[BUUCTF]PWN------jarvisoj_level0

CTF buuoj pwn-----第6题:ciscn_2019_n_1前言一、checksec 检测文件的保护机制二. 静态分析，IDA打开文件三. 编写EXP四. 运行EXP, 获取flag 前言 记录一下pwn的过程, 新手学习日记, 流水线记录. 打开题目, 连接靶机，下载文件level0 一、checksec 检测文件的保护机制 bing@bing-virtual-machine:~/pwn$ checksec ./level0 [*] '/home/bing/pwn/level0'

64位(system_addr+1)的奥秘

buuctf ----- jarvisoj_level0 运行一下程序 使用64位的IDA查看程序 查看vulner_function函数 发现buf存在溢出漏洞，buf是0x80，read了0x200 存在栈溢出漏洞 发现后门函数system("/bin/sh")，解题思路：修改read函数的ret address 为后门函数的地址。 编写exp from pwn import* io=remote("node4.buuoj.cn",26034) sys_addr=0x0400596 pa

buuctf-jarvisoj_level0(pwn)题解

[BUUCTF]PWN8——jarvisoj_level0 题目网址：https://buuoj.cn/challenges#jarvisoj_level0 步骤： 例行检查，64位，开启了NX保护 nc一下，看看程序的大概执行流程，回显Hello，world之后让我们输入 用64位ida打开，shift+f12查看字符串，发现了 system 和 /bin/sh 双击跟进，ctrl+x找到调用 /bin/sh 的函数，找到了程序里的后门，shell_addr=0x400596 根据

[BUUCTF-pwn]——jarvisoj_level0 题目地址：https://buuoj.cn/challenges#jarvisoj_level0 题目： 还是先下载下来在Linux上checksex一下，基本确实又是栈溢出了。 64位，所以我们用64位的IDA打开，没什么有用的信息，点开vulnerable_function函数 发现栈溢出的read函数，前面为0意味着标准读入，后面的长度也可以。没毛病就是这个地方了。 再翻翻其他函数，发现了我们想要的system函数。找到位置，和需要覆

本文深入解析BUUCTF平台上的两道经典PWN题目pwn1_sctf_2016和jarvisoj_level0，重点讲解栈溢出漏洞的原理与利用方法。通过详细的反编译分析、payload构造和调试技巧，帮助读者掌握32位与64位程序下的栈溢出利用技术，包括字符替换漏洞利用和直接后门调用等实战技巧。

1、程序为64位程序，在main函数的vulnerable_function中，接收用户最大0x200长度的输入，但buf的大小只有0x80，存在栈溢出漏洞。2、发现存在后面函数callsystem，地址为0x4005963、因此，可直接通过栈溢出篡改程序执行流使其指向执行callsystem函数。

checksec一下，栈溢出 IDA打开看看，很明显的溢出和后门函数，一道白给题 from pwn import * from LibcSearcher import * context.os='linux' context.arch='amd64' context.log_level='debug' sl=lambda x:io.sendline(x) rl=lambda :io.rec...

依旧是基础的ret2text。

发现缓冲区溢出，输入超过128字节，将覆盖栈上其他数据。（2）双击vulnerable_function。（（1）双击callsystem。总大小为0×80+0×8）（1）构建Python脚本。2.放入ida64反编译。其地址为400596。（1）F5转为C语言。

发现buf 占80字节 加上64基地址的8字节 我们就需要0x88个字节填充满。果然就是输出hello world 然后输入。这道题也是栈溢出 但是有不同的函数。发现/bin/sh 漏洞代码。进去发现果然没有使用这个函数。放入ida64 查字符串。我们重新回到main函数。这样我们就可以栈溢出。我们可以开始写exp。

PIE（Position Independent Executable）是指位置无关的可执行文件，如果启用了 PIE，程序在每次运行时，加载地址都会随机化，以增加攻击者预测内存布局的难度。这里显示未启用 PIE，这意味着程序的加载地址是固定的（这里是 0x400000），攻击者更容易预测程序的内存布局，从而进行攻击。这里显示 NX 已启用，这意味着程序不允许在数据段中执行代码，这可以有效防止某些代码注入类型的攻击（如传统的栈溢出攻击）。本题与之前的题目类型差不多，是栈溢出问题）第三步 编写脚本。

看到个read函数，而且能输入的最大字节数为512字节。而buf我们看到是128字节的限度，那应该是存在栈溢出的问题。而且我们直接看到有个后门函数，和前面几题的套路如出一辙。

显示除了NX保护均未开启或完全启用 ，说明此题难度系数不高，而NX开启说明数据区域（如栈、堆）不可执行，是防止将写入数据区后跳转执行，所以可优先考虑不利用shellcode注入且简单直接的方式寻找漏洞。main函数的伪C代码提示调用了函数，那么接下来可以进入 vulnerable_function 函数进行分析。（对于write函数的调用，我们放到后续分析）10xDuLL0xD\n函数中使用了read函数：0: 文件描述符。​，通常来自键盘输入或程序重定向bufbuf0x200uLL0x200这是。

vulnerable函数是一个漏洞函数：(存在缓溢出)，我们只需要将buf溢出到返回地址，返回地址覆盖为sys函数地址即可。在main函数中调用了vulnerable_function()函数。小白垃圾做题笔记而已，不建议阅读。这道题感觉主要就是64位程序ebp=8。题目中给出了shellcode。我们直接将返回地址覆盖就好。exp：这里用下大佬的模板。

栈溢出，然后覆盖返回地址为system的地址。 from pwn import * from LibcSearcher import * context.os='linux' context.arch='amd64' context.log_level='debug' ru=lambda x:io.recvuntil(x) rl=lambda :io.recvline() ...

buf变量长度为128，但是read可以读入0x200长度的字符，存在栈溢出，需要覆盖的长度为0x80+8。vulnerable_function()函数。64位，开启了NX保护。