ret2gets
前言今天刚好看到litctf2025的一道pwn题，是一种我没有见过的方法，后面查了一下是叫做ret2gets,然后就浅浅的学了学。ret2gets适用于没有pop_rdi这一类控制rdi时使用的方法 源码123456789101112#include <stdio.h>#include <stdlib.h>int main() { puts("ret2gets&ret2system"); char buffer[0x20]; gets(buffer); return 0;}void backdoor() { system("echo hi"); }//执行gcc -o ret2system ret2system.c -fno-stack-protector -z execstack -no-pie -fno-pic生成文件 ret2systemexp 12345678910111213from pwn import *c...
DLink路由器RCE漏洞 CVE-2019-17621
描述 D-Link DIR-859 Wi-Fi 路由器 1.05 和 1.06B01 Beta01 中的 UPnP 端点 URL /gena.cgi 允许未经认证的远程攻击者以 root 身份执行系统命令，通过在连接本地网络时向 UPnP 服务发送专门设计的 HTTP SUBSCRIBE 请求。 通过ubuntu18版本复现 漏洞分析先手操作前面就不多说了，拿到zip文件解压一下然后binwalk -eM就拿到了文件 看一下保护，mips-32位架构 1234567891011 checksec cgibin[!] Could not populate PLT: future feature annotations is not defined (unicorn.py, line 5)[*] '/home/yy/桌面/_DIR822A1_FW103WWb03.bin.extracted/squashfs-root/htdocs/cgibin' Arch: mips-32-big RELRO: No RELRO ...
前端开发
前言这篇文章主要是关于前端开发的，包括html，css，javascript,bootstrap,jQuery,Dom HTML一.先开发一个小网页1234567from flask import Flaskapp=Flask(__name__)@app.route("/show/bin")def hello(): return "helloworld!!!"if __name__=='__main__': app.run() 12<h1>a</h1> -->加大加粗<span style="color:red;">a</span> -->变为红色 但是，当我们遇到大型html也这样打吗，只是后就用到了render_template 123456789from flask import Flask,render_templateapp=Flask(__name__)@app.route('/show/sh')def ...
三大架构比较
1.函数调用机制关键寄存器比较： x86-64 mips32 arm32 传参寄存器 rdi，rsi，rdx，rcx、r8、r9 $a0 到 $a3 r0 到 r3 栈顶栈底 rbp,rsp $fp,$sp r7,sp 保存返回地址 无，保存在栈上 $ra lr(r14) 指令指针 rip $pc pc(r15) 跳转函数指令比较： x86-64 mips32 arm32 跳转指令 call fun; jal fun; bl fun; 特点 将下一条指令的地址压入栈中 将下一条指令的地址存入ra 将下一条指令的地址存入lr 但是，由于mips分支延迟效应，遇到jl,jalr，程序会优先执行后面代码再执行跳转指令：会先执行addiu，再执行jr跳转 12jr $raaddiu $sp, 0xE8 函数内部指令比较：x86-64： fun: push rbp ; 保存旧的基址指针 mov rbp, rsp ; 设置新的基址指针 sub rsp, 16 ...
nss做题记录
[LitCTF 2024]ATM12345678910111213141516❯ checksec flag[*] '/home/voyager/flag' Arch: amd64-64-little RELRO: Full RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x400000) SHSTK: Enabled IBT: Enabled Stripped: No~ via C v11.4.0-gcc via 🐍 v3.10.12 ❯ 12345678910111213141516171819202122232425262728from pwn import*from LibcSearcher import*r=remote("node4.anna.nssctf.cn",22296)#r=process("./fla...
reverse基础
算法逆向Base64简单说，就是将3个8位的字节重新划分为4个6位字节，然后在每个字节的前面补2位0，然后算出其十进制数并将其与下面字符对应，例：其中一个四位为101010，则变为00101010（42），对应q 123456789101112131415161718编号字符 编号字符编号 字符 编号字符0 A 16 Q 32 g 48 w1 B 17 R 33 h 49 x2 C 18 S 34 i 50 y3 D 19 T 35 j 51 z4 E 20 U 36 k 52 05 F 21 V 37 l 53 16 G 22 W 38 m 54 27 H 23 X 39 n 55 38 I 24 Y 40 o 56 49 J 25 Z 41 p 57 510 K 26 a 42 q 58 611 L 27 b 43 r 59 712 M 28 c 44 s 60 813 N 29 d 45 t 61 914 O 30 e 46 u 62 +15 P 31 f 47 v 63 / 注：索引表不是唯一的 Tea关键就是获取magic并将其赋值给delta 12345678910...
heap spray
概念堆喷射指的是通过分配大量相同的结构体来达成某种特定的内存布局 RWCTF2023 体验赛 - Digging into kernel 31.查看启动脚本很明显，开启了smep,smap,kaslr,kpti 1234567891011121314#!/bin/shqemu-system-x86_64 \ -m 128M \ -nographic \ -kernel ./bzImage \ -initrd ./rootfs.img \ -enable-kvm \ -cpu kvm64,+smap,+smep \ -monitor /dev/null \ -append 'console=ttyS0 kaslr kpti=1 quiet oops=panic panic=1 init=/init' \ -no-reboot \ -snapshot \ -s 加载进入内核模式，ls一下，发现有个rwctf.ko，漏洞模块找到了 2.IDA分析就只有这一个函数 123456789101112131...
kernel-UAF
CISCN2017-babydriver1.文件分析先仿真运行一下会发现给的boot.sh有问题，没有装载klm模块好像好像 没开kaslr 1234567891011#!/bin/bashqemu-system-x86_64 \ -initrd rootfs.cpio \ -kernel bzImage \ -append 'console=ttyS0 root=/dev/ram oops=panic panic=1' \ -monitor /dev/null \ -m 64M \ --nographic \ -smp cores=1,threads=1 \ -cpu qemu64 开启smep，漏洞模块是babydriver.ko，然后就是root才可读取flag 1234567891011121314151617mount -t proc none /procmount -t sysfs none /sysmount -t devtmpfs devtmpfs /devchown root:root flagchmod 400 flage...
kernel heap
内核堆概述前述linux kernel对堆的内存管理器有两种，buddy system和slab allocater,前者以内存页为操作单位，后者则是将内存页划分为多个较小的对象进行粒度颗粒管理 linux kernel将内存分为页-区-节点三级结构，下面是一张十分经典的 Overview ，自顶向下是 节点（node，对应结构体 pgdata_list） 区（zone，对应结构体 zone，图上展示了三种类型的 zone） 页（page，对应结构体 page） 页 区将节点的不同用途的内存区域划分为不同的zone 节点 一个MC对应一个节点；对于同一个内存控制器下的CPU而言其对应的节点称为本地内存 Buddy system以内存页为粒度管理所有的物理内存，其存在于区这一级别 每个 zone 结构体中都有一个 free_area 结构体数组，用以存储 buddy system 按照 order 管理的页面: 1234struct zone { //... struct free_area free_area[MAX_ORDER...
kaslr爆破
TCTF2021-FINAL难度因该是目前做的最简单的，主要是理解下kernel的kaslr爆破和远程exp如何编写。 题目分析发现开启了kpti 12/start.shcat /sys/devices/system/cpu/vulnerabilities/* 再看下start.sh,开启了SMAP,SMEP,KASLR,但是-drive file=flag.txt,format=raw \ 将flag.txt文件作为原始磁盘镜像，在/dev/sda中,cat /dev/sda，正常情况下flag.txt是全新先设为600（root可读），然后cat /root/flag.txt 12345678910111213stty intr ^]cd `dirname $0`timeout --foreground 300 qemu-system-x86_64 \ -m 256M \ -enable-kvm \ -cpu host,+smep,+smap \ -kernel bzImage \ ...