首页
课程
问答
CTF
社区
招聘
峰会
发现
排行榜
知识库
工具下载
看雪20年
看雪商城
证书查询
登录
注册
首页
社区
课程
招聘
发现
问答
CTF
排行榜
知识库
工具下载
峰会
看雪商城
证书查询
社区
IoT安全
发新帖
0
10
[原创]DVRF下Mips堆栈溢出ROP举一反三
发表于: 2026-2-28 23:15
4604
[原创]DVRF下Mips堆栈溢出ROP举一反三
mb_cekhmgjj
2026-2-28 23:15
4604
**MIPS 堆栈原理** 栈是一种具有先进后出队列性质的数据结构。调用栈（Call Stack）是指存放某个程序正在运行的函数的信息的栈。调用栈由栈帧(Stack Frame)组成，每个栈帧对应一个未完成运行的函数。 # 这里主要介绍 物联网设备中常见的指令架构MIPS32 ，这个架构中的函数有两种，叶子函数和非叶子函数，判断叶子函数的方式只需要判断函数内是否调用其他函数，有调用则是非叶子函数，没有调用则是叶子函数. **非叶子函数调用过程** 程序在跳转到非叶子函数以后，则非叶子函数会把调用它的函数的返回地址(也就是$RA寄存器)存入堆栈中，再将自己函数返回地址存入到$RA，在函数返回时，非叶子函数会将栈中先前保存的返回地址取出保存到$RA中，再执行 “jr $ra”返回原函数。 **叶子函数调用过程** 程序在跳转到叶子函数中，过程比较简单，叶子函数不会改变寄存器$RA的值，因为函数跳转到它，就不会再有跳转了，因此在函数返回时，直接 “jr $ra”返回原函数。 简单来说，*区分“叶子函数”和“非叶子函数”*的关键在于：这个函数是否会调用其他函数。这一点直接决定了它们对待堆栈和返回地址寄存器（$ra）的态度。 **函数调用参数传递** 在MIPS 体系的函数调用过程中，通过*$a0~ $a3 *传递前四个参数，多余的通过栈传递。 栈空间缓冲区溢出 栈空间缓冲区是用于内存中存储数据的内存区域。缓冲区溢出就是大缓冲区数据向小缓冲区复制的过程中，由于没有检查小缓冲区的边界不严格，导致小缓冲区明显不足以接收整个大缓冲区的数据，超出的部分覆盖了与小缓冲区相邻的内存区中的其他数据而引发的内存问题。成功利用缓冲区溢出可能造成严重的后果，*基本上可分为3 种情况，分别是拒绝服务、获得用户权限、获得系统权限。* **以下是详细的原理和流程解析：** 在 MIPS 中，堆栈用于存储函数调用过程中的临时数据、局部变量以及需要保存的寄存器值（如 $ra, $s0-$s7）。 生长方向：向下生长（从高地址向低地址）。 入栈 (Push)：先减小栈指针 $sp (sub $sp, ...)，再存入数据 (sw)。 出栈 (Pop)：先读取数据 (lw)，再增加栈指针 $sp (add $sp, ...)。 核心寄存器： $sp (Stack Pointer, r29)：始终指向栈顶。 $ra (Return Address, r31)：存储函数返回的地址（即调用该函数指令的下一条指令地址）。 **叶子函数 (Leaf Function)** 定义：一个函数内部不再调用任何其他函数。它是调用链的末端。 特点: $ra 很安全：因为它不调用别的函数，就没有指令会覆盖 $ra 寄存器的值。 效率高：通常不需要把 $ra 压入堆栈（除非寄存器不够用，需要借用栈空间）。 2. 调用流程 由于不需要保护 $ra，叶子函数的流程非常简单： 调用者 (Caller)： 准备参数 ($a0-$a3)。 执行 jal LeafFunc（jal 会自动把返回地址写入 $ra）。 被调用者 (Callee - LeafFunc)： Prologue (序言)：如果有局部变量，只需移动 $sp 开辟空间。不需要保存 $ra。 Body (主体)：执行计算。尽量只使用临时寄存器 ($t0-$t9)，这样就不用保存/恢复 $s 寄存器。 Epilogue (结语)：如果动了 $sp，将其加回去。 返回：直接执行 jr $ra。 **非叶子函数 (Non-Leaf Function)** 定义：一个函数内部调用了其他函数（包括递归调用自己）。它是调用链中间的节点。 1. 特点 $ra 极度危险：因为你要在函数里执行 jal SubFunc。jal 指令会无情地修改 $ra 的值。如果你不提前把旧的 $ra 存到栈里，当 SubFunc 返回后，你自己的 $ra 就丢了，你永远回不到调用你的地方了（死循环或崩溃）。 必须压栈：必须在函数开头把 $ra 保存到堆栈中。 2. 调用流程 这是标准的 MIPS 栈帧建立与销毁过程： 调用者 (Caller)： jal NonLeafFunc。 被调用者 (Callee - NonLeafFunc)： Prologue (序言 - 必须做)： addi $sp, $sp, -FrameSize：开辟栈帧。 sw $ra, offset($sp)：关键！保存自己的返回地址。 sw $sX, offset($sp)：如果有用到 $s 寄存器，也必须保存。 Body (主体)： 准备参数 $a0-$a3。 jal SubFunc：此时 $ra 被修改为 SubFunc 返回后的地址。 SubFunc 返回后，继续执行剩余代码。 Epilogue (结语 - 必须做)： lw $ra, offset($sp)：关键！从栈里找回最初的返回地址。 lw $sX, offset($sp)：恢复 $s 寄存器。 addi $sp, $sp, FrameSize：销毁栈帧。 返回：执行 jr $ra（此时 $ra 已经是恢复后的正确值）。 总结对比 特性 叶子函数 (Leaf) 非叶子函数 (Non-Leaf) 定义 不调用其他函数 调用了其他函数 **$ra 寄存器** 值保持不变，安全 值会被 jal 覆盖，危险 堆栈操作 可选 (若无局部变量可不用) 必须 (至少要保存 $ra ) 我们在学习IOT的时候，很多时候都是通过DVRF(<mark class="encrypted">366K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3q4W2N6r3!0J5K9h3q4F1i4K6u0V1K9h3&6U0i4K6u0r3c8q4k6d9c8W2)9J5c8W2)9J5z5g2!0q4z5q4!0n7c8W2)9&6z5g2!0q4y4q4!0n7z5q4!0m8b7g2!0q4y4#2)9^5c8g2!0m8c8W2!0q4y4g2!0m8x3W2)9^5x3#2!0q4z5q4!0n7c8W2)9&6b7W2!0q4z5q4!0m8x3g2)9^5b7#2!0q4y4g2!0m8c8q4!0m8y4W2!0q4y4q4!0n7z5g2!0m8x3q4!0q4y4#2)9&6b7g2)9^5y4q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4q4!0n7b7W2)9^5b7g2!0q4y4g2!0m8y4q4!0m8z5g2!0q4y4W2)9^5z5q4)9&6x3g2!0q4y4q4!0n7b7W2!0m8b7#2!0q4y4W2)9&6c8q4!0m8y4g2!0q4y4q4!0n7z5q4!0n7c8g2!0q4y4q4!0n7z5q4)9^5x3q4!0q4y4g2)9^5c8W2)9^5c8q4!0q4y4q4!0n7z5q4)9^5z5g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4g2!0m8c8q4!0m8y4W2!0q4y4q4!0n7z5g2!0m8x3q4!0q4z5g2)9^5x3q4)9^5c8V1W2a6g2q4!0q4y4W2!0n7b7#2)9^5c8W2!0q4y4W2!0n7y4q4)9&6c8g2!0q4y4g2)9^5z5q4!0m8z5g2!0q4y4#2)9&6y4q4!0m8z5q4!0q4z5q4)9^5b7g2!0n7x3g2!0q4y4g2!0n7b7#2)9^5c8W2!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4W2)9^5z5q4)9&6x3g2!0q4y4#2)9&6b7#2)9^5b7W2!0q4y4g2)9^5y4g2!0n7y4W2!0q4y4q4!0n7b7W2)9&6y4W2!0q4y4q4!0n7c8q4!0n7c8W2!0q4y4#2)9&6y4q4!0m8z5q4!0q4z5g2)9^5x3#2!0n7c8q4!0q4y4g2)9&6y4W2)9&6b7#2!0q4y4W2!0m8b7#2!0m8x3W2!0q4y4#2)9&6y4q4!0m8z5p5W2p5b7b7`.`.</mark> pro，这次我全程使用attifyos系统内置的gdb+pwndbg插件来调试。 **第一步github克隆回来**  我们开始来提取固件信息前，先用binwalk看一下熵值，看看是否加密过。  确认后应该是没加密，我们就继续提取固件进行分析了。    通过提取的固件信息，我们可以确定文件系统是squashfs，内核信息为2.6.22等信息，而且是小端序，起始小端序和大端序也很好理解，例如0xaabbccdd的一个物理地址，小端序的写法是倒过来，就是高地址在前，低地址在后，就是0xddccbbaa，大端序就是原来的样子了0xaabbccdd。提取出来后，我们看看文件目录和内容是否完整。  确认确实完整提取了，然后再进行漏洞挖掘前，我们先用checksec看一下执行文件的防护情况，没想到确实啥也没有，很合适我们新手的打靶。  所有防护关闭，确实是专为新人设计的靶场，这些防护都是干什么用的？我在下面给总结了以下。 RELRO：这个是重定位表只读，因为我们编译的时候，默认是动态链接库的方式，主要是用于编译的时候使用了动态链接库，保护动态连接的重定位表GOT，防止地址被篡改导致恶意利用地址重定向到恶意函数去。（系统默认是开启Partical RELRO） Canary：这个中文叫金丝雀，其实就是一串随机值，并把这个随机值随机插入到栈帧返回地址前面的地址，在函数返回前对这个值进行检查，如果被改就报异常，中断返回，否则正常运行。 NX：堆栈内存也标识为不可执行，这个就是防止数据区执行代码，用来防shellcode的。 PIE：位置无关，对程序代码和数据进行地址空间随机化，将程序编译成共享lib库那样，每次记载的基地址都会改变，让攻击者无法知道基地址，无法去推算函数地址和构造利用程序。 Stripped：符号剥离，就是移除开发者自定义的函和变量的名称，增加攻击者对二进制文件进行逆向的成本和分析难度。 **stack_bof_01.c漏洞代码代码如下：**  strcpy(buf,argv[1]);//这里这里存在明显溢出漏洞，通过argv把值传进来，然后通过strcpy把argv[1]的值复制进去buf[200]的内存空间，这里没有对argv[1]的长度进行检查，所以我们输入的字符超过200就会覆盖栈帧上的数据。 我先运行一下看看是否可以运行起来。  确定程序是可以运行起来，我们现在开始进行黑盒测试通过填充字符的方式来测量实际的填充空间，其实看其他师傅说的通过逆向代码中栈帧$ra在内存的地址也是可以算出来的，但是没有这个快，我们使用cyclic这个工具来生成特定字符填充，填了300个字符后产生了溢出，后面就是上我们的大杀器gdb来调试以下具体的长度。     因为没有防护，符号未剥离，而且已经加载成功，这将有利于逆向的时候更快理解代码的逻辑，寄存器和符号表等都加载正常，我们现在开始普及以下mips架构的一些指令和寄存器的一些知识，完全不学一点确实很难入门的，只要你有一点点渗透知识或者开发或者代码审计的知识，小白也可以轻松学会。       我们在堆栈溢出方面利用的时候，特别是ROP学习的时候，对mips这种精简指令集需要有所了解，mips指令架构（这里未明确一般值mips32）有几个特点， 指令长度固定，通常指令长度为32位。 mips的函数参数小于4个的时候是通过a0\a1\a2\a3寄存器来实现，当函数的参数超过了4个参数时就会把后面的参数写入到堆栈里，通过堆栈传递，并根据FILO先进后出的方式写入栈中。 mips架构没有像x86那种栈底rbp栈顶rsp，所有的栈移动都是通过sp寄存器来实现。并严格限制只能通过sw和lw进行把栈寄存器值写入内存和在内存中把数据读取到寄存器。 Mips溢出漏洞利用我们只需要熟悉这几个寄存器和指令即可： $a0 $a1 $a2 $a3主要用于保存函数1-4的参数。 $sp:堆栈寄存器，用于栈的开辟和回收，计算偏移的时候很重要。 $fp s8:栈帧寄存器，主要作用是指向当前栈帧的底部，函数刚进入时的栈位置，并提供稳定的局部变量的访问基址，局部变量通过$sp在栈帧中移动来对局部变量进行寻址等，另外一个作用就是用于存储临时数据。 $ra: 返回地址寄存器，专门用来存放函数执行完后应该调回哪里的地址，当在函数中调用了其他函数（非叶子函数），会把当前函数写入堆栈，并把跳转函数写入$pc，把$pc+4的值写入$ra，也就是非叶子函数。 $pc程序计数器寄存器，始终指向当前 CPU 正在取出的那条指令，告诉CPU下一条要执行的指令，和x86的EIP和x64的RIP都是一样的作用，控制了$PC就是控制执行系一条执行的地址，这个是mips最核心的寄存器。 $t9 主要作用是用于函数调用入口，函数调用的入口地址的指针，指向函数的入口位置，在调用一个可能处于动态库中的函数之前，调用者必须将该函数的入口地址存入 $t9，函数内部的代码通常会利用 $t9 的值来计算自己的 GP (Global Pointer)，从而找到自己的全局变量，如果不指定$t9寄存器，计算跳转了，由于gp寄存器无法通过GOT表找到全局变量和外部函数，导致无法计算出来函数的真实地址而报错。 延迟槽，就是在jr jalr j jal beq bne bgez bltz等指令后面跟的指令，在跳转的时候会先被执行， 这个也是mips这种流水线作业的一个重要特征，在构造ROP的时候需要考虑到。 **举例常用指令的含义：** lw $a0, 0x28($sp) 加载字，把$sp偏移0x28的值加载到$a0寄存器中。 La $t9,0($sp) 加载地址栈顶的值到$t9。 Sw $s0,0($sp) 把$s0的值存入栈顶。 Addiu $sp,$sp,0x20 把sp栈顶开辟0x20空间 move $t9, $s2 把$s2寄存器的值复制到$t9寄存器 如下图所示，我们可以看到很多寄存器已经被我们的参数字符所覆盖了，这就说明产生了溢出漏洞，$pc和$ra都已经被覆盖掉了。关于gdb的命令，请自行补上。 **常用利用的套路：** 通过溢出计算出填充的字符大小。 2、覆盖$ra返回地址指向自己构造的ROP或者shellcode。  我们用cyclic -l $ra可以测量出需要204个字符即可以覆盖到$ra，这里是不包括$ra，我们在204后面加上rop地址即可。  下面我们讨论如何利用的问题，这个应该也是大家所关心的，其实我也就会常用的两种getshell方法ROP和shellcode。还有其他方法的不吝赐教。我们在代码里看到已经给我们留了一个dat_shell后门，所以，我们直接把代码贴上来。  我们在gdb里看一下dat_shell的内存地址，发现有几个地址，到底哪个才是真实的地址？  为什么有那么多个地址？我们查看以下这两个地址的汇编指令即可知道。  这样看应该很直观的知道真实地址是0x400950了，上面的为什么那么多乱码？我想应该是由于反汇编器此时没对齐的原因，如大小端错位或plt条目之间混合了其他零碎的数据，指令集混合了其他指令集，导致解释异常。 现在我直接把$ra返回地址改成dat_shell的地址是否可以行？我们可以先试试。  并没有直接执行dat_shell，而是导致了段错误。警报的意思是由于没发现0x400970函数入口地址，导致的错误，其实就是说没有设置$t9导致的，由于mips不能像x86或者x64那样直接把返回地址覆盖成劫持函数的地址来实现利用，因为还需要考虑到$t9，因为$t9是指向函数入口的，就算$pc已被劫持了，由于入口未被正确设置，导致执行的时候函数栈帧中$gp等无法正常而导致的段异常，mips采用的是更高效的寄存器存储方式，也就是$a0 $a1 $sp $ra $pc $t9等等寄存器，比内存存取速度更快，因为我们不能直接劫持寄存器，即使有溢出漏洞，我们可能也无法利用或者利用会需要其他的条件，因为我们需要控制$ra寄存器读取的栈内存地址，通过把返回地址指向我们构造的gadget chain或者shellcode。  我们在看看寄存器的地址，$t9寄存器通过$gp在GOT表寻找对应的函数的地址的时候无法找到而报错。  下面我们开始寻找rop进行构建gadget。 下面就是使用到另外一个工具，那就是ROPgadget工具，我们先搜索二进制内是否有合适用的ROP。ROPgadget --binary pwnable/Intro/stack_bof_01#扫描整个二进制文件，但是发现并没有合适的。  我们看一下加载进来的动态链接库文件有哪些，然后通过链接库找ROP。  我们查看一下他们的基址，可以看到库应该都被加载进来了。  不知道为什么库文件没有识别出来符号，但是关系也不大，我们可以校验一下指令，查看以下对应地址就知道了。  确定是基址，我们现在开始找gadget。 ROPgadget --binary lib/libc.so.0 --only "jalr|move|lw|$ra|$sp|$a0|$t9" 通过工具我们找到了这个好用的gadget，这段代码也是之前大佬们拿来测试用的。  我们通过0x00006b20 : lw $t9, ($sp) ; jalr $t9 ; lw $a0, 4($sp) 现在我们就可以构造ROP利用了，通过ROP来执行dat_shell，保证$t9指向dat_shell的函数入口即可。我们定位以下dat_shell的地址。  现在开始构造exp，这里我们要介绍一下大名鼎鼎的pwntools工具，这个是专门为溢出漏洞利用而开发的工具，而且特别好用，学二进制的应该都知道这个神器，因为测试的时候如果经常通过直接在bash里构造溢出字符，由于bash的安全机制，它会把我们的00字符吃掉，导致地址无法对齐而报错，构造链被截断，快速开发漏洞利用工具。  看结果，ROP已经利用成功了，并得到了一个shell  我看网上的还有另外一种解法，那就是绕过GOT寻址的这些指令，跳过了函数的序言中重新计算 gp的部分，我们验证一下。  由于我们知道他们dat_shell的地址，而且未开任何防护，所以我们可以直接绕过它的入口而直接到0x40095c开辟空间的位置，重新计算gp的部分。  发现确实也可以解，这个更高效。又学到了高效利用方法，有时候不用ROP也可以拿到shell。  上面的这个都是ROP ret2text，我们复现的这些gadget已经是公开的，老是复现就完事怎么能学到更多东西？我们试一下举一反三，画蛇添足一下，看看是否可以通过ROP构造一个ROP ret2libc执行system(“/bin/sh”)这样拿个shell,下面是利用代码。我们仍然使用这个gadget 0x00006b20 : lw $t9, ($sp) ; jalr $t9 ; lw $a0, 4($sp)  我们还要打印system的地址  我们在pwndbg里搜索一下/bin/sh的地址，因为我们直接把命令/bin/sh写进去的话，这里只是把命令当成地址，所以这样的方法是不行的，因为寄存器需要的是指向字符串/bin/sh的指针地址，而非字符串命令，所以搜索lib或者二进制文件里的字符变量是最快的，我们搜索到了几个，但是由于gdb识别不了链接库的符号，所以用explored代替。  看结果，gadget已经执行，命令执行已经成功，并返回了一个shell,确实mips。  现在我们已经可以利用这个gadget进行花式利用了，现在我们知道了ROP的挖掘和利用，现在我们再去挖掘一个自己学会后的第一个gadget chain，摆脱别人挖出来的gadget，实现举一反三了，让这个gadget chain更加万能，再次通过ROPgadget进去搜索模式。   在搜索和ROPgadget查找rop的时候，发现有很多像这样的尾声，在漏洞利用的里，这种成为万能gadget和MIPS ROP Loader,可以在构造连中帮我们赋值给寄存器，并与其他gadget构建成一条gadget chain，然后后面的gadget2适配更多类型的指令类型，如lw\addiu\la\move等，通过它构造任意 ROP，我们用ROPgadget再找一条gadget2，然后开始写代码进行测试。  这里面的大部分其实都符合，我们随便找一条来测试。0x00027d50 : move $t9, $s0 ; jalr $t9 ; lw $a0, 0x28($sp)  看结果这个ROP gadget chain是成功的，其实有了gadget1的铺垫，后面其实利用会简单很多。  这里有个小track，我们知道前面万能gadget已经为我们铺好路了，如果后面gadget2如果再使用lw的指令来构建chain，如下面这个gadget，0x000356d0 : move $t9, $s0 ; jalr $t9 ; lw $a0, ($s3)，使用这个链可能会出现出现解引指针错误，因为在万能gadget的时候已经通过把$arg0寄存器指向的指针中解引值赋给了system，再次使用lw指令会导致重复把$a0寄存器的值/bin/sh被当作指针解引取值，最终导致错误地址而报错退出。如果一定要使用这个gadget可能会艰难很多，可以配合sw和addiu和其他链。 我们验证一下上面的情况。使用0x000356d0 : move $t9, $s0 ; jalr $t9 ; lw $a0, ($s3)这个进行测试  另外一个gadget的利用  Gadget chain已经执行成功  现在的ROP和ROP gadget chain构造我们已经算熟悉了，我们现在无论是前面的ret2text还是ret2libc都是通过调用函数里面的危险函数来实现的，如system(arg0)这样的方式，如果lib和二进制文件都没有这些函数或者符号被剥离了？我们如何能拿到shell？这里就要涉及例外一个技术叫系统调用号syscall，下面我们先来说说构造方法，就是在rop的函数的时候如system这步换成了syscall的指令或者syscall的操作符，设置v0位4011系统号，如li $v0 4011;syscall这样，其实和上面的ROP构造也是一样，通过构造所需的参数，如a0\a1\a2\v0，如何找gadget chain就不详细说了，因为套路都差不多一样，下面我们介绍两个操作号getshell的方法，一个时通过自己构造系统号4011，另外一个是通过调用系统现成的gadget来实现，由于stack_bof_01.c的代码是使用strcpy，如果想按之前那样使用strcpy的方式构造ROPsyscall应该是很困难，所以我改了一下代码，把strcpy改成gets方法来学习，主要是为了突破操作符或者操作号写入时00的地址限制，因为小端序的操作符是0c000000，遇到00字符被截断，无法构造，但是为了学习，所以修改一下。  1、下面是第一种的通过机器码操作号来构造ROP . 这里有一个技巧，就是用ra回调进行设置v0和其他值，但是要注意回收占空间的这个操作，这里会抬高栈帧地址。  这里有两个技巧，一个是减少在栈操作，而是直接操作寄存器；二是为了绕过00字符截断导致的构造失败。  exp如下：   这里需要注意的是在找操作数的时候记得是小端序还是大端序，我的这里是小端序，所以反过来搜索。  参数地址都已经设置到位了  按了c之后直接从用户态跳入到了内核态。  最后的利用情况，看结果是已经成功  2、另外一个方法也是可以的，可以通过lib的动态链接库自带的指令li $v0,4011;syscall，最后的结果也是一样可以的。    运行的结果也是可行的  最后一个是shellcode的getshell方法，想要使用shellcode得首先保证nx是关闭的。  下面是一段汇编shellcode，其实就是和上面的syscall没什么区别，主要就是一段可执行的命令。  我们把shellcode注入到内存，然后执行它，由于/bin/sh字符无法对齐，我们给他补一个/bin/sh\00，然后补一下滑雪橇，让shellcode跟容易执行成功。 返回地址覆盖成功  返回地址落在了雪橇上，让它滑到shellcode的执行处开始执行，至于为真没报错，那是因为01这个机器指令是一个可有可无，用于滑动的作用的指令，所以cpu执行的时候，  Shellcode已经执行了  但是这个shellcode有一个不完美的地方就是无法绕过strcpy，因为有null字符，所以遇到strcpy的时候无法利用，我们下面开始探讨一下如何绕过null，让这个shellcode更好用。我们看一下下面的shellcode，通过把/bin/sh的字符删掉，并通过使用lui和ori把/bin/sh的字符写入t7和t6寄存器，进行字符拼接成完整路径，然后再写到栈里，通过雪橇进行填充多余的空间，并保证返回地址落在雪橇上来实现shellcode的执行。  看内存可以知道已经开始执行我们的shellcode了  已经可以执行命令了，shellcode已经完整的绕过null字符的限制。  # 到此，这个mips栈溢出漏洞的利用方法都已经完美解决了。
回复或点赞可查看完整内容
冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。
收藏
・
0
点赞
・
10
打赏
分享
分享到微信
分享到QQ
分享到微博
赞赏记录
参与人
雪币
留言
时间
fban
为你点赞！
2026-9-14 09:26
git_51951meggadf3df
非常支持你的观点！
2026-9-11 02:51
mb_lthgjpwj
为你点赞！
2026-8-20 17:13
wx_晨梦
谢谢你的细致分析，受益匪浅！
2026-7-16 11:12
mb_qggckchr
为你点赞！
2026-5-26 11:26
0x7eb0rn
这个讨论对我很有帮助，谢谢！
2026-5-22 11:03
ReGenesis
感谢你的贡献，论坛因你而更加精彩！
2026-4-29 02:32
npc0vo
你的分享对大家帮助很大，非常感谢！
2026-4-26 09:14
mb_tvuiswau
为你点赞！
2026-3-15 05:40
huangyalei
非常支持你的观点！
2026-3-1 11:58
查看更多
赞赏
×
1 雪花
5 雪花
10 雪花
20 雪花
50 雪花
80 雪花
100 雪花
150 雪花
200 雪花
支付方式：
微信支付
赞赏留言：
快捷留言
感谢分享～
精品文章～
原创内容～
精彩转帖～
助人为乐～
感谢分享～
最新回复
(
0
)
游客
登录
|
注册
方可回帖
回帖
表情
雪币赚取及消费
高级回复
返回
mb_cekhmgjj
3
发帖
3
回帖
10
RANK
关注
私信
他的文章
[原创][原创]Eyoucms v1.7.9-1.7.1前台模板包含rce
4651
[原创]DVRF下Mips堆栈溢出ROP举一反三
4604
关于我们
联系我们
企业服务
看雪公众号
专注于PC、移动、智能设备安全研究及逆向工程的开发者社区
看原图
赞赏
×
雪币:
+
留言:
快捷留言
为你点赞！
返回
顶部
