喵喵喵喵

Stage2 sandbox bypass Stage1已经实现了任意代码执行 接下来就是sandbox部分 目标是读取/home/tp/flag2 解析 - 整体构成 亲... Continue reading...

题目信息https://github.com/ctfs/write-ups-2015/blob/master/plaidctf-2015/pwnable/tp/problem_414d338fffb41107a3cf70bd0a7feffe.elf?raw=true 测试运行直接运行什么也不会显示，大概10秒后killed ... Continue reading...

clone 能够生成线程的system call 适用于sandbox，出现频率非常高 clone(2)和clone(3)有区别，这里使用clone(3)进行说明 https://linuxjm.osdn.jp/html/LDP_man-pages/man2/clone.2.html ... Continue reading...

seccomp sandbox的典型 内核层面过滤system call 只要过滤器正确注册，就无法从用户进程绕过 这个sandbox非常强，还会结合其他的过滤器作为辅助，以防止意外的解决方案 尽量使用复杂的过滤器 也存在一部分过滤器存在漏洞的题目 只过滤自己的进程，不会影响其他进程 使用seccomp(2) 或者 prctl(2)来注册过滤器 这是一种通过库函数调用的方式，稍微有点... Continue reading...

sandbox问题分类大体上两类 1.binary的sandbox 绕过system call过滤机制 自定义过滤器，seccomp过滤器，混合过滤器等 基本上结合pwn问题 2.program的sandbox 绕过对函数，变量，语法，字符等的过滤机制 不能使用符号，import之类语句等 python/php很常见，其他的go/JavaScript/ruby之类 大部分是mi... Continue reading...

PlaidCTF 2015 - pwnable620(420+200) - tp Use After Free + sandbox逃逸 主要三个点 heap thread arena sandbox seccomp thread clone ... Continue reading...

题目信息 Smashes, try your best to smash!!! nc pwn.jarvisoj.com 9877 https://dn.jarvisoj.com/challengefiles/smashes.44838f6edd4408a53feb2e2bbfe5b229 开了NX和Canary： ... Continue reading...

根据这个： https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/use_after_free-zh/ 原理简单的说，Use After Free 就是其字面所表达的意思，当一个内存块被释放之后再次被使用。但是其实这里有以下几种情况 内存块被释放后，其对应的指针被设置为 NULL ， 然后再次使用，自然程序会崩溃。 内存块被释放后... Continue reading...

题目信息题目链接https://github.com/ctfs/write-ups-2014/tree/master/codegate-preliminary-2014/weirdsnus 准备环境12$ echo HEHE_I_DONT_KNOW_YOU > admin_passwd $ echo N0_MoR3_SMOKING_SNUS > flag 基本信息 ... Continue reading...

前置知识之前有过相关内容 Use After Free 模式化fastbins类型典型流程 找到存在Use After Free漏洞的指针x free(x)，但没有将x设置为NULL 如果有多个指针，free(x)之后没有将所有的指针设置为NULL x最好是函数指针 或者后面的y是一个函数指针 free(x) # 但x仍然指向堆中的一个chunk 发送会产生free(x)的输入选项 ... Continue reading...