看之后发现是32位的ELF文件，RELRO和NX保护不影响我们做题。buf到ebp的距离是0x88，ebp到Return的距离是0xF。system的地址可以在plt中找到，双击system.plt。然后在输入shift+F12，可以查找。
BUUCTF jarvisoj_level0
m0_54262894的博客
10-27 395
先checksec，仅开启了NX保护 运行一下 放入ida中 查看main函数 没有什么关键信息，双击vulnerable_function() 在这里我们看到了漏洞 buf定义了80个字节，而我们可以输入更多的数据 接着找找后门函数 这道题很简单，已经把后门给我们展示出来了 记住后门函数的地址0x400596 做完以上步骤我们就有思路了： 覆盖buf 的80个字节 因为是64位的文件，然后再加8个字节...
铁人三项_第五赛区_2018_rop
z1r0的博客
12-05 208
铁人三项_第五赛区_2018_rop 查看保护 溢出，ret2libc from pwn import * context(arch='i386', os='linux', log_level='debug') file_name = './z1r0' debug = 1 if debug: r = remote('node4.buuoj.cn', 27080) else: r = process(file_name) elf = ELF(file_name) def dbg(
jarvisoj-level1
qq_35661990的博客
11-08 364
先看一下有什么保护 什么保护都没开起来。 放进IDA里看一下 vulnerable_function(); write(1, "Hello, World!\n", 0xEu); return 0; main函数里就三行，进入vulnerable_function()函数看一下 char buf; // [esp+0h] [ebp-88h] printf("W...
jarvisoj——[XMAN]level1
王嘟嘟的博客
07-15 492
题目 Wp 先查一下基本的内容 可以看到 RELRO: Partial RELRO就是got表可写的意思，然后ida接着看看源码，这里就是说调用了一个无参的函数 这里看到很明显的是一个溢出，但是这里没有shellcode，就需要自己写一个了 这里可以看到print打印了buf的地址 这里写一个pwntools的脚本 from pwn import * sh = remote("pwn2.jarvisoj.com",9877) shellcode = asm(shellcraft.i386.
攻防世界level0 + (Jarvis Oj)(Pwn) level1
qq_44832048的博客
07-24 2086
攻防世界level0 将文件在ida中打开， 输出字符串helloWord之后执行vulnerable_function()函数，没有与用户交互，双击进去查看，， 无参数传入，buf长度为0x80，即0x80h填充满，之后跟上地址就可以实现任意跳转。查找字符串 这是 vulnerable_function 函数，可以在栈上写0x200个字节，或许我们可以进行溢出，覆盖掉返回地址...
[BUUCTF]PWN——jarvisoj_level1
mcmuyanga的博客
11-09 1899
jarvisoj_level1 附件 步骤： 例行检查，32位程序，没有开任何保护 本地运行一下程序，看看大概的情况，可以看到输出了一个地址 32位ida载入，习惯性的检索程序里的字符串，没有发现可以直接利用的gates， main函数开始看程序 function函数 参数buf存在明显的溢出漏洞，程序还将buf参数的地址给了我们 由于没有开启nx，所以我们可以先通过read读入shellcode，然后利用溢出漏洞将ret覆盖为buf参数地址（此时buf里是shellcode）去执行即可
jarvis oj level1
发蝴蝶和大脑斧的博客
12-01 405
还是先checksec Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX disabled PIE: No PIE (0x8048000) RWX: Has RWX segments 发现数据部分可以执行，先看ida，同样是vulnerable处有栈溢...
Jarvis OJ 之 level1
weixin_43464124的博客
04-22 318
首先介绍一下pwntools的一个用法吧算是。 from pwn import* shellcraft.sh() 然后，pwntools这个只能工具就会帮你写出一串shellcode来。 大致是这样的： u" /* execve(path='/bin///sh', argv=['sh'], envp=0) */\n /* push '/bin///sh\\x00' */\n p...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值