76 0ctf_2017_babyheap 保护 菜单堆。 allocate 堆的结构很明显了。要注意的是flag是四个字节。 fill 又是输入大小可以随便写。 又可以溢出。 free free的还是很干净的。 dump 平平无奇输出函数。 那么我们首先要考虑泄露libc的地址。泄露地址的方法只能去考虑unsorted bin
[BUUCTF-pwn]——[BJDCTF 2nd]r2t4 题目地址： https://buuoj.cn/challenges#[BJDCTF%202nd]r2t4 checksec一下，看一下。 IDA中，发现了后面函数和格式化字符串漏洞。 找到后门函数的地址， 并且算格式化字符串的偏移 思路 开启了canary保护，我们想要执行我们想要执行的代码， 可
[BUUCTF-pwn]——[第五空间2019 决赛]PWN5 题目地址：https://buuoj.cn/challenges#[第五空间2019%20决赛]PWN5题目： 这是一道格式化字符串的题，给大家讲解下 checksec一下看看， 开启了canary保护， 基本开启这个保护都会用到格式化字符串的漏洞。 在IDA中 利用pwndbg看看, 偏移
原理 ret2shellcode，当程序当中没有system函数时，我们需要自己往栈上写入一段shellcode，然后控制eip使其指向shellcode的地址。 shellcode 指的是用于完成某个功能的汇编代码，常见的功能主要是获取目标系统的 shell。 在栈溢出的基础上，要想执行 shellcode，需要对应的程序在运行时，s
[攻防世界 pwn]——Mary_Morton 题目地址: https://adworld.xctf.org.cn/题目: checksec看下，64位还开启了NX和canary保护。（一般开启canary保护，都有格式化字符串漏洞） 在IDA中看看， 果然有格式化字符串漏洞 仔细看看代码会发现, 这个是个死循环, 1 里面有栈溢出, 2里面有
64位的elf文件 canary保护和NX保护 主程序简单的栈溢出： .text:0000000000400814 push rbp .text:0000000000400815 mov rbp, rsp .text:0000000000400818 sub rsp, 250h .text:000000000040081F mov
x64和x86在格式化字符串传参上稍有不同，原因在于x64会把printf函数中的参数先传到6个寄存器中。下面以一道例题说明。 链接：https://pan.baidu.com/s/1fgg6HRr__08fW1P0HgmaKA 提取码：1111 二进制文件拖入IDA并F5 代码吧啦吧啦一大堆，实际上就是让你猜一个flag和真正的flag比对，
[Jarvis OJ - PWN]——Smashes 题目地址: https://www.jarvisoj.com/challenges题目: 还是先checksec一下看看。64位,并且除了PIE,其他保护基本都开启了。 在IDA中看看 发现有可以利用的栈溢出, 我原本的想法是将canary给泄露出来。但是看到触发了canary保护后的结果,
最简单的栈溢出 ida查看main函数的C代码，发现如果if为真我们就能得到flag: 我们可利用的&unk_601068离dword_60106C四个字节的距离编写exp 最后得到flag
[BUUCTF-pwn]——[HarekazeCTF2019]baby_rop 题目地址:https://buuoj.cn/challenges#[HarekazeCTF2019]baby_rop 先checksec一下,64位,开启NX保护 在IDA中看看,发现了system函数 和 "/bin/sh"字符串 ,找到地址 因为是64位参数是储存在寄存器中,binsh字符串应该放在 rdi
41 [ZJCTF 2019]EasyHeap 保护 菜单堆题。 create 就是平平无奇的申请然后写入东西，地址在bss上面。 没有溢出。 edit这输入要写多少写就行，这就有了堆溢出了。 del 这个函数没啥问题，释放空间后野指针也清掉了。 但是吧，又发现了个这玩意。 那个133t是个后门函数。 所以问题就是
第二章主要以8086CPU的寄存器为例子进行介绍。 一. 16位寄存器(如AX)可分为两个独立的寄存器AH(存放高8位)和AL(存放低8位)，对其中一个寄存器进行操作时要将其单独看待，比如AL溢出不会溢出到AH上。16位寄存器与8位寄存器之间不能进行数据传送和运算CPU通过地址总线送入存储器的
[BUUCTF-pwn]——jarvisoj_level2 题目地址:https://buuoj.cn/challenges#jarvisoj_level2 checksec 一下下, 32程序 IDA中看下,发现了system函数还是两个,有可利用的栈溢出read函数,shift+F12,还发现了"/bin/sh"字符串. 所以exploit就如下 exploit from pwn import *
让你IDA Pro 快速上手使用 写这篇博文主要是在打pwn的时候,有时候在IDA中想要寻找信息，自己不会IDA Pro的使用。只能一个一个查找太费时间和人力,寻找相关书籍和博客做了一些适合新手的笔记。如有补充欢迎评论 (ps:主要针对打pwn的时候的一些操作) F5 作用: 反汇编 Ctrl + F
首先准备工作： 工具：pwntools (我是用python3安装成功的python2我怎么安装都安装不成功但是python3语法和python2有些区别所以使用起来有些区别） gdb-pada（这个安装是最简单的 ） checksrc（也简单） IDA（找好用的资源有点难）
[Jarvis OJ - PWN]——[XMAN]level0 题目地址：https://www.jarvisoj.com/challenges题目： checksec看看，64位，开启了NX保护 IDA,发现了我们的system函数，里面的参数也是我们想要的 找到callsystem函数的地址 0x400596 ，或者 system函数开始压参的地址0x40059A都可以作为返回地
偶然得到这个平台，发现是BIT的CTF平台，应该是平时的阶段性的训练题目。看了看题，其他方向的题目感觉都是入门题，但是pwn题目，发现还是比入门题难一点点的，来记录一下。 pwn1 栈上任意位置的读写操作，只能一字节一字节读写，算好偏移，还是挺好做的。 比较坑的是，远程的libc被改了
1.首先下载Ubuntu 16.0.4 ，推荐使用网易镜像站。 ubuntu16.0.4下载地址 2.使用虚拟机安装Ubuntu，博主在Mac平台上使用的是Parallels Desktop，只需要将iso镜像放到软件里面，然后设置账号密码，即可自动安装，安装大概10分钟。 3.更换为国内的镜像源，并且更新镜像源。 安装vim编辑器（注：u
big_family 看了别人很久的wp，有两种方：一种是fsop、另一种是直接将top chunk给分配到malloc_hook上 top chunk给分配到malloc_hook思路 首先分配若干个fast bin，在释放，由于堆的机制，当申请了一个属于small bin大小时，就会造成fastbin的合并 合并后就已经可以leak libc了，在由于释放的
ret2libc 原理：ret2libc即控制函数执行libc中的函数，通常返回至某个函数的plt处或者函数的具体位置（即函数对应的got表项的内容）。一般情况下，我们会选择执行system("/bin/sh"),故而此时我们需要知道system函数的地址。 ret2libc1 [*] '/root/\xe6\x96\x87\xe6\xa1\xa3/ret2libc/ret2li
没记错的话，比赛那天正好是圣诞节，就只看了这一道pwn题，我还没做出来。我太菜了。 有一说一，ida换成7.5版本之后，一些去掉符号表的函数也能被识别出来了，ida更好用了呢。 题目程序分为两块，先看第一块，登陆。 先输入一个username，再输入一个passcode，程序会判断passcode和
此学习笔记主要基于CTF WIKI 中的Basic rop部分。附攻防世界cgpwn2的WP 网址为：https://wiki.x10sec.org/pwn/linux/stackoverflow/basic-rop/ -------------------------------------------------------------------- 首先翻译了一下文章的开头，内容为： 打开NX保护后，很难继
[V&N2020 公开赛]simpleHeap 附件 步骤： 例行检查，64位，保护全开 根据题目可知是一道堆，直接用64位ida打开 我修改了这些函数的名称，这样方便看程序add，我们可以申请一个0~111大小的堆块，note_list里存放的是chunk的指针，size_list里存放的是chunk的size edit edit_1，可以看到当i在
题目链接：https://dn.jarvisoj.com/challengefiles/level1.80eacdcd51aca92af7749d96efad7fb5 nc pwn2.jarvisoj.com 9877 0x01Linux中分析题目 首先使用file命令,文件为32位 再运行一下文件，提示输入，然后输出hello world 若出现权限不够则使用 chmod 777 文件名 ，打开文
file结果如下： 32位ELF文件 checksec结果如下： ida反汇编，main函数如下： 查看hello函数： name位于bss段，位置已知 s存在栈溢出漏洞 发现存在pwn函数，内容如下： 存在后门函数 所以我们可以在name里输入"/bin/sh"，然后调用system函数传入参数name即可 NOTE：32位
