浅谈libc地址泄露

2021-10-22

0.前言

这个例题似乎是没法完成最终的getshell的，因为缓冲区离got表太近了，会出问题。

1.思路

当程序开了PIE或者ASLR保护后，函数的地址会被随机化，这时如果要返回到某个函数的话就需要泄露地址。
以开了ASLR的为例，此时系统函数的地址是随机的，但是函数在同一libc中的偏移量是确定的。而我们知道，一个系统函数，如puts函数，在程序中被调用过后，其地址就会存在got表中，此时可以通过泄露其地址，再通过偏移即可泄露libc的基地址。此时如果要调用system或execv函数，则再用libc基地址加上对应的偏移即可。

展开全文 >>

关于“鲲鹏杯”CTF中pwn_1一些问题的探讨

2021-10-20

0.前言

题目：点击下载ELF文件
保护：未开任何保护
其他：32位ELF，编译环境是Uubuntu14

说实话，这道题对pwn新人不算特别友好，主要难点有两个：一是由于汇编码中调用了call eax导致无法直接查看其伪C代码（这个在当时比赛中确实难住了我，因为以我现在的水平直接审计汇编代码属实头疼，但赛后我找到了解决的方法——很简单，因为错误指发生在call eax，那么把这行代码去掉或者替换就行了），解决后查看伪C代码逻辑就简单了；二是这一题虽然是栈的题目，但不涉及溢出，但只要看懂了伪C代码不难想到使用shellcode，但是根据题目我们最多只能输入19字节，而pwntools自带的shellcode远超这个字节数。所以需要准备小于19字节的shellcode。（因此我认为新人包括我在内要去积累一些较短的shellcode以备不时之需。）

展开全文 >>

浅谈简单的栈转移

2021-10-11

0.前言&回顾

简单的栈转移，但是我不清楚为什么给的system我用不了……~~（可能只是因为我菜）~~（据学长说是因为system函数执行时有栈方面的对齐要求，我简单了解了一下似乎是有某字节倍数的要求才能正常调用，具体的我目前也不是很了解，以后补充。），所以我用的还是execv。此题和之前ret2csu的有些类似，只是需要进行栈转移。

我们知道，leave的实质是mov rsp,rbp;pop rbp。而ret的实质是pop rip。

1.栈转移的原因及方法

展开全文 >>

浅谈ret2csu

2021-10-09

0.前言

有一说一，这个rop有一些点困扰了我很久，下面予以说明。

1.总体思路

ret2csu一般是应对程序中存在明显的栈溢出漏洞，但在程序中找不到system()函数，但可看到其存在read()、write()、和 __libc_csu_init() 函数的情况。
利用程序中的一些gadget来实现获取shell。
rop链的构造一般为：pop n ret+n个寄存器的值+mov call。（这边的call要注意，待会讲）

2.例子

展开全文 >>

攻防世界中hello_pwn的解法

2021-10-03

0.说在前面

先声明一下，这题我之前是看wp解出的，但是当时不理解。现在学了一些栈溢出，再反过来看这道题时发现还是挺简单的。下面我把思路以及解法说一下。

1.解法（自己理解后写的，可能和wp有些不一样）

由于我之前解过这道题，所以无法再获取在线环境。因此这里我在本地进行模拟。我创建了一个flag.txt的文件，内容是“You got the flag!”来模拟取得了flag。
下面正式开始。

展开全文 >>

Linux延迟绑定与安全防护机制

2021-09-29

0.elf文件格式

0-1.概述

ELF（Executable and Linkable Format）文件是Linux环境中的一种二进制可执行文件。
elf的基本信息存在于elf的头部信息中，这些信息包括指令的运行框架、程序入口等，可以通过 readelf -h <elf_name> 来查看头部信息。
elf文件中包含许多节（section），各个节中存放不同的数据，这些节的信息存放在节头表中，可用 readelf -S <file> 查看，主要包括：

0-2.elf文件被加载到内存中的布局

展开全文 >>

C语言指针学习 part.2

2021-09-27

4.指针与一维数组

我们知道一个数组的元素在内存中是连续存放的，数组第一个元素的地址称为数组的首地址。在C语言中，数组名就是该数组的首地址。

1	int a[4869],*p;

以上面的为例，语句“ p=a; ”和语句“ p=&a[0]; ”是等价的，都表示指针变量p指向数组a的首地址。数组首地址的值在C语言中是一个地址常量，无法改变。因此，语句“ a=p; ”或者语句“ a++; ”都是非法的。
如果数组的首地址是a，且指针变量p指向该数组的首地址，即“ p=a; ”，则C语言中还规定数组的第i个元素a[i]的地址是a+i，其等价于p+i。如：

展开全文 >>

函数的调用与约定

2021-09-25

0.计算机内部的数据存储形式

计算机内部有两种数据存储形式：大端序、小端序。对于大端序而言，数据高位存储在计算机地址的低位，数据低位存储在地址的高位。而小端序正好相反，即数据高位存储在计算机地址的高位，数据低位存储在地址的低位。
可以简记成大端序高低低高，小端序高高低低。

展开全文 >>

汇编语言学习

2021-09-24

0.引入知识

一些量词如下：

名称	中文名	大小
bit	比特	1位（1b）
byte	字节	8位（1B）
word	字	16位
dword	双字	32位
qword	四字	64位

当前主流计算机的最小寻址单位是B（字节）而非b（比特）。

1.汇编语言的诞生

展开全文 >>

Linux环境下代码的书写及运行

2021-09-22

1.测试环境

声明：本次测试都是在我的笔记本（IdeaPad 15sITL 2021）上进行的，不同的设备结果可能会有所差距。~~一般不会。~~

VMware 16 Pro（如果Win10的电脑启动虚拟机会强制重启建议升级为最新版）
Ubuntu 16.04（用的是学长给的已经搭好的虚拟机，自己装20.04时不知道为什么总说我硬件有问题……）
2.关于C/C++的

展开全文 >>

0.前言

1.思路

0.前言

0.前言&回顾

1.栈转移的原因及方法

0.前言

1.总体思路

2.例子

0.说在前面

1.解法（自己理解后写的，可能和wp有些不一样）

0.elf文件格式

0-1.概述

0-2.elf文件被加载到内存中的布局

4.指针与一维数组

0.计算机内部的数据存储形式

0.引入知识

1.汇编语言的诞生

1.测试环境

2.关于C/C++的