rop 调用VirtualProtect

2024-09-03

Rop实战之利用VirtualProtect绕过DEP

CVE-2011-0065 Firefox mChannel UAF漏洞为了实现任意代码执行,需要在mChannel对象释放后,用可控数据“占坑”填充它,因此,可在onChannelRedirect函数调用完成后,紧跟着申请一块大小相同的内存: e = document.getElementById("d"); e.QueryInterface(Components.interfaces.nsIChannelEventSink).onChannelRedirect(null,new

CVE_2012_1876堆溢出分析

首先用windbg附加进程ie页面内容进程,!gflag +hpa添加堆尾检查,.childdbg 1允许子进程调试,然后加载POC. POC: <html> <body> <table style="table-layout:fixed" > <col id=" >&nbsp </col> </table> <script> function over_trigger() { &qu

Linux pwn入门教程(3)——ROP技术

作者:Tangerine@SAINTSEC 原文来自:https://bbs.ichunqiu.com/thread-42530-1-1.html 0×00 背景在上一篇教程的<shellcode的变形>一节中,我们提到过内存页的RWX三种属性.显然,如果某一页内存没有可写(W)属性,我们就无法向里面写入代码,如果没有可执行(X)属性,写入到内存页中的shellcode就无法执行.关于这个特性的实验在此不做展开,大家可以尝试在调试时修改EIP和read()/scanf()/gets()等函数

arm64 调试环境搭建及 ROP 实战

前言比赛的一个 arm 64 位的 pwn 题,通过这个题实践了 arm 64 下的 rop 以及调试环境搭建的方式. 题目文件 https://gitee.com/hac425/blog_data/tree/master/arm64 程序分析首先看看程序开的保护措施,架构信息 hac425@ubuntu:~/workplace$ checksec pwn [*] '/home/hac425/workplace/pwn' Arch: aarch64-64-little RELRO: Part

Pwn with File结构体之利用 vtable 进行 ROP

前言本文以 0x00 CTF 2017 的 babyheap 为例介绍下通过修改 vtable 进行 rop 的操作 (:-_- 漏洞分析首先查看一下程序开启的安全措施 18:07 haclh@ubuntu:0x00ctf $ checksec ./babyheap [*] '/home/haclh/workplace/0x00ctf/babyheap' Arch: amd64-64-little RELRO: Full RELRO Stack: Canary found NX: NX en

CTF必备技能丨Linux Pwn入门教程——ROP技术（上）

Linux Pwn入门教程系列分享如约而至,本套课程是作者依据i春秋Pwn入门课程中的技术分类,并结合近几年赛事中出现的题目和文章整理出一份相对完整的Linux Pwn教程. 教程仅针对i386/amd64下的Linux Pwn常见的Pwn手法,如栈,堆,整数溢出,格式化字符串,条件竞争等进行介绍,所有环境都会封装在Docker镜像当中,并提供调试用的教学程序,来自历年赛事的原题和带有注释的python脚本. 课程回顾>> Linux Pwn入门教程第一章:环境配置 Linux Pwn入门教程

CVE-2010-3654分析及利用

三年前分析的一个漏洞,最近又温习一遍,这个flash中混淆漏洞的鼻祖,10年最经典的漏洞. 漏洞触发原因该漏洞主要因为avm对返回的类没有进行校验,通过修改swf文件,实现Ref类和Origin类的混淆. Poc如下,可以看到poc一共由三个类组成: PoC_Main Original_Class Real_Ref_Class PoC_Main类中首先初始化Real_Ref_Class类,之后调用Original_Class的static_func1方法,该方法会返回一个Original_Cl

HeapSpray初窥(2014.12)

注:环境是xp+ie8 1.HeapSpray简介 Windows的堆因为动态分配和释放的特点,其看起来是不连续(没有规律的),但是仍可以找到一定的规律:大量的连续分配会更倾向使用连续的地址,减少了碎片化.这为利用找到了机会. HeapSpray就是在内存中分配大量的空间,申请的这些内存都是由相同的NOPs+shellcode所构成.如果存在任意地址写的漏洞,就可以利用该HeapSpray:改变程序的流程,使EIP指向事先分配好的NOPs+shellcode的内存块.这样shellcode就可以

CVE-2015-1641 Office类型混淆漏洞及shellcode分析

作者:枕边月亮原文来自:CVE-2015-1641 Office类型混淆漏洞及shellcode分析 0x1实验环境:Win7_32位,Office2007 0x2工具:Windbg,OD,火绒剑,UltraEdit,oletools: 0x3漏洞简述:word在解析docx文档的displacedByCustomXML属性时未对customXML对象进行验证,可以传入其他标签对象进行处理,造成类型混淆,通过在word中嵌入构造好的RTF文件,其中经过精心构造的标签以及对应的属性值被dis

【考古向翻译】Pwn2Own 2010 Windows 7 Internet Explorer 8 exploit

正好在Google搜到了这篇文章,就打算自己翻译一下,也不清楚国内是否有人已经翻译过了.作者是Pwn2Own 2010的获奖者来自荷兰的皮特·维莱格登希尔(Peter Vreugdenhil). 2010的Pwn2Own是第一次公开亮相的攻破有ASLR+DEP保护的IE浏览器,所以也是我比较关注的一点.当然了就目前(2016)来说,这些都已经是漏洞利用的标配了.所以是一次考古性质的翻译.ps:我是根据对技术的理解去翻译的,很多地方都有删改,要求精准的可以去看原文.http://vreugdenh

ASLR/DEP绕过技术概览

在经典的栈溢出模型中,通过覆盖函数的返回地址来达到控制程序执行流程(EIP寄存器),通常将返回地址覆盖为0x7FFA4512,这个地址是一条JMP ESP指令,在函数返回时就会跳转到这个地址去执行,也就是执行JMP ESP,而此时ESP刚好指向我们在栈上布置的Shellcode,于是就执行了Shellcode. 之所以栈上的数据能被执行,是因为早期操作系统没有区分数据和代码,EIP指向哪里就去哪里执行. 当引入DEP(Data Execution Prevention 数据执行保护)之后,堆.栈

Windows 漏洞利用开发

第一阶段:简单栈溢出分析栈溢出原理寻找溢出点,了解pattern_create和pattern_offset计算溢出点的原理寻找JMP ESP跳板,分析利用JMP ESP跳板劫持程序流的原理编写漏洞利用脚本,自动化攻击第二阶段:利用SEH绕过GS保护了解GS编译选项,SHE异常处理机制分析利用SHE异常处理机制绕过GS的原理寻找溢出点寻找PPR,解释为何利用PPR 编写漏洞利用脚本,自动化攻击第三阶段:利用ROP绕过DEP保护了解DEP保护理解构造ROP链从而绕过DE

XDCTF2014 Writeup

Web50 猜谜语类题目?FLAG在图片中有一些字符的 ASCii值,拼起来就是FLAG. Web100 隐写术.使用工具 StegSolve,把任一颜色的bit0拼起来图片的最开始部分即为 flag. Web150 题目给了一个使用不可见字符强力混淆过的一个 shell.php 文件,常见文本编辑器修改之后,原代码就不能执行了. 因此使用 16 进制编辑器打开,在中间插入一个函数 er($s) { echo $s; return $s; } 然后后面需要打印变量的时候,就插入这个函数即

【原创】内核ShellCode注入的一种方法

标题: [原创]内核ShellCode注入的一种方法作者: organic 时间: 2013-05-04,04:34:08 链接: http://bbs.pediy.com/showthread.php?t=170959 最近学习内核注入,看见一篇老文章<rootkit之[七]IAT Hook -- HybridHook之终极打造>链接:http://bbs.pediy.com/showthread.php?t=60778,利用KUSER_SHARED_DATA写入shellcode

CVE-2015-7645 analyze and exploit

Hack team之后adobe和google合作对flash进行了大改,一度提高了flash的利用门槛,CVE-2015-7645作为第一个突破这些限制的漏洞利用方式,可以作为vetect利用方式之后的一个模板,应该是今年最后一篇技术文章了哈哈. 漏洞分析 POC由三个as文件superexternalizable,subexternalizable,externalizable组成. 该漏洞由IExternalizable导致,这个类导出两个函数readExternal和writeExter

读书笔记——Windows核心编程（15）在应用程序中使用虚拟内存

微软的Windows提供了三种机制对内存进行操控 1 虚拟内存(最适合管理大型对象数组或大型结构数组) 2 内存映射文件(大型数据流/文件,共享数据) 3 堆(大量的小型对象) 预订地址空间区域VirtualAlloc PVOID VirtualAlloc(PVOID pvAddress,//内存地址,传NULL则由系统指定位置,必须始终位于进程的用户分区中,如果不是分配粒度的整数倍,则下去整到64K的整数倍. SIZE_T dwSize,//区域大小,系统始终分配页面大小的整数倍 DWORD

逆向实用干货分享,Hook技术第一讲,之Hook Windows API

逆向实用干货分享,Hook技术第一讲,之Hook Windows API 作者:IBinary出处:http://www.cnblogs.com/iBinary/版权所有,欢迎保留原文链接进行转载:) 一丶什么是Hook,以及Hook能干啥首先这一个小标题主要介绍神马是Hook,如果知道的,则不用看了. 这里我偷袭啊懒,贴出Hook的意思 https://baike.baidu.com/item/%E9%92%A9%E5%AD%90%E7%A8%8B%E5%BA%8F Hook,英文单词中成

0ctf2018 pwn

前言对 0ctf2018 的 pwn 做一个总结正文 babystack 漏洞非常直接的栈溢出 ssize_t sub_804843B() { char buf; // [esp+0h] [ebp-28h] return read(0, &buf, 0x40u); } 这个题的难点在于用 python 启动了该程序同时过滤了 stdout 和 stdout #!/usr/bin/python -u # encoding: utf-8 from pwn import * import r

一步一步 Pwn RouterOS之exploit构造

前言本文由本人首发于先知安全技术社区: https://xianzhi.aliyun.com/forum/user/5274 前面已经分析完漏洞,并且搭建好了调试环境,本文将介绍如何利用漏洞写出 exploit 正文控制 eip 看看我们现在所拥有的能力我们可以利用 alloca 的 sub esp * 把栈抬高,然后往那里写入数据. 现在的问题是我们栈顶的上方有什么重要的数据是可以修改的. 一般情况下,我们是没办法利用的,因为栈上面就是堆, 而他们之间的地址是不固定的. 为了

格式化字符串漏洞利用实战之 njctf-decoder

前言格式化字符串漏洞也是一种比较常见的漏洞利用技术.ctf 中也经常出现. 本文以 njctf 线下赛的一道题为例进行实战. 题目链接:https://gitee.com/hac425/blog_data/blob/master/decoder 正文程序的流程如下部分函数已经进行了标注,看程序打印出来的提示信息就知道这个是一个 base64 解码的程序,然后可以通过猜测 + 验证的方式,找到那个用于 base64 解码的函数. 这个程序的漏洞在于将 base64 解码后的字符串直接传

rop 调用VirtualProtect

热门专题