2023届的信安大挑战——pwn(持续更新!)

这是我打的第一次比赛,主打的pwn方向,纪念我的成长
需求:一定的linux系统的命令指令知识,基础的汇编代码,配置好了的(打pwn建议是),pwntools的使用,python的使用,ROPgadget的使用
每次把拖入IDA前记得用Exeinfope进行检查一下,看是x86还是x64

猫咪

首先打开题例,可以发现提示里就有个nc,就是个普通的nc题
格式:nc 端口
2023届的信安大挑战——pwn(持续更新!)
最后输入ls列出当先文件中所包含的其它文件,找到flag,使用cat flag指令获取flag里的内容,显示出的内容就是本题的flag
2023届的信安大挑战——pwn(持续更新!)

看看你的

打开题例,下载附件,使用IDA查看代码
2023届的信安大挑战——pwn(持续更新!)
2023届的信安大挑战——pwn(持续更新!)
乍一看下,main函数里似乎没有什么,那么就在子函数里寻找有没有别的漏洞
当我们点开sub_1C86的时候,发现了有意思的东西,”sh”和”flag”都被过滤掉了,说明我们很有可能要从这里下手
2023届的信安大挑战——pwn(持续更新!)
先nc一下试试
2023届的信安大挑战——pwn(持续更新!)
发现IDA里未识别的函数名在这里都有了名称,且第五个是command,恰好与sub_1C86对应,我们有理由怀疑这就是类似终端的命令
虽然它过滤了”sh”,但是我们还有另一个”$0″可以利用,其作用等效于”sh””/bin/sh”,将其输入即可获得shell
最后ls和cat即可
2023届的信安大挑战——pwn(持续更新!)
不过佬在这种漏洞上还有其它两种不同解法:
1.过滤掉了”flag”,可以用”cat /*”来查看当前目录下的所有文内容
2023届的信安大挑战——pwn(持续更新!)
2.过滤掉了”flag”,可以用”/???/??? ????”来进行匹配(这是个什么原理我还不知道)
2023届的信安大挑战——pwn(持续更新!)
当然这都只是其中一个方法,属于逻辑漏洞,佬们还有另一个解法,我还没理解,就先不写这个了

stack_is_so_easy

题例,下载!
2023届的信安大挑战——pwn(持续更新!)
拖进IDA看看呢,一眼看到backdoor函数呢,可以狠狠对它进行栈溢出呢
2023届的信安大挑战——pwn(持续更新!)
2023届的信安大挑战——pwn(持续更新!)
构造如下~
2023届的信安大挑战——pwn(持续更新!)
轻松拿下flag~
2023届的信安大挑战——pwn(持续更新!)

easy_shellcode

依然是打开题例,下载附件
2023届的信安大挑战——pwn(持续更新!)
使用checksec查看保护机制,发现开了NX保护和部分地址随机化
2023届的信安大挑战——pwn(持续更新!)
使用IDA查看代码,然后会看见几个很明显的有漏洞的函数,read,my_read,这两个就是本次的关键
2023届的信安大挑战——pwn(持续更新!)
因为addr并不在栈上,所以NX无法保护到它,并且read读取的字节数够长,我们可以考虑在read中插入shellcode传入addr中,而在my_read中进行栈溢出跳转到addr中获取到shell。
但是在my_read后有个刺头strlen不让我们输入超过9字节长度的,和栈溢出相冲突,那么此时,我们可以考虑绕过它。只要在输入的字节中开头使用'/x00'字符后,strlen便不会再检测后边的数据,就可以进行绕过了,那么,脚本如下
2023届的信安大挑战——pwn(持续更新!)
运行脚本后就可以获得flag啦!
2023届的信安大挑战——pwn(持续更新!)

messageborad

开头就不赘叙了,大家都懂,确实有个后门函数,也可以进行栈溢出
2023届的信安大挑战——pwn(持续更新!)
2023届的信安大挑战——pwn(持续更新!)
但是我们进入backdoor后发现,调用的system函数里的并不是我们想要的,那么我们就要想办法向里边传参
2023届的信安大挑战——pwn(持续更新!)
在汇编代码里找到了一串很长的稀奇古怪的”bin/sh”字符串,将它的字节数展开(按”A”),会变成一个个字符,我们需要的只是”sh”(sh作用等效bin/sh),获取sh中s的地址即可
2023届的信安大挑战——pwn(持续更新!)
2023届的信安大挑战——pwn(持续更新!)
那么我们此时的思路就是,进行栈溢出后,设法将获取到的sh地址传入system中即可,但是没有return该怎么办呢?这里就要介绍到我们强大的ROPgadget了!能够在二进制文件里寻找我们需要的汇编代码及其相关地址,是pwn的必备工具之一!
哦对,别忘了在进行ROPgadget之前查看是x86还是x64
2023届的信安大挑战——pwn(持续更新!)
在这里我已经查看了是x64,参数不会直接寄存于栈上,而是会在寄存器中,依次存在Rdi,Rsi,Rdx,Rcx,R8,R9中,当参数大于6的时候,才会将参数保存在栈中。
此时使用ROPgadget搜索Rdi,恰好这就是我们需要的,在保存一个参数之后可以直接进行return指令
2023届的信安大挑战——pwn(持续更新!)
此时我们的思路已然明了:栈溢出——跳转到rdi——将”sh”的地址数据传输到rdi中——ret回backdoor函数中调用system函数——运行脚本——获取权限和flag
2023届的信安大挑战——pwn(持续更新!)
2023届的信安大挑战——pwn(持续更新!)

给TA打赏
共{{data.count}}人
人已打赏
运维笔记

SUSE Manager 1.7版本发布,可简化Linux管理工作

2023-10-10 15:53:21

操作系统

[20231109]bash shell快捷键alt+number的问题.txt

2023-11-18 14:17:49

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索