buuctf pwn wp（第六波）学会绕过Canary保护

最新推荐文章于 2025-03-27 18:18:03 发布
原创 最新推荐文章于 2025-03-27 18:18:03 发布 · 796 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文深入解析Canary机制在程序安全中的应用，通过攻防世界题目的实战演示，详细阐述了如何确定Canary值的位置及利用技巧。文章提供了一个Python脚本示例，展示如何远程连接目标，获取Canary值，并构造payload进行攻击。

我在前面已经介绍过关于canary的内容了，所以这里直接引用并附上链接

然后我们照例先看看攻防世界的题目

这道题就是攻防世界进阶区的第一道题，其中点赞数最高的那个wp已经写得很明白了，我们这里只是复盘一下，有兴趣的可以自行去看看。

Mary_Morton

所谓的canary，就是系统会产生一个随机数，在程序的开始和结束给出，如何发生改变，那么程序就会报错退出。
如何确定canary的位置，如图，定义一个变量，在程序结束后返回，就是canary的值
在这里插入图片描述
在这里插入图片描述
先看看main
在这里插入图片描述
然后我们点开变量buf，位置在0x90位置
在这里插入图片描述
而canary在0x08的位置，两者距离为0x88，所以我们的思路就是
在这里插入图片描述

from pwn import *
p=remote("111.198.29.45",42124)

system_addr=p64(0x4008
最低0.47元/天 解锁文章
绕canary保护
xia0ji233
05-05 448
这几天一直在跟着团队的进度做csapp的实验报告，突然想拿题来练手了才发现自己还是有点菜的。这次的任务是做一道简简单单的带canary保护的一题，做了很长时间问了很多师傅，也算把这个方法搞搞明白了，但是不确定能不能完全说的明白，那么下面就开始吧。 canary保护 canary就是一段简简单单的cookie，它一般在上个函数所保存的ebp之前(即靠近栈顶的那个方向)下面一个图能描述一个带canary保护的栈帧，应该还是比较清楚的。 ↑栈顶 buf//函数的缓冲区，一般用于保存局部变量 canary ebp/
BugkuCTF pwn canary
ChaoYue_miku的博客
07-03 1377
** 0、下载附件使用checksec检查保护情况 ** 开启了NX保护和Canary保护 ** 1、nc 114.67.246.176 19138远程连接，查看题目 ** ** 2、使用IDA 64 Pro打开文件反编译 ** 查看main函数，两个read()函数都可以读取0x300个字节的数据，而buf和v5到栈底指针rbp的距离只有0x240和0x210字节，因此这里存在栈溢出漏洞 靠近栈底处的var_8应该就是canary 查看main函数的汇编指令 结合题意可知，覆盖canary末尾的
PWN入门（10）绕过程序堆栈Canary防护
Ba1_Ma0的博客
10-05 1314
简介“pwn"这个词的源起以及它被广泛地普遍使用的原因，源自于魔兽争霸某段讯息上设计师打字时拼错而造成的，原先的字词应该是"own"这个字，因为 ‘p’ 与 ‘o’ 在标准英文键盘上的位置是相邻的，PWN 也是一个黑客语法的俚语词，是指攻破设备或者系统。发音类似"砰”，对黑客而言，这就是成功实施黑客攻击的声音，而在ctf比赛里，pwn是对二进制漏洞的利用下载这个github库，进入10文件夹。
ctf-pwn:canary绕过
chennbnbnb的博客
01-19 3359
文章目录覆盖00字符读出canary原理利用条件漏洞代码编译选项EXP利用格式化字符串漏洞读出canary原理漏洞代码编译选项EXP逐字节猜解canary原理漏洞代码编译EXPSSP Leak原理 覆盖00字符读出canary 原理 canary的值设计为以0x00结尾，防止read，printf灯函数直接读出 通过栈溢出覆盖最低位的字节，从而获得canary 利用条件 存在read/pri...
ctf(pwn) canary保护机制讲解 与 解密方法介绍
半岛铁盒的博客
03-03 2944
Canary保护机制 canary的意思是金丝雀，来源于英国矿井工人用来探查井下气体是否有毒的金丝雀笼子。工人们每次下井都会带上一只金丝雀如果井下的气体有毒，金丝雀由于对毒性敏感就会停止鸣叫甚至死亡，从而使工人们得到预警。 在函数开始时就随机产生一个值，将这个值CANARY放到栈上紧挨ebp的上一个位置，当攻击者想通过缓冲区溢出覆盖ebp或者ebp下方的返回地址时，一定会覆盖掉CANARY的值；当程序结束时，程序会检查CANARY这个值和之前的是否一致，如果不一致，则不会往下运行，从而避免了缓冲区溢出攻
BUUCTF pwn wp 96 - 100
fa1c4的blog
02-23 892
axb_2019_heap axb_2019_heap(master*)$ file axb_2019_heap;checksec axb_2019_heap axb_2019_heap: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=bdd2a0e3
BUUCTF pwn wp 121 - 125
fa1c4的blog
03-24 845
qctf2018_stack2 强网杯2019 拟态 STKOF zctf_2016_note3 bcloud_bctf_2016 hgame2018_flag_server hgame2018_flag_server$ file flag_server;checksec flag_server flag_server: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically
BUUCTF Pwn lctf2016_pwn200 WP
最新发布
qq_33348179的博客
03-27 365
最后释放使其进入fastbin 再malloc并编辑 让shellcode的地址覆盖返回地址 最后退出程序的时候就会返回shellcode的地址。再往上就是第二次输入的位置(0x7ffee75a2730)（距离该rbp的位置0xC0）标记的位置是泄露出来的rbp（栈地址） 往上的0x616161...是用于填充的a。能利用printf泄露栈地址 而且能利用栈溢出覆盖堆指针 也能创建和删除堆。该函数会先创建一个0x40的堆 然后读取0x40的数据 并复制到dest。堆的增删功能 同时新建堆能控制大小。
”BUUCTF之pwn题解（一些栈题+程序分析）
热门推荐
swedsn
01-13 2万+
文章目录前言一、test_your_nc二、rip2.读入数据总结 前言 萌新的总结（包含当时做题的全过程)，方便以后查看。有什么不对的望各位大佬指点。 一、test_your_nc 1.直接nc（nc+的ip+端口号）。这里是直接进入了对方的shell命令中（有些题目是直接进入对方的文件并不会进入对方的shell中）。接下来就是和操作自己的shell一样的，ls查看目录，cat查看文件flag。 相互连接 二、rip 1使用IDA打开文件，先找main函数，然后按F5查看伪代码。看wp说fun可疑，点进
BugkuCTF-PWN题canary超详细讲解
am_03的博客
08-31 2963
知识点 小端序说明，数据在内存里是如何存储的？下表里数据都为16进制 解题流程 题目Hint:更新 LibcSeacher 的 libc-database checksec查看保护机制 0x28=40 0x10=16 0x29=41 0x300=768 0x2C=44 buf长度为48，而read读取长度为768 v5长度为520，而read读取长度为768 所以存在栈溢出漏洞 from pwn import * #sh = process('./pwn4_') #context.log_lev
CTF中的PWN——绕canary防护3（puts带出canary 泄露函数地址计算基地址）
壊壊的诱惑你的博客
10-14 2714
前言： 想要学好pwn，首先要看懂wp。此题断断续续占用了我两三天，原谅我太菜了。此题为攻防世界的babystack。金丝雀前文叙述过，此处不再阐述，绕过的首选办法就是想办法得到canary的值，因为程序每次load的时候canary都不同，但是一个进程中的所有方法的金丝雀的值都相同。得到canry的值后构造payload即可。 题目：babystack-攻防世界 file及...
[BUUCTF]PWN——wdb2018_guess（stack smashing--canary报错利用）
mcmuyanga的博客
03-14 1661
wdb2018_guess 例行检查，64位程序，开启了canary和nx 本地试运行一下，看看大概的情况 64位ida载入 存在溢出利用点，但是有canary保护，这边39行和41行的puts函数是写死的，没法用来接收泄露的信息，想到了利用canary的报错输出 在程序加了 carry 保护后，如果我们的输入覆盖了 carry ，程序就会报错，报错代码如下，可以看到，程序会执行 __stack_chk_fail 函数来打印 __libc_argv[0] 指针所指向的字符串（默认存储的是程序的名称）
CTFpwn常见保护及绕过:pie,canary
2302_79813730的博客
01-27 4593
这道题没有后门，我们还需要libc去做，这样我们需要泄露出一个正常的函数地址，来计算出libc_base，但是我们发现泄露的地址没有函数，libc_start_call_main(下称libc_call),这个函数我们不可以使用，因为找不到它的偏移（这里是因为虚拟机版本问题，一般libc_start_main(下称libc_main)可以被泄露出来）跟libc利用很像。之后跟进ctfshow函数，进行代码审计，第一个while循环没什么用，我们随便发送个数据就可以绕过，重点！
PWN——canary问题
ysy___ysy的博客
09-16 1675
我们知道，通常栈溢出的利用方式是通过溢出存在于栈上的局部变量，从而让多出来的数据覆盖 ebp、eip 等，从而达到劫持控制流的目的。栈溢出保护是一种缓冲区溢出攻击缓解手段，当函数存在缓冲区溢出攻击漏洞时，攻击者可以覆盖栈上的返回地址来让 shellcode 能够得到执行。当启用栈保护后，函数开始执行的时候会先往栈底插入 cookie 信息，当函数真正返回的时候会验证 cookie 信息是否合法 (栈帧销毁前测试该值是否被改变)，如果不合法就停止程序运行 (栈溢出发生)。
PWN:Canary学习2
weixin_44319142的博客
04-05 532
PWN：Stein：Gate 套路操作 开了canary，是64位的RELRO开是开了不过这题目里面没影响，据说是got表不能再更改了，不清楚会咋样，下次碰到题目再说 ida看看 进sub_400AF1看到，他的unk_602040在bss上，正好，里面有system函数，把/bin/sh写到bss里面，然后调用system 看到rdi了，那个就是用来给system传参数 pop_rdi=...
BUUCTF-pwn(8)
njh18790816639的博客
12-29 623
绕过canary原理及其利用方式
glhdbk的博客
09-07 4611
canary简介： canary是一种用来防护栈溢出的保护机制。其原理是在一个函数的入口处，先从fs/gs寄存器中取出一个4字节(eax)或者8字节(rax)的值存到栈上，当函数结束时会检查这个栈上的值是否和存进去的值一致，若一致则正常退出，如果是栈溢出或者其他原因导致canary的值发生变化，那么程序将执行___stack_chk_fail函数，继而终止程序。 所以如果有一道题开启了canary...
记一次院赛CTF的Pwn和Misc题（入门）
CTF小白的博客
04-14 3700
目录Pwneasy pwn莽撞人反向读取Miscdrop the beats拼东东消失的50px Pwn 见到别的比赛的pwn题才幡然醒悟，已经没有比这些更简单的pwn题了。 easy pwn 首先，拿到Pwn题的第一步，看是64位还是32位 第二步 gdb看开了哪些保护 【1】Canary:Canary保护机制的原理，是在一个函数入口处从fs段内获取一个随机值，一般存到EBP - 0x4(3...
pwn7第七关
qq_18823653的博客
04-03 520
前面几个懒得写了，直接第七个吧，溢出点和前面一样get()函数，112字节，保护只开了NX程序本身没有system(),也没有/bin/sh，且栈不可执行，用ROPgadget也没找到有用的语句，但是程序是动态链接的，运行时会加载so库，可以用put()泄露出put的真实地址，又因为ASLR随机化不了地址底12位，可以用put真实地址的底12位查询加载的那个版本的libc.so，以及确定libc的...
BUUCTF pwn rip
01-28
根据提供的引用内容，BUUCTF PWN-RIP是一个关于PWN技术的详解文章。文章中提到了64位的EIF文件中rbp寄存器的大小为8个字节。如果对这部分不太理解，可以阅读作者的另一篇关于PWN基础知识的文章。 BUUCTF PWN-RIP...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值