记事本

manpage1

exec的manual里是这么说的 Except for SIGCHLD, signals set to be ignored (SIG_IGN) by the calling process image shall be set to be ignored by the new process image. 于是我们先把SIGTERM设为忽略，再调用manpage1 #inc...

Posted by rk700 on July 18, 2014

manpage0

有2点： execve，如果ST_NOSUID没有设的话，新执行的程序的rid不变，eid会变如果suid设了，saved suid也会被保存为eid，这样我们就可以在之后用setuid来恢复 setuid如果权限够了(root?)，就把2个id都设了；否则只设eid，rid和saved suid不变于是还是溢出，不过shellcode中要先恢复权限 BITS 32 ;s...

Posted by rk700 on July 18, 2014

vortex10

由于time(0)的值的大致范围是知道的，关键就是v12的值。这里v12>>31会得到0xffffffff或是0x0，接下来的>>24就会得到0xff或是0x0。于是最终范围在128-256=-128与128+256=384之间，可以穷举出来。另一方面，我们要读他的数，并反馈。与vortex0类似，我还是不知道怎么用shell, fifo等完成。于是在c程序里fo...

Posted by rk700 on July 17, 2014

semtex

semtex0 首先把文件下载下来： $ nc 178.79.134.250 24001 > semtex 然后每两个bytes打印一个： import sys fin = open('semtex1', 'rb') fout = open('semtex1.out', 'wb') while 1: bytes = fin.read(2) ...

Posted by rk700 on July 17, 2014

utumno

utumno0 和semtex4类似，这次的也是没有读权限。还是用xocopy把内容dump出来，elf地址用的是0x08048000。再用strings查看，发现类似是密码的内容 utumno1 会打开目录，检查包含的文件的文件名。必须要是以sh_开头；然后漏洞在run函数里面，会把d_name[3]的地址放到返回地址。所以把payload放在文件名sh...

Posted by rk700 on July 16, 2014

maze

maze0 race condition，以前做过，于是懒得再弄了 maze1 ldd检查发现会加载当前目录下的libc.so.4。于是我们写一个文件 int __libc_start_main() { int fd = open("/etc/maze_pass/maze2", 0); char buf[64]; int ...

Posted by rk700 on July 14, 2014

krypton

krypton0 base64解码 <pre class="lang:sh decode:true " >$ echo “…” | base64 -d -</pre> krypton1 rot13解码 import codecs s='...' print(codecs.encode(s,'rot13')) kry...

Posted by rk700 on July 10, 2014

vortex9

一登录就提示说you have a new mail，但是输入mail后又说没有邮件然后去/var/spool/mail文件夹，发现密码文件

Posted by rk700 on July 9, 2014

vortex8

这道题里用了setresuid。但是调用的方式是通过syscall，我实验了下，如果是直接setresuid，那么子线程的uid被改变了；而如果是syscall，那么子线程的uid不变。现在还不清楚这是为什么，估计是和signal什么的有关。总之，现在必须在子线程里invoke shell。我们还是可以通过修改got来做到。也就是说，先在父进程unsafecode里执行我们的命令，来修改...

Posted by rk700 on July 9, 2014

vortex7

这道题要求构造一个符合crc的输入来造成溢出。关于CRC，这里有一篇详细的文章为了reverse CRC，我们先找到所用的crc table在文件中的位置，然后将其dump出来： $ hexdump -v -n 1024 -s 1504 vortex7 -e '"0x" 1/4 "%08x" ","' | fold -b44 此外，我们还需要根据最高位字符来构造reverse t...

Posted by rk700 on July 9, 2014