攻防世界pwn新手练习（string）

最新推荐文章于 2022-11-05 18:25:06 发布
最新推荐文章于 2022-11-05 18:25:06 发布
阅读量1.7k 收藏 3
点赞数 1
分类专栏： 攻防世界 pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_43681242/article/details/103681367
版权
本文介绍了攻防世界中的一个pwn新手练习，涉及程序的NX、CANARY和PELRO保护机制。通过IDA分析，发现了格式化字符串漏洞，其中两个输入点分别对应“%ld”和“%s”。利用条件是使数组的第一个数字等于第二个数字，通过控制输入地址和利用第二个输入点，实现了漏洞利用。最后展示了EXP效果，并邀请读者在作者的博客上进一步讨论。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

string

首先我们看一下程序的保护机制
在这里插入图片描述
程序开了NX(堆栈不可执行)、CANARY(栈保护)和PELRO
程序太长了，我们就不运行了，在IDA中我们查一下有没有什么明显的地方在这里插入图片描述
在这个函数里面 我们发现了一个格式化字符串漏洞，在他的上面有两个输入点，一个是“%ld”格式，一个是“%s”格式
我们在往下看，紧接着的函数里有这么一个东西
在这里插入图片描述代码执行，条件是a1这个数组里面的第一个数字等于第二个数字
我们往回追，看他这个最初是什么
在这里插入图片描述可以看到程序给出了这两个数，一个是68， 一个是85，并且可以看到程序会将数组的地址打印出来的，那么，利用这些信息我们就可以通过格式化字符串漏洞使数组的前两个数相等，需要注意的是

最低0.47元/天 解锁文章
攻防世界pwn新手练习区通关教程
玄道的网安博客
05-19 3778
when_did_you_born 我们通过溢出来覆盖v5为1926即可 代码块 from pwn import * r = remote("124.126.19.106",31534) payload = 'a'* (0x20-0x18) +p64(1926) r.recvuntil("What's Your Birth?\n") r.sendline("2000") r.recvuntil("What's Your Name?\n") r.sendline(payload) print r.re
【攻防世界pwn-string】
a_silly_coder的博客
05-18 416
首先检查保护 将文件拖入64位ida 查看代码逻辑，发现这个代码有些复杂，但是大多数都是无效信息，很多输入都是指引程序进行的，扰乱我们的视线。 关键信息有：v3v4的数值地址都给出来了，然后查看sub_400D72函数 这里首先输入一个name，这是干扰输入，只要不超过0xC的长度即可。然后sub_400A7D也是干扰输入，只需要跟着代码输入就可以了。接着查看sub_400BB9与sub_400CA6 sub_400BB9这里很显然是有一个格式化字符串漏洞。 接着看s...
攻防世界 pwn string
N1rvana的博客
11-15 4403
攻防世界string应该是新手区数一数二的难题，难点在理解程序流程。 先观察主函数: alarm函数 什么是alarm函数？ 如上图所示，在做一些pwn题的时候，我们有时会遇到alarm(0x3Cu)函数。alarm函数中的参数0x3Cu是十六进制无符号数，即十进制对应60，所以该函数的作用是在程序运行60秒后，给进程发送SIGALRM信号，如果不另编写程序接受处理此信号，则默认结束此程序。 为什么要使用alarm函数？ 一是比赛中常要远程连接服务器解题，官方不希望有队伍长时间解不出来题浪费服务器资源 二
攻防世界-pwn-String
weixin_44558065的博客
10-19 379
本人为萌新，以下只是个人看法。
[PWN](攻防世界)string
ljh15937的博客
09-21 1313
分析程序漏洞 了解程序的基本信息 64位小端序 开启了 Canary 保护，栈不可执行，未开启 PIE， 使用 IDA Pro 进行静态分析，由于该程序的执行流较为复杂，需要花些时间理清程序的具体执行流程 使用 GDB 进行动态调试，设置断点执行到 printf(&format, &format);，可以发现输入的地址 0xa98ac7 在栈顶的第二个8字节，根据64位程序的传参方式，该地址是格式化字符串的第 7 个参数，printf() 函数的第 8 个参数。
攻防世界新手区—string
hanabi_sh
10-15 687
攻防世界string，格式化字符漏洞
攻防世界pwn——string
qq_62076255的博客
11-05 804
攻防世界pwn——string
[红日安全]学习笔记1—SQL注入实战攻防（SQLMap、DVWA、Pikachu）
ISNS的博客
04-21 1757
最近和同学聊天： 是我太菜。
攻防世界 Pwn string
MrTreebook的博客
11-22 207
攻防世界pwn string1.checksec看一下保护2.IDA分析一下源码 1.checksec看一下保护 除了PIE其他保护都开了 2.IDA分析一下源码 v3申请了8大小的内存空间，然后在前4个空间中存放了数字68，在后四个空间中存放了数字85。而v4中存放的是v3的内容，并不是68和85两个数字，而是存放了两个数字的内存空间地址。 ...
攻防世界string
qq_25044201的博客
12-30 230
这道题是我在新手区见到的最难的一道题，涉及了格式化字符串，shellcode注入，最难的还是这个过程。繁杂，琐屑。 这句是最关键的，创建个内存然后作为指针函数。这里注入shellcode就可以。但是有个前提a[0]=a[1]我们要通过格式化字符串修改a[0]=85使得a[0]=a[1] ...
攻防世界 string
BengDouLove的博客
03-22 1236
这回终于做上了一道像一个小系统一样的题，有很多输入输出，程序逻辑也复杂了一点，比赛中我看都是这样的题，一直以来遇到这样的题都是不知所措，从这一道开始练手把 这是一个文字版RPG game… 一开始看main函数看不出来什么，注意到输出了secret 输出secret之后进入另一个函数，将v4的值传了进去 然后让输入名字，这里好像没有溢出，名字长度小于12 输入名字之后进入三个函数的第一个，开始...
攻防世界STRing
WangLal的博客
07-06 371
攻防世界PWN String的WP 基本的三步checksec，file，执行文件 这是一个64位文件，只有pIE没开。 由string这个题目猜测可能会是字符串漏洞 将下载好的附件扔进IDA里查看，点击main函数 main函数中找不到，那就在其他函数看一下。 点击 sub_400D72 要进入if条件中，输入的s的长度需小于12位 在sub_400BB9函数中看到了 printf前几句中存在%s与%ld，可以操作. 继续看下一个函数 （a1+4是指a1加4个字节，也就是一个整数类型所以这个就是a
[攻防世界]string
逆向萌新的博客
06-20 270
[攻防世界]string详解
攻防世界 - pwn - string
qq726232111的博客
03-25 538
A、程序分析 1、mov eax, ds:stdin@@GLIBC_2_0 mov [esp+8], eax ; stream mov dword ptr [esp+4], 64h ; n lea eax, [esp+9Ch+s] mov [esp], eax ; s call ...
攻防世界 新手区string
winterze的博客
04-04 405
0x00 函数分析 基本信息 [*] '/home/ububtu/ctf/string' Arch: amd64-64-little RELRO: Full RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x400000) 64位，开启了Canary和...
攻防世界PWN-string
Deeeelete的博客
11-15 811
题目：string 进PE或者checksec 64位程序 堆栈不可执行以及栈保护 运行一遍好像是一个文字游戏 剧情游戏？分析一波主要任务分支： 情况1：开始游戏，啥也不输入，60秒之后程序自动关闭 情况2：开始游戏，输入名称，名称超过了12个字符，直接出局 情况3：开始游戏，输入小于12个字符的名称，进入剧情问我走east还是up，如果选择up程序会一直死循环 情况4：开始游戏，输入小于12个字符的名称，进入剧情走east，然后问我选择1还是0，选择0，原地暴毙 情况5：开始游
攻防世界-string-Writeup
SkYe's Blog
05-15 560
string [collapse title=“展开查看详情” status=“false”] 考点：格式化字符串任意地址写小数 题目前面有几个条件循环绕过，反编译就能看出，不再赘述。看漏洞函数： unsigned __int64 sub_400BB9() { int v1; // [rsp+4h] [rbp-7Ch] __int64 v2; // [rsp+8h] [rbp-78h] char format; // [rsp+10h] [rbp-70h] unsigned __int64
攻防世界 string WP
Casuall的博客
07-28 1332
检查文件类型（file命令），检查安全措施（checksec命令）就不多说了，只有PIE没有开。 首先查看一下main函数，有一个sub_400996函数，这个函数就是负责打印一些信息。然后通过malloc申请了8个字节大小的内存，返回的指针为v3，将v3的值（指针的值为地址）存入v4，实际上v3和v4都指向了刚才申请的那块内存。然后赋值，将前四个字节赋值为68，后四个字节赋值为85。后面通过printf打印了v4和v4+4的值，其实就是68和85的地址。 下面有个sub_400D72(v4)函数，将v4
攻防世界pwn新手题答案
最新发布
08-10
回答: 对于攻防世界pwn新手题，其中一个关键是要修改全局变量pwnme的内容。通过格式化字符串的方法，可以实现这个目标。格式化字符串的原理是利用输入的格式化字符串，修改内存中的指定位置的值。具体的方法可以参考...
评论 15
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值