（攻防世界）（pwn）mary_mroton

最新推荐文章于 2022-12-19 22:12:33 发布
最新推荐文章于 2022-12-19 22:12:33 发布
阅读量922 收藏 1
点赞数
CC 4.0 BY-SA版权
文章标签： pwn canary
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_43986365/article/details/96600301

经过一段时间的研究，终于接触到Canary了，不容易啊

拿到本题查看保护
在这里插入图片描述
开了NX和Canary两种栈保护，我们运行一下出现，看一下程序逻辑：
在这里插入图片描述
根据我们对英语强大的理解 （翻译软件的腻量）我们可以看到1标题是栈溢出漏洞函数，2是格式字符串漏洞函数，3为退出，既然他都告诉我们了，我们也不用客气直接用就可以了。

我们可以用格式字符串漏洞泄露Canary的值，然后再进行简单的栈溢出，把Canary填入即可。

查看IDA可以发现，程序留了后门：
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
我们知道，通过格式字符串漏洞泄露参数，要知道输入参数距离我们要泄露的参数的位置，这里是23.
为什么是23呢？
首先，我们可以看到伪C代码：

最低0.47元/天 解锁文章

200万优质内容无限畅学
PLpa、
关注
攻防世界——进阶PWN：Mary_Morton
baidu_36110484的博客
06-14 476
0x01源码分析 今天做了一道PWN题，考察了格式化字符串漏洞和绕过canary的栈溢出。比较基础，但是还是有值得记录的地方。 checksec查看，64位程序，开启了canary和栈不可执行。拖进IDA里，看到源码逻辑还是比较简单的。存在一个格式化字符串漏洞还有一个栈溢出。还有一个后门函数0x4008DA。 0x02 格式化字符串漏洞 先用老脚本看一下格式化串的相对偏移。 #search_offset.py #encoding:utf-8 from pwn import * context.log_le
攻防世界 Mary_Morton
10-07 364
1.题目 2.IDA分析 3.流程分析
4.pwn入门新手做攻防世界Mary_Morton （stack canary与绕过的思路）
qiudalaojiao的博客
02-14 669
canary 通常栈溢出的利用方式是通过溢出存在于栈上的局部变量，从而让多出来的数据覆盖ebp、eip 等，从而达到劫持控制流的目的。然而stack canary这一技术的应用使得这种利用手段变得难以实 现。。这个概念应用在栈保护上则是在初始化一个栈帧时在栈底设置一个随机的canary值，栈帧销毁前 测试比较该值是否“死掉”，即是否被改变，若被改变则说明栈溢出发生，程序走另一个流程结束，以免漏洞利...
攻防世界Mary_Morton
像初雪一样自由洒落
02-16 984
64位程序，开启了canary和nx保护 执行以下，效果如下： 有提示： 输入1那块存在栈溢出 输入2那块存在格式化字符串漏洞 拖到ida看一下 main函数： 栈溢出的函数： 有canary保护，根据程序可以看出，v2应该就是canary的值，一开始，将_readfsqword(0x28u)的值给v2，后来又和v2做异或操作，只有v2与它还相等，...
攻防世界pwn——Mary_Morton
qq_62076255的博客
12-19 260
做题记录
攻防世界 Pwn time_formatter
MrTreebook的博客
03-06 509
攻防世界 Pwn time_formatter1.checksec分析2.IDA分析menu在 print_your_time 找到有关system函数控制好参数ptr即可拿到权限输入限制UAF利用思路3.exp 1.checksec分析 2.IDA分析 menu puts("Welcome to Mary's Unix Time Formatter!"); do { while ( 2 ) { puts("1) Set a time format.");
攻防世界 Pwn hello_pwn
MrTreebook的博客
10-18 517
攻防世界pwn hello_pwn 文章目录攻防世界pwn hello_pwn1.checksec走一下2.先跑一下看看4.exp如下5.运行结果如下6.可以不用python总结 1.checksec走一下 可以看到只有 Partial RELRO 没有开启栈保护，是属于简单的栈溢出pwn题 2.先跑一下看看 ## 3.拉进IDA看一下 sub_400686函数中调用系统函数直接获取flag 因此如果让60106c == 1853186401就可以获取到flag 看到危险函数read可以实现栈
【攻防世界pwn-guess_num】
a_silly_coder的博客
01-15 1740
下载文件后，首先检查保护 开启了金丝雀，不能溢出到返回地址 将文件拖入ida阅读 代码逻辑是：首先输入name（赋值给v7），接着使用seed[0]作为种子生成10个随机数，每一轮都要猜对，10轮后进入sub_C3E()函数，我们进入这个函数后，发现是直接执行cat flag。 回头看main函数，发现v7和seed[0]都在栈上，且给v7赋值时使用的gets()方法 所以确定攻击思路：在输入name时，输入足够长的数据，覆盖seed[0]，然后自己模拟C语言的rand()方法生...
【攻防世界pwn-int_overflow】
a_silly_coder的博客
05-14 395
下载文件后首先检查保护，发现不存在canary，可以进行栈溢出。 将文件拖入ida32位进行查看，发现是一个简单的登录。 首先在login()中输入账号和密码，发现passwd存在buf中，可输入长度有0x199，然后传入check_passwd()函数中。 然后在check_passwd中将0x199长度的buf复制给dest，但是dest距离ebp只有0x14，我们也在文件中发现了cat flag的函数，所以思路就很清晰了，在输入密码时，输入一个长字符串，在check_passwd函数..
攻防世界-Mary_Morton
Henlenl的博客
11-30 3100
检查文件信息 amd64-elf文件 开启了Canary保护 开启了NX保护 ida静态分析 进入到sub_4008EB函数 格式化字符串漏洞 另外进入到sub_400960()函数有栈溢出漏洞 但是有一点开启了Canary 那么我们可以通过 格式化字符串任意读 泄露Canary地址 然后利用这个地址来进行溢出漏洞的利用 栈分布如图 而我们知道 v2就是用来储存canary的值的变量 而buf 大小位0x90 v2的大小位 0x8 覆盖return addr，需要0x90-0x8=0x88大小去
XCTF攻防世界高手mary_morton
weixin_45948183的博客
03-24 375
格式化字符串泄露canary，栈溢出 从函数执行就可以看出，一个格式化字符串啊漏洞，一个栈溢出漏洞 checksec了一下有canary的保护，开启了canary，就不能直接利用栈溢出覆盖返回地址，通过通过格式化字符串漏洞泄露canary的值，然后再进行栈溢出的覆盖 buf在rbp-90h，v2在rbp-8h，canary与我们输入参数的偏移为0x90 - 8 = 0x88所以，覆盖返回地址的话...
攻防世界pwn--Mary_Morton
YANG12345_6的博客
11-16 2315
攻防世界pwn–Mary_Morton file 一下，查看文件属性 checksec一下，查看保护措施 开了canary，在调用函数的时候会在栈上设置一个标志，标志的位置： EIP EBP canary logol ··· 栈的其他内容 开了NX，栈不可执行。 运行一下 ida查看其反汇编代码 在ida里看到有system函数： 地址：0x4008DA gdb调试，查看格式化字符串参数的位置 第六个位置 查看有关栈溢出的函数： 可以利用的栈溢出的buf的位置：rbp
[攻防世界 pwn]——Mary_Morton
Y_peak的博客
02-20 295
[攻防世界 pwn]——Mary_Morton 题目地址: https://adworld.xctf.org.cn/ 题目: checksec看下，64位还开启了NX和canary保护。（一般开启canary保护，都有格式化字符串漏洞） 在IDA中看看，　果然有格式化字符串漏洞 仔细看看代码会发现, 这个是个死循环, 1 里面有栈溢出, 2里面有格式化字符串漏洞, 3是退出。 我们可以先利用格式化字符串的漏洞, 泄露出canary, 然后就可以利用栈溢出修改返回地址了。 最近我学了一个新的
2019.10.10攻防世界 Mary_Morton
DSR446的博客
10-10 376
根据索引rbp提供的信息，我们知道，canary位置距离rbp为0x8，而我们的输入参数距离rbp为0x90。且这是一个64位程序。我们可以计算canary的偏移 = 6（6个寄存器）+(0x90-0x8)/8 = 23 :这里子所以减0x8是减的rbp。 【注】：这个程序缺少符号表且没有开PIE，所以我们在下断点的到时候通过在ida中找相应的地址，不用加上程序的加载地址。 最后的 ...
攻防世界 Pwn Mary_Morton
MrTreebook的博客
12-05 1055
攻防世界 Pwn Mary_Morton1.题目下载地址2.checksec看一下保护3.IDA分析3.1.main函数3.2. sub_400960()3.3. sub_4008EB()3.4.4.gdb动态调试4.1.计算溢出量5.exp 1.题目下载地址 点击下载题目 2.checksec看一下保护 开启了canary，没开PIE 大概率有后门函数，应该不是很难的题 3.IDA分析 3.1.main函数 puts("Welcome to the battle ! "); puts("[Great
攻防世界Mary_Morton wp
苗_的博客
10-13 381
首先查看他的保护机制：（checksec） 有canary保护 然后我们拖进ida发现两处溢出点： 看一下流程图和汇编可以知道readsqword这个地方有canary保护，只有 rax 和fs：28h 两个值相等的时候 才能跳转到返回值，反之则调用stack_chk_fail 找到后门函数 思路：将两个漏洞结合利用，首先利用字符串漏洞，泄露出canary的值，然后在函数要返回的时候再填回去，之后利用栈溢出，让其返回到后门函数 根据程序可以看出，v2应该就是canary的..
攻防世界高手进阶区 ——Mary_Morton
weixin_62675330的博客
02-26 4146
攻防世界高手进阶区 ——Mary_Morton 不容易呀，这都已经是第七题了，继续加油！ 一，老规矩，先分析一下文件 checksec一下 发现开启了栈溢出，可能这个题就是学习栈溢出漏洞绕过的。 运行一下 告诉了存在栈溢出漏洞和格式化字符串漏洞。 file文件 ┌──(root💀kali)-[/home/…/面/ctf_workstation/Offensive_and_defensive_world/Mary_Morton] └─# file Mary_Morton
XCTF-攻防世界CTF平台-PWN类——1、Mary_Morton（格式化字符串漏洞、缓冲区溢出漏洞）
Onlyone_1314的博客
09-09 1750
目录标题一级目录二级目录1、查看程序基本信息2、反编译程序3、攻击思路（1）先利用功能2格式化字符串漏洞（2）找到功能1的sub_400960()函数返回地址的位置方法二 一级目录 二级目录 1、查看程序基本信息 Mary_Morton程序，先用file查看： Linux下64位的ELF文件 再用checksec查看 程序开启了Partial RELRO、NX和Canary，没有PIE。程序开启了canary，就不能直接利用栈溢出覆盖返回地址了。因为在初始化一个栈帧时在栈底（stack overflow
攻防世界pwn题目int_overflow
最新发布
03-08
### 关于CTF PWN Int Overflow Challenge Solution 在处理PWN类型的整数溢出挑战时，理解程序如何处理输入以及这些输入怎样影响内存至关重要。当遇到名为`int_overflow`的题目时，这可能意味着某个`int`型变量存在...
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值