- 博客(26)
- 收藏
- 关注
RSS订阅原创 House of Spirit
func0函数内部：依旧是for循环 每次只读入一个字节读入48个，注意v2只有48的空间大小，如果将他填满没有换行符（\n）read将不会结束，而紧挨着v2的是rbp的值，这么一来，printf就会连着rbp一块打印出来 这就是off_by_one漏洞，要知道这个是main调用的第一个函数，而栈地址是由高向低处增长的 它保存的main返回地址在高位（栈帧这块我有点稀里糊涂的，请各位好好斟酌一下）紧接着调用了func2函数。2. 25 --------------func0里的func2。
2026-09-14 23:29:08
183
原创 iscc_擂台赛_sea
印象里rbp不是应该在canary后吗，为啥他的偏移是15嘞。从下面看 rsi是我们输入进栈的第一个位置，rbp就在他下面15处，至于 13处的libc和17处的main 都是泄露出地址后 在栈上看见的，不是刻意想知道哪个，我们的目的是找到基址。能泄露，知道泄露的是啥，那就能达到目的。canary偏移好测：buf104/8=13，然后再通过程序的漏洞看输入到输出的偏移，从下面看出来是8，所以canary就在21处。查看一下文件的保护措施 又有canary 还有pie ，需要泄露的有点多啊。
2026-07-01 18:24:53
180
原创 格式化字符串漏洞的学习个人感受
本文总结了格式化字符串漏洞的初步学习心得，主要包括四点核心理解：1）漏洞成因是printf未定义输出格式，允许通过%x等占位符泄露数据；2）利用偏移量计算实现任意地址读取，进而获取libc基址；3）通过%n系列格式符实现内存写入，可修改判断条件或函数指针；4）高级利用如GOT表劫持需满足RELRO未开启和参数可控条件。文中以ISCC附件16题为例，展示了如何结合格式化字符串泄露canary和libc地址，最终构造ROP链获取shell。作者坦言在libc泄露环节存在技术瓶颈，并分享了调试过程中遇到的栈对齐问
2026-06-10 23:06:57
237
原创 【无标题】get_started_3dsctf_20161Ubuntu 16
这道题，能学到好多函数哦似乎可以直接get flag,,可是通过题目构造的rop并不能打通什么原因呢？注意 fopen函数博客有详细描述 ，我说一下我的理解：程序用fopen函数读取flag时，会先把flag读取到缓冲区，而如果程序异常终止，那缓冲区数据也无法读入磁盘，因此无法看见其内容。因此我们需要让他正常退出，每次调用函数他都会紧跟一个返回地址，我们需要在它返回地址添加exit 让它正常退出，从而完整的使用fopen函数。将flag成功读入我们的终端。上面博客也讲了exit 和 _exit的区别。
2026-04-24 22:02:50
174
原创 shellcode—revenge
这篇文章分析了一个存在栈溢出漏洞的题目解题思路。关键点包括：1) 利用mmap申请可执行内存绕过NX保护；2) 通过两个read函数构造ROP链，第一个read受限但第二个存在溢出；3) 在沙箱限制下采用ORW(open-read-write)方式而非直接执行shellcode；4) 精心构造payload，包括寄存器操作和系统调用。最终通过分阶段发送精心构造的payload，实现了在受限环境下读取并输出flag内容。文章详细解释了系统调用构造、寄存器操作和内存布局等关键技术点。
2026-04-16 19:21:18
396
1
原创 ret2libc （有system有binsh）
看得见system函数，ok直接用就行了，用plt表上的 ，因为它会直接跳转并调用它。至于为啥不能用got表的 我觉得这是第一次执行，表里啥也没有。反正都知道plt它是个跳板直接就到那个函数了。代码很简单，明显的栈溢出漏洞，gets可以无限输入，但是s的空间有限，ida中显示的是100，但是由于栈对齐等很多原因导致这个数字有时不正确。脚本很简单，sys覆盖到返回地址后它本身有个返回地址的操作，总之不重要，随便啥覆盖就行，知道32位一个返回地址占4字节就OK ，binsh作为参数传入sys即可。
2026-04-04 21:37:51
159
原创 bugku canary2
这篇技术文章讨论了如何利用栈溢出漏洞绕过canary保护机制。作者通过分析程序发现需要通过泄露canary和puts函数地址来构建ROP链。文章详细解释了动态链接原理。
2026-04-04 17:47:39
354
原创 2026 中国高校智能机器人创意大赛 软件系统安全赛 初赛wp
拿到附件后，先解压一层看看目录结构。第一层内容不复杂，能直接看到level1目录和一个level2.zip。进入level1encrypt.py和。打开。这里最关键的信息不是代码细节，而是它告诉我们：题目一共生成了 10 份 plaintext，每份 plaintext 里面包含多行内容。再配上原始比特长度，就可以在拿到足够多 share 后，用 CRT 把原消息恢复出来。接着打开encrypt.py。这一步主要是为了确认每种 key 对应的解密方式。先写一个基础扫描脚本，把所有公钥的n,e。
2026-03-16 22:27:40
1341
原创 PolarCTF 2023冬季个人挑战赛-easy_str PWN house of corrsion
这里调用do_positional的话有一定要求，就是 _printf_function_table，printf_modifier_table printf_va_arg_table这三者中至少有一个不为0，而程序初始化时，这三个值都是默认为0的。接下来就是要找到我们的攻击点，前面有一个自定义的格式化符号，所以我们要控制这个%X的解析内容，这个涉及到house of husk。printf_function_table相对于main_arena的偏移+0x4af8。我们先修改这个地址的值。
2026-01-31 12:17:49
3365
原创 BUUCTF ciscn_2019_final_2 IO_FILE attack__fileno 利用
cicn_2019_final IO_attack fileno_fd利用
2026-01-16 22:25:51
686
原创 基于 Python 的简易 Web 应用防火墙（WAF）设计 与实现 信息安全技术课程设计
基于Python简易Web应用防火墙设计 信息安全技术课程设计
2026-01-05 18:22:24
783
原创 houseoforange_hitcon_2016 PWN学习 house of orange FSOP
house of orange 和 fsop的一起运用初识IO
2025-12-24 19:57:24
1155
原创 ciscn_2019_n_5&&ciscn_2019_ne_5&&ciscn_2019_s_3&&第十八届ciscn初赛anote PWN学习
ciscn_2019_n_5&&ciscn_2019_ne_5&&ciscn_2019_s_3&&第十八届ciscn初赛anote PWN学习
2025-12-22 16:57:58
1235
原创 vn_pwn_easyTHeap PWN tcache_perthread_struct利用
tcache_perthread_struct利用
2025-12-21 14:51:03
1025
原创 BUUCTF-hitcontraining_magicheap PWN堆学习Unsortedbin
libc2.23.so中的unsortedbin的利用
2025-12-11 16:21:11
626
原创 PWN堆学习fastbin Buuctf-babyheap_0ctf_2017
而且比较有意思的是，这次又让我们重新输入了content_size，但是程序并没有将原来结构体中的content_size更改。由于我们希望使用 unsorted bin 来泄漏 libc 基地址，所以必须要有 chunk 可以被链接到 unsorted bin 中，所以该 chunk 不能被回收到 fastbin chunk，也不能和 top chunk 相邻。上面介绍的randomize_va_space文件的枚举值含义，设置的值不同，linux内核加载程序的地址空间的策略就会不同。
2025-12-10 22:51:08
1041
1
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人