最近在看《CTF权威指南-pwn篇》，有时候一个题目觉得看懂了exp和知识点，实际上感受不深可能过几天全忘了。所以我选择做真题加深知识的理解。这里，使用攻防世界的所有pwn新手题来温习一些基本的利用方式。

p.s. 攻防世界创建在线场景一直失败，真是醉了

主要逻辑如下：

典型的ret2win，变量位于.bss段：

直接溢出获取flag：

因为是使用小端序比较数据，所以需要反转下字符串。第一题简单是预想之内的情况，不知道接下来是什么难度。

简单栈溢出，主要流程如下：

这里直接ret2到具体调用system的地方：

脚本：

题目提示rop，然而我直接ret2libc：

脚本如下：

看了下其他人写的wp，似乎rop提示对应的是x64版本的程序，因为x64环境下的传参方式从栈传递变成了寄存器rdi,rsi,rcx,rdx,r8,r9传参，所以调用system时需要特殊gadget(pop rdi)将字符串/bin/sh赋给rdi的形式构造参数。

程序流程比较长，这里笔者长话短说简单阐述下程序情况；首先有个alarm会结束程序运行，使用sed -i s/alarm/isnan/g ./1d3c852354df4609bf8e56fe8e9df316将其直接替换掉1。
安全机制如下：

嗯保护很全，程序最后mmap了一段内存让我们输入然后跳过去执行：

需要使用它的格式化字符串漏洞将堆上的首个数据设置成0x55:

在调试中调用printf时栈情况如下：

栈中第二个参数为之前输入的地址数据，那么在x64环境中使用"%7$n"去定位Heap[0]，py如下：

这题很简单：

程序从/dev/urandom2中取出随机数作为种子，生成十个随机数让我们猜测，猜对十个随机数即可获胜。这里有一个知识点是当seed固定时，之后生成的随机数都是一样的：

可以观察下面的输出：

从而我们可以利用程序的缓冲区溢出覆盖掉seed的值：

脚本如下：

效果：

题目关键点如下：

有个巨大问题是居然使用al赋给变量值：

所以这可以利用整数溢出的方式，构造261个长度的密码并调试到这一行指令：

构造py：

效果：

程序关键点如下：

gets存在栈溢出危险，我们直接ret到pwn函数中的call system，借用name作为参数'/bin/sh'，编写py：

额和名字一样运行就拿shell了：

这题目《ctf竞赛权威指南》上有很相似的例子（page 80），总之就是泄露libc的地址，然后再调用system：

这里参考了大佬的博文更换程序libc3，但运行时还是会报错，索性直接把libc换了然后动态加载器执行：

然后用我的exp就成功执行了，反正可以模拟远程连接的环境也就行了：

一个典型的字符串格式化漏洞，需要我们修改某个变量的值：

gdb调试：

在第十个位置上存放我们的字符串，据此编写exp：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)