(Jarvis Oj)(Pwn) level2(x64)

最新推荐文章于 2025-09-26 07:45:00 发布
原创 最新推荐文章于 2025-09-26 07:45:00 发布 · 1.5k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

这篇博客介绍了在64位系统中解决(Jarvis Oj) Pwn level2挑战的方法。内容涉及检查程序保护、溢出点定位以及与32位不同的参数传递方式。在64位程序中，利用pop edi/rdi;ret指令覆盖edi寄存器以传递'/bin/sh'到system函数，实现控制流程。作者通过ropgadget找到所需 gadget，并给出了利用脚本的概要。

(Jarvis Oj)(Pwn) level2(x64)

首先用checksec查一下保护，和level2一样。
这里写图片描述
反汇编，程序和32位的程序几乎一致。找到溢出点。
这里写图片描述
那么溢出思路也和32位的差不多，唯一不同的是，64位程序在调用system函数时，参数的传递方式和32位不一样，32位是通过栈传参，而64位通过edi寄存器传参，所以这时我们的思路变成如何覆盖edi的值，通过基本rop就可以做到，利用程序自己的带有pop edi/rdi;ret语句达到给edi赋值的效果。pop edi语句是将当前的栈顶元素传递给edi，在执行pop语句时，只要保证栈顶元素是”/bin/sh”的地址，并将返回地址设置为system。示意图如下：
这里写图片描述
通过ropgadget去找pop edi;ret的地址。
这里写图片描述
最后写得脚本。 

  1 f
最低0.47元/天 解锁文章
[BUUCTF]PWN——jarvisoj_level2_x64
BangSen1的博客
03-30 2006
jarvisoj_level2_x64 例行检查 ，64位，开启NX保护， 运行一下 用IDA打开。 systemaddr=0x40063e shalladdr=0x400A90 查看主函数，buf的长度为0x80,读取的长度为0x200，可以造成溢出漏洞。 rdiaddr= 0x4006b3 from pwn import * context(log_level = 'debug') elf = ELF('./level2_x64') p = remote('node3.buuoj.cn',
pwn之jarvisoj_level2_x64
勿山几已
01-11 1053
缓冲区溢出漏洞导致漏洞利用system函数，64位程序利用rop设置函数参数
(Jarvis Oj)(Pwn) level2
Nothing
04-19 1168
(Jarvis Oj)(Pwn) level2 首先用checksec查一下保护。这次NX开启了。 用ida反汇编，找到溢出点。 这次system函数又出现了。于是想着是否可以通过控制调用system(“/bin/sh”)得到shell，将返回地址用system的地址覆盖，将传入参数设置成”/bin/sh”，用ida查找了一下字符串，刚好发现了”/bin/sh”，于是记录下地址（或者...
BUUCTF jarvisoj_level2_x64 wp
AEJL叁的博客，欢迎关注！
09-26 608
摘要：本文详细分析了64位系统下ROP攻击的实现方法，重点讲解了与32位系统在参数传递上的差异。通过BUUCTF jarvisoj_level2题目，展示了如何利用pop_rdi gadget设置寄存器参数，构造ROP链调用system函数获取shell。文章包含漏洞分析、偏移计算、gadget查找、payload构造等关键步骤，并对比了elf.symbols和elf.plt获取函数地址的区别，最后给出了完整的利用脚本及栈对齐问题的解决方案。该技术适用于NX保护开启但无其他防护措施的64位程序。
PWN_JarvisOJ_Level2_x64
michaelinfinity的博客
03-16 1599
关于level2我就不多做赘述了。这道题和level2之间的区别就是一个是32位的栈溢出，另一个就是64位的栈溢出。 32位的函数在调用栈的时候是： 调用函数地址->函数的返回地址->参数n->参数n-1....->参数1 64位的函数在调用栈的时候是： 前六个参数按照约定存储在寄存器：rdi,rsi,rdx,rcx,r8,r9中。 ...
jarvis oj level2_x64
发蝴蝶和大脑斧的博客
12-05 647
接下来做64位了，首先看下和32位有什么不一样。这篇文章的第3节说的很详细 主要来说就是： 1.内存地址的范围由32位变成了64位，但是可以使用的内存地址不能大于0x00007fffffffffff，否则会抛出异常。 2.x64中的前六个参数依次保存在RDI，RSI，RDX，RCX，R8和 R9中，如果还有更多的参数的话才会保存在栈上。我们要修改寄存器的值就得通过找到例如pop rdi；ret这样...
JarvisOJ level2x64
PLpa的博客
07-09 692
这题和level2的漏洞和处理方式差不多，只不过level2是x86而这题是x64的 前言： 首先，我们先看一下x64和x86的区别： linux_64与linux_86的区别主要有两点：首先是内存地址的范围由32位变成了64位。但是可以使用的内存地址不能大于0x00007fffffffffff，否则会抛出异常。其次是函数参数的传递方式发生了改变，x86中参数都是保存在栈上，但在x64中的前六个参...
【BUUCTF-PWN】13-jarvisoj_level2_x64
燕麦葡萄干的博客
07-05 785
ret指令的地址，再接着是’/bin/sh’字符串的地址，最后是system()函数的地址。ret处，该指令会将当前栈顶的元素（‘/bin/sh’字符串的地址）出栈并存入rdi中，并返回到下一条指令处。此时栈中就只有system()函数的地址了，所以下一条指令正是system()，而它需要的参数正好就在rdi寄存器中，这样就执行了system(’/bin/sh’)现在只需要让函数返回到system，并传入参数“/bin/sh”就可以了。32位的比较简单，只需要返回地址+下一次的返回地址+参数1+参数2+…
BUUCTF Pwn jarvisoj_level2_x64 题解
qq_33348179的博客
12-05 525
运行 得到flag flag{4b1340f5-06be-4377-9630-fd2c77f016dd}这是64位程序 所以构造ROP链时要用rdi传参+用ret栈平衡。SHIFT+F12查找字符串 找到了binsh。看到输入的payload压入栈中了。1.下载 checksec。64位 用IDA64打开。函数里面也有system。
jarvisoj_level2_x64[BUUCTF]
moonlightsunshin的博客
05-04 659
32位中参数都是保存在栈上，但在64位中的前六个参数依次保存在RDI，RSI，RDX，RCX，R8和 R9中，如果还有更多的参数的话才会保存在栈上。read函数存在溢出同时发现有/bin/sh所以我们思路就是构造溢出到/bin/sh,但是由于是64位的程序在函数调用时与32位不同。由32位变成了64位。payload的组成 无用数据+pop rdi+函数参数+函数调用地址/bin/sh+函数返回地址system。回到这道题 64位会依次传函数返回地址,函数参数,函数调用地址,
BUUCTF jarvisoj_level3_x64
2401_88087539的博客
02-22 474
pwn新手小白，写完题后整理的一点点思路，有借鉴其他wp，有任何问题各位师傅可以提出，接收批评指正
Jarvis OJ [XMAN]level2(x64)
九层台
07-07 1213
liu@liu-F117-F:~/桌面/oj/level2_x64$ checksec level2_x64 [*] '/home/liu/\xe6\xa1\x8c\xe9\x9d\xa2/oj/level2_x64/level2_x64' Arch: amd64-64-little RELRO: No RELRO Stack: No canary fo...
jarvisoj_level2_x64
zip471642048的博客
06-24 676
题目地址 : https://buuoj.cn/challenges#jarvisoj_level2_x64 /bin/sh字符串 exp
jarvis oj---level2x64
weixin_45427676的博客
09-29 396
题目来源 nc pwn2.jarvisoj.com 9882 level2_x64.04d700633c6dc26afc6a1e7e9df8c94e 解题 x64和x86的区别： linux_64与linux_86的区别主要有两点：首先是内存地址的范围由32位变成了64位。但是可以使用的内存地址不能大于0x00007fffffffffff，否则会抛出异常。其次是函数参数的传递方式发生了改变，x86...
jarvisoj——[XMAN]]level2(x64)
王嘟嘟的博客
07-19 523
题目 Wp 这里检查一下基础项 这里看了一下，发现还是read这里出现了问题，需要进行覆盖 构造一下payload from pwn import * r=process("./level2_x64") #r=remote('pwn2.jarvisoj.com',9882) e=ELF('./level2_x64') sys_addr=e.symbols['system'] bin_addr=e.search("/bin/sh").next() pop_rdi=0x4006b3 payload='
Jarvis OJ [XMAN]level2
九层台
07-06 376
查询保护 liu@liu-F117-F:~/桌面/oj/level2$ checksec level2 [*] '/home/liu/\xe6\xa1\x8c\xe9\x9d\xa2/oj/level2/level2' Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found...
jarvisoj-level2
qq_35661990的博客
11-09 1454
只开了NX，栈上不可执行 main函数 vulnerable_function(); system("echo 'Hello World!'"); return 0; function函数 char buf; // [esp+0h] [ebp-88h] system("echo Input:"); return read(0, &buf, 0x10...
jarvisoj_level2_x64解题步骤
最新发布
10-19
我们正在处理CTF（Capture The Flag）竞赛中的二进制漏洞利用题目，具体是jarvisoj平台的level2_x64题目。根据用户需求，我们需要提供解题步骤。结合引用[3]中的内容，我们知道这是一个64位的栈溢出题目。 解题步骤...
评论 2
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值