monkey

pwn1

x64 elf | full Relro , stack canary , nx
功能分析：
- store | 输入函数，有栈溢出，只可以覆盖到ret地址，且无结尾符,可配合leak
- get | 输出函数，可以输出栈上字符串
利用流程:
- 1. leak canary | 绕过 stack canary
- 1. 覆盖到ebp ， leak main函数的返回地址 , 得到 __libc_start_main + 240 的地址
- 1. 覆盖ret | 因为只能覆盖ret地址，所以需要使用 one gadget (用 __libc_start_main 计算相对偏移得出)

exp

exp

x86 elf | stack canary , nx
功能分析
- 计算器
- 数字的增删改查
漏洞点
- 最开始初始化时未将总数字量限定在 100内，配合 scanf 的 “+”输入，可以leak栈地址
- 修改数字时输入的index未检查，可以越界，造成栈溢出
利用过程
- 坑点 : hackhere 函数远程不成功 , 无/bin/bash
- 思路1 : 利用栈溢出配合scanf ，向可写地址(如 bss 段)输入 /bin/sh\x00 或者 $0\x00 ，然后执行system("/bin/sh\x00")
- 思路2 : 初始化时设置较大的总数字量 , leak栈地址，然后通过编辑函数在栈上输入 shell命令，然后通过栈溢出执行system(command)

exp

exp

x86 elf | nx
功能：
- 1. 输入姓名
- 2. 输入一个字符串（可溢出 , 因为用scanf输入，只可构造一个地址）
- 3. 进行 n 层检测，不通过即调用第 n 个输出函数 (输出函数地址存储在栈上)
漏洞利用 :
- 栈溢出覆盖一个检测函数地址为后门地址
- 触发指定的函数，从而获得flag

exp

exp

本题为 python 沙箱逃逸
，- 关键过滤： '.' , import , flag 和 "eval" , "excute" 等命令执行 , 看题目源码中还过滤了 chr 等字符转换方法
利用到的知识点：
- getattr 可以获得目标对象的指定方法对象，从而绕过 ’.‘号的过滤
  - 举例： os.system("ls") (error) | getattr(os , "system")("ls") (success)
- 通过通配符绕过对flag字符串的过滤 | 此处多种方法
获取flag payload : getattr(os , "system")("cat /home/ctf/????")

有点瓜皮了，一开始莫名其妙钻进了死胡同，以为是 house of orange , 就折腾了几个小时。。。
话说有大佬用 house of orange 的思路做出来的话，想学习一波。。。。
这道题目主要的利用点
- 1. edit 函数的堆溢出
- 1. Print 函数根据 size数组中对应的值输出对应长度的字符串
- 1. New 时读入时读入size长度的内容，不以任何字符为截断符 (可以虽输入不可见字符，或者 \x00 \n , 但是要注意被覆盖的内容的作用)
利用过程
- 1. 利用堆溢出实现 chunk over extend , 从而可以 print 出下一个 chunk的内容
- 1. 通过1 的点配合一个 unsorted bin , 实现 unsorted bin leak , 从而得到 libc 信息
- 1. 通过 1 的点, 修改 freed的 fastbin , 实现 fastbin attack , 从而覆盖 malloc_hook 为 one_gadget , （不覆盖 got 表，因为 Full Relro , 并且开启了 pie , 没有获取到 codebase）
- 1. 调用 new 触发 one_gadget 从而 getshell

exp

这道题目是一个 lua 的pwn ，考察对lua的熟悉程度和理解。。。
连上远程之后， help 输出一段字节码，是 server.luac 的字节码 | 缺少头部一个字节
- tip :
  - 1. luac 文件头 1b 4c 75 61
  - 1. luac 对于文件字节要求严格, 一个字节都不能少。。。
漏洞点:
- 虽然禁止了一部分关键词,但是仍然可以调用内部模块,函数，官方wp 的方法不够彻底，adworld 的 wp 中使用 os.execute 可以执行系统命令(包括 /bin/sh)