真是好久没打ctf了，趁这个机会学习一下
Tag: pwn
2020上海市大学生网安赛PWN复盘
记一次格式化字符串限制n、p情况下的leak思路
歪打正着做出来了，记录一下
是个AWD的题目，heap部分逻辑有点复杂，这篇文章主要记录格式化字符串，所以其他的暂时不看了。
2020指挥官杯练习赛部分Writeup
虽然最近事情有点多，但还是手痒打了打这个练习赛
Round 1
Red-web8
反序列化，过滤了一些管道符，__toString()魔术方法不用多说了，字符串操作会自动调用。
Continue reading 2020指挥官杯练习赛部分WriteupProtected: 实验室19级8月底测试WEB&&PWN
Windows PWN StackOverFlow[2]
这篇是上篇Windows PWN StackOverflow[1]的续篇，我们通过上篇已经大概了解Windows下的栈溢出是怎么回事儿，这篇来结合CTF探究一下利用方式
本篇以HITB GSEC BABYSTACK为例来进行分析
CVE-2017-7494 SAMBA RCE漏洞分析
一直想尝试一下实战分析，因为对Windows下的二进制不够了解，所以还是先从Linux开始，慢慢再去了解Windows下的利用
0x01 漏洞概述
Samba服务器软件存在远程执行代码漏洞。攻击者可以利用客户端将指定库文件上传到具有可写权限的共享目录，会导致服务器加载并执行指定的库文件从而导致代码执行。该漏洞还被称为Linux下的永恒之蓝)
Samba是在Linux和UNIX系统上实现SMB协议的一个免费软件，由服务器及客户端程序构成。
影响范围: – 3.5.0- 4.6.4 – 3.5.0- 4.5.10 – 3.5.0- 4.4.14
0x02 漏洞分析
本文以samba-4.5.9代码为例进行简单分析
这是官方的patch，对”/”进行了匹配，那么之前应该没有匹配而出现问题。
Continue reading CVE-2017-7494 SAMBA RCE漏洞分析PIE保护绕过的两种解决方案
绕过PIE保护一般都是取leak基址，这里shiroha师傅又分享了一个Binary，以此来探究PIE的两种非常规绕过方法。
Analyse
先分析这个ELF。
[*] '/home/railgun/Desktop/easypwn'
Arch: amd64-64-little
RELRO: Full RELRO
Stack: No canary found
NX: NX enabled
PIE: PIE enabled
关于One_gadget不满足约束玄学Getshell的问题
之前已经详细说过了one_gadget的约束条件以及如何利用realloc来调整栈来满足这些约束。
最近shiroha师傅分享的一个小问题，就是遇到one_gadget不满足约束的情况下仍然可以getshell，先贴出来参考。
按照参考来说的话，第二个one_gadget:
execve(“/bin/sh”, rsp+0x40, environ)
第一个参数为”/bin/sh”、第三个参数为environ环境变量数组是ok的，因此是要满足第二个参数的限制条件即可，也就是argv数组为空，但是根据参考来说，只要末尾为空即可。
Continue reading 关于One_gadget不满足约束玄学Getshell的问题Kernel PWN从入门到入土-Kernel ROP && Bypass Kaslr and Canary
上一篇KERNEL ROP分析了BYPASS SEMP，这篇来说一下Canary和Kaslr
本篇以强网杯 2018 core为例
QEMU Start
还是先分析一下给的东西然后起qemu，解压一下。
可以看到这次给了vmlinux，之前说过了vmlinux是静态编译的kernel文件，包含着符号表，我们可以拿到gadgets。并没有给出.ko，自己提取。
railgun@Kernel:~/qwb-core/core$ sudo mv ../core.cpio ./rootfs.cpio.gz railgun@Kernel:~/qwb-core/core$ gunzip ./rootfs.cpio.gz railgun@Kernel:~/qwb-core/core$ sudo cpio -idmv < rootfs.cpio · · root/flag core.ko tmp init vmlinux 104379 blocksContinue reading Kernel PWN从入门到入土-Kernel ROP && Bypass Kaslr and Canary