Security Research Philes
/----------------------------------------------------------------------------\ | ENTROPIC / ANSI INK | | portable ANSI color grammar for plain text | \----------------------------------------------------------------------------/ --[ conten...
CONTENTS 1.0 Summary ............................................................... 2.0 Starting from the vendor ZIP .......................................... 3.0 Finding the encrptedimg wrapper .................................... 3.1 R...
CVE-2017-9048 Description CVE: https://www.cve.org/CVERecord?id=CVE-2017-9048 Compile Download Build 由于这个漏洞发生在 valid.c 的 xmlSnprintfElementContent 中，所以我们可以禁用一些无关的东西来提高 fuzzing 效率。 每次耗时最长的就是「如何编译」…… 看了一圈，报错原因全都是因为 invalid token at start of...
CVE-2016-9297 Description CVE: https://www.cve.org/CVERecord?id=CVE-2016-9297 Compile Download 虽然 Mitre 的 description 写是 4.0.6 版本的漏洞，但是 chall 的 description 说 4.0.4，那就用 4.0.4 吧。 Build make 的时候遇到两个定义不完整的报错，直接在 tifpredict.h 中加入下面两行即可： Samples...
CVE-2017-13028 Description CVE: https://www.cve.org/CVERecord?id=CVE-2017-13028 Compile Download 阅读 README 我们可知，要编译 TCPdump 需要先编译 libpcap 。由于 TCPdump-4.9.2 的最后一次提交是九年前的，因此对应的最匹配的 libpcap 应该是十年前的 1.8.1 版本。 Build 根据 chall 的说明，我们需要开启 ASAN 来 f...
Target CVEs Description CVE: https://www.cve.org/CVERecord?id=CVE-2009-3895 CVE: https://www.cve.org/CVERecord?id=CVE-2012-2836 Compile Download Build 这里由于我在 make 的时候有关生成文档的地方报错了，所以我手动将文档部分 patch 掉： 由于 libexif 只是一个库，所以我们要 fuzz 它需要自己找个前端，或者...
CVE-2019-13288 Description CVE: https://www.cve.org/CVERecord?id=CVE-2019-13288 Compile Download 这里选择的是 Xpdf Source Code - xpdf 3.02，而不是 4.01.01。 Build 先用 LTO mode 插下桩： 考虑到插桩后的代码影响调试，所以我们再单独编译一个调试用的版本： Samples 这里我用脚本自动生成一些最小样本，先创建一个 python...
Prologue 次日，群名从 Pwn Squad 变成了 Lost Squad。 我们不知道这是否是更好的选择，但我想，我们绝不差尝试的勇气。 :::note 由于是直接上手用 fuzzer，边做边学，所以肯定会漏掉很多重要的概念，算是比较冒险的学习方法了。不过没事，后面慢慢总结。 ::: Concept 以下概念翻译自 Frequently asked questions (FAQ)。 - 程序包含 函数 (Function)，而函数包含编译后的机器码。 - 函数中的机...
Start Information - Category: Pwn Description Don't know how to start? Check GEF 101 - Solving pwnable.tw/start by @\hugsy Write-up 熟悉又陌生？没错你被骗了。 保护全关，泄漏栈地址打 shellcode 。 Exploit orw Information - Category: Pwn Description Read the flag fro...
Examples 下面给出一些我在学习过程中写的 demo，就不详细说明作用了，只贴一下代码（怕自己弄丢了 用到的 axium 是我自己写的内核 / 侧信道框架，点点 star 支持一下谢谢 \:P GitHub: https://github.com/CuB3y0nd/axium 对于侧信道，还提供了缓存噪声分析的 dashboard xD 每个 chart 都可以单独导出为 PNG，方便嵌入到文档中之类的…… 当然，TUI 的可视化 report 也是必不可少的： 探测...
简介 Intel Control-flow Enforcement Technology (CET) 由 Shadow stack (SHSTK) 和 Indirect branch tracking (IBT) 两部分组成，它们分别实现了不同的防护： The kernel must map a region of memory for the shadow stack not writable to user space programs except by specia...
Awesome Router Information - Category: IoT Description Trust me, if this challenge solved in the inteneded way, there is a lot of fun ; ) Write-up There exits gets and puts in bin/fetcher, so we can use ret2gets trick for a ez shell \:D An...
Challenge Collections GitHub: https://github.com/CuB3y0nd/fengshui You can download the challenges from my repo above. stack/level-0 Information - Category: Pwn Description None. Write-up This is probably the easiest stack fengshui challen...
前言 我宣布，源神是真神，带我学 pwn 带我占（ 诸如术数一类，其实很早就想学了，但是苦于没时间，没资源，反正就是自己不知道怎么学。但是现在有高手带，那还用说，赶紧跟着学啊！哈哈哈哈。 序论 命理与天命 命理是唐朝李虚中所提出的，通过阴阳五行、甲子纳音、生克制化等理论，预测一个人的人生走向。而天命却出自于 《中庸》 中「天命之谓性」，是在解释一个人与生俱来的性情，与其人生归宿之间的关系。 而孔子所说的「五十而知天命」，并非是他在五十岁时通晓了命理，而是说他知晓了人生的归宿...
工欲善其事，必先利其器 Speedrun 异架构汇编 直接看我笔记就好了，虽然不是很详细，后面有时间的话我会再多写点的 /画大饼，很大很大的饼（bushi 异架构环境搭建 由于我使用的是 Arch Linux，所以这里的搭建步骤都按照 Arch 的用法来写，不过实际上其它发行版的大致流程也大差不差的。 确保 binfmt 安装成功： 创建 aarch64-rootfs: :::important 上面这个创建 aarch64-rootfs 然后安装软件包是为了解决非静态链接...
ARM Data processing Data Moving Similar to amd64, the mov instruction can be used. However, literal values must be prefixed with the # symbol! aarch64 registers are 64 bits in size, but the mov instruction only works with 16 bit immediate...
明天是快乐星期五，好耶，又不用上课了～ 总览 | 在不确定中持续推进 路边的银杏叶已经落得差不多了。秋天走得很安静，却也没能逃过我的眼睛。老实说，现在并没有什么写作的热情和积极性，不过也无所谓，先写着再说。没有心情也是一种心情，冬天果然是忧郁的季节。此刻，不兴奋，也谈不上什么低落，确实很难找到一个准确的词来形容当下的状态，或许是我还没准备好和这一年正式告别吧？umm... 应该不止是这样……啊，光阴你这个老吉普赛人，从不为任何人停留。 按照惯例，以往 （其实只是去年） 哪次...
你终于踏入了 Ring 0，那不是权力的开始，而是谦卑的第一步。 前言 本来预计 12.1 看完 kernel 的几个讲义，2 号直接开始做题，然后我也不知道我在干什么，讲义看了十几天才看完，一直到 19 号才开始做第一题…… 期间花了几天时间写了一个全平台通用的自动化创建 kernel exploitation lab 环境的脚本，请务必 star 一下（ GitHub: https://github.com/CuB3y0nd/panix 之后又因为每次一个 exp 脚本...
Verifmt Information - Category: Pwn Description Verifmt is a format string converter with a powerful verifier. Write-up 题目给了源码，还是很方便的： 发现只是对格式化字符串做了一些限制，不能利用位置参数泄漏指定值，再者就是最多只能使用四个格式化字符串标志符（以 % 打头算一个），且格式化字符串格式也是固定为 printf(fmt, args[0], arg...
前言 盲猜这章是 FSOP 综合利用，但是看到第一题就傻眼了。预知后事如何，请看 wp（ Level 1 Information - Category: Pwn Description Create and use arbitrary read primitives to read from the .bss. Write-up 本来以为这章顶多就是 Heap + FSOP 综合利用，但是没想到是 Race Conditions + Heap + FSOP……没怎么做过 R...
前言 所以，这是我入门 IoT 复现的第一个漏洞 \:D 看到 Arch Linux 神（邪）教被孤立还是很难过的……最后迫不得已，还是搭建了 AttifyOS 虚拟机，老老实实用它仿真，不过分析和写 exp 这种事情还是在宿主机进行，其实感觉还好，整个流程并没有让我觉得有多麻烦。 嗯……有空研究一下市面上仿真项目的源码，然后写一个适用于 arch 的仿真工具孤立所有非我教者（ 漏洞介绍 好了，不瞎扯了，说点正经的……搜了一下，这个漏洞的 CVE 是：CVE-2021-42...
前言 Finally，花了五个月差不多把 pwn 学完了，至于剩下的内核什么的后期就当兴趣学了，应该不会变成我的主要研究方向，所以等学完这两章 FSOP 的内容我就去搞 IoT，也能想象明年开始将全力以赴打比赛，暗无天日的坐牢（ 总之希望竞赛时期不要太长，最好能够一年退役，我可不想整个大学生活都在坐牢 LOL Level 1 Information - Category: Pwn Description Harness the power of FILE structs t...
babystack Information - Category: Pwn - Points: 500 Description 拿到属于你的 shell 吧 Get your own shell Write-up ？ Exploit Flag :spoiler[flag{W528uZdUsvWbiWxqon5YLvZa8x6uo8IP}] stack Information - Category: Pwn - Points: 500 Description 我不需要 lib...
flag-market Information - Category: Pwn - Points: 500 Description flag 市场，童叟无欺 Write-up 第一次打国赛，没想到能遇上一道我能做的题……呜呜呜太感动了（ 逆向出来的代码就这么点： 初看不难发现，scanf 的 %s 是一个很明显的无限长度输入，后面的 open / write 则似乎是障眼法，因为无论哪个成立了都会导致另一个失败，并且调试发现 scanf 内部会破坏 RSI，所以 open...
前言 冲冲冲，尽快拿下这一章然后学 FSOP，同时空下来学点 IoT，提前进军 realworld 。 Level 1.0 Information - Category: Pwn Description Leverage consolidation to obtain the flag. Write-up 先填满 tcache，然后再申请同样大小就进入 fastbin 了，接着释放，让它可再次被分配，由于 malloc 超出 smallbin 范围的 chunk 会先触发...
stack Information - Category: Pwn - Points: 500 Description 听说你很喜欢栈溢出？ Write-up 虽然逻辑很简单，但是还是先让 MCP 先分析一下逻辑，重命名一下变量名。得到如下程序： 上面这个 init 函数里的 sub1396 开了沙箱，禁用了 open 和 execve，第一反应是打 orw 。可以用 openat 代替 open，然后 sendfile 可以 read，write 一把梭。 PS: 一开始...
House of Spirit Applicable Range - latest Principles 人生中的第一个「house」，当然是从 Spirit 开始～ 下面直接拿 how2heap 的 example code 来学习了，选择的是 glibc2.35/houseofspirit.c： 先说效果，这个攻击基本上就是可以令我们 malloc 返回一个任意地址，比如返回栈地址，然后就可以竭尽所学，做一些瑟瑟的事情了什么？我说的瑟，可是萧瑟的瑟哦～ chill br...
zip++ Information - Category: Pwn - Points: 500 Description why isn't my compressor compressing ?! Write-up 问 AI，得知 compress 函数实现了一个 RLE (Run-Length Encoding) 压缩算法，压缩后格式为 [字节 1][重复次数 1][字节 2][重复次数 2]...，因此如果我们输入交替字符就会导致压缩率很差，溢出返回地址。 Exploi...
前言 前几天打了 SunshineCTF 2025，其中有道 MOVfuscated 的 Pwn 题感觉挺有意思，虽然最后也没做出来，但是知道了一个大致的学习方向，或许可以用符号执行来解决这道题。 Anyway，先开个题，至于什么时候写，hmm，我还有好多 heap 没学泪，所以这是一篇札记（
i95 这个方向都是栈 Pwn，很简单，直接 AK 了。 Miami Information - Category: Pwn - Points: 100 Description Dexter is the prime suspect of being the Bay Harbor Butcher, we break into his login terminal and get the proof we need! Write-up 覆盖变量值即可。 Exploit Fla...
ret2gets 是用于在 glibc >= 2.34 没有常用 gadgets，控制不了任何参数的情况下，通过调用 gets，配合 printf / puts 等输出函数实现 ld 地址泄漏进而为深入构造 ROP Chain 做准备的 trick 。 :::tip 此 trick 适用于 GLIBC >= 2.34， 0，说明是递归锁的一层，只会将 cnt 减一，不真正释放锁 \IOstdfile0lock in RDI ? 现在我们研究研究为啥 rdi 是 IOstdf...
前言 今天刚复现完 2024 年羊城杯的 logger，一道简单的涉及 C++ 异常处理机制的缓冲区溢出题，感觉还挺有意思，了解了一下发现有一种专门针对于异常处理而发展出来的 ROP 手法，叫做 CHOP (Catch Handler Oriented Programming)，也有称其为 EOP (Exception Oriented Programming) 的，这里我就直接沿袭原论文中的命名了。我也是参考了多方博客学习的，现在打算自己写一篇，以增强个人理解。 PS:...
先挑几个简单的复现一下，因为堆都没怎么学过，就先不复现了，等以后学明白了再去研究。 pstack Information - Category: Pwn - Points: Unknown Description Unknown Write-up 看上去就是签到题，0x10 字节栈溢出，而且给了 rdi gadget，那还不简单？ 回想起我最近打的比赛，签到也基本都是栈迁移，可是没一个是有 rdi gadget 的…… Exploit httpd Information -...
打个酱油辅助一下……难以想象整个比赛就这一道 Pwn，也是体验了一波 AK 完睡觉的感觉…… Pwn Description - Category: Pwn Write-ups 保护全开，不过就一个很小的 main 函数： 一开始想的是堆溢出，后来调试了一下发现是不可能的（当时还因为没有 libc，手动 patch 出毛病，pwndbg 检查不了 heap 等一系列问题浪费了将近一小时……），然后想着有没有可能改 read 的 size、是不是和整数溢出有关……结果就是，都...
Time Information - Category: Pwn - Points: Unknown Description Unknown Write-up 当时直接被别的 pwn 题吓跑了，感觉一道也做不出来……今天来复现一下这道 race condition 的题。没看 wp 自己做出来了，草啊，为啥当时不去试试别的题呢？ 其实我没学过 race condition，但是因为看过 CSAPP，所以也知道个大概 ba，下面写一下思路。 首先是这个 getname 函数，...
Little ROP Information - Category: Pwn - Points: 362 Description No PIE, no canary. Perfect setup for ROP. Show me what you can do! Write-up 1 840+ 支队伍，结果这题只有 27 个解，说实话一开始以为是签到题，结果没想到那么难……总之这题质量还是不错的，后期一定要回头深挖一下…… 这题解法还挺多的，据我所知就有三种方法，我这里依次...
cascade Information - Category: Pwn - Difficulty: Medium - Points: 292 Description just a buffer overflow, right? Write-up 64 字节的缓冲区，512 字节的输入，Partial RELRO，没 gadgets，没 libc……当时想到的就是打 ret2dlresolve，解析 system，最后虽然我成功带着参数进入了 system，并且执行 syst...
Cakeshop Information - Category: AWDP Pwn - Points: Unknown Description Unknown Write-up Kong 师傅分享的题，本来只是抱着试一试的心态，看看能不能做出来的，结果没想到还真做出来了……决赛题，不过感觉挺简单，如果我在现场的话就拿分了哈哈哈，可惜了，国内赛事接触太少了。Anyway，还是值得记录一下的。 粗略分析一下，发现 donothing 里面存在格式化字符串漏洞。由于主菜单无限循环...
Discord Information - Category: Misc - Points: 10 Description Join the Discord for our super secret flag! Write-up 本来以为是和机器人聊天，发现这机器人还挺难斥候，怀疑是真人。但凡我表现出任何索要 flag 的姿态他就不高兴了……最后发现 flag 在 #rules channel，严重怀疑是不是自己眼睛瞎了，还是当时脑子没完全开机，居然跑去和机器人聊天，然后这...
前言 悲，这篇博客最早是在 2025-01-25 开始写的，那会儿刚准备开始学堆，结果却因为各种各样的原因（主要是未来路线规划和刚接触堆面对各种陌生的新知识感觉十分害怕，也确实不懂，觉得很难），就去干别的了。没想到一直到 25 年 9 月才重新开始写这篇博客……既然如此，那就干脆把以前写的全删了，从头开始刷这章好了…… 其实发现以前写的多少有点小问题，虽然现在我会的也只是比一开始的时候多了那么一丢丢，只是粗略了解了一点 glibc 堆分配机制而已。总的来说，面对这一章我本质...
Fotispy 1 Information - Category: Pwn - Points: 500 Description Spotify with a GUI? A true hacker only needs the terminal. Note: Despite the naming, these 7 challenges can be solved in any order and do not depend on each other. Write-up 经过...
前言 暑假也快结束了，整个假期都被各种事情困扰着，心态一崩再崩，糟糕极了，差点就放弃了一切……不过现在已经好很多，重新打起精神来了。想着在余下的十多天里把 GLIBC 堆分配器的源码读完吧，反正迟早要读的，先把各种机制，流程全部理清楚了，打好基础，开学后再去学习各种攻击手法也不迟。谁知道呢，或许会是一个极好的助力也说不准。 其实老早就像写这篇博客了，但是因为各种原因一直没开工，曾短暂开工了一段时间，也因为基础根基不牢的原因转而去弥补所缺了，反正就是一直拖到现在，不过这次应该...
前言 万事开头难……准备开始学习堆利用了，不过发现想要在 Arch Linux 上获得预期的源码级调试体验有点有点费劲，没有像 ubuntu 那样的 libc6-dbg 软件包，试过配置 debuginfod 服务，也没有解决问题（很爆炸，等我把这个项目撸完后才发现，原来用 ubuntu 的 debuginfod 地址就行了，不能用 arch 的……）。glibc-all-in-one 下载下来的 glibc 动态链接库默认也是 stripped 的，虽然它提供了 buil...
r0bob1rd Difficulty - EASY Description I am developing a brand new game with robotic birds. Would you like to test my progress so far? Write-up 观察到 operation 函数存在几个漏洞： - if ( v1 > 9 ) 没有对 v1 做边界检查，OOB - fgets(s, 106, stdin); BOF - printf(s...
前言 炸炸炸，不想说话！ Pragma Once and Header Guards Pragma Once If the same header file gets included more than once, you can end up with some nasty errors caused by redefining things like functions or structs. One simple solution is #pragma once....
前言 不开心，不想说话……让我们直接进入这段有趣的学习之旅吧，试试两个月，甚至更短的时间内解决掉这门又臭又长的课程。 Bits, Bytes, and Integers Representation information as bits Everything is bits Each bit is 0 or 1 By encoding/interpreting sets of bits in various ways - Computers determine what...
rip Information - Category: Pwn - Points: 1 Write-up 丢给 IDA 老婆分析，看到有一个危险函数 gets，还有一个 fun 会返回 system("/bin/sh")，保护全关。直接打，注意栈对齐。 Exploit warmupcsaw2016 Information - Category: Pwn - Points: 1 Write-up int sprintf(char buffer, const char form...
前言 为了提升开发水平和工程能力，同时也是为了深入学习 C 语言……我再次拾起了这项艰巨却让我无比向往的项目 （种子早在两年前就种下了，现在才开始生长，请叫我摆烂 Master） 。 话说今年（确切的说应该是截至九月中旬）我主要功夫都会倾注在学业中，这意味着，我能投身于技术探索的时间将变得稀缺（这怎么行，我怎么能原地踏步！所以，即便当前以学业为主，我也打算在这段时间顺便积淀一下自己的硬实力。待到回归之日，又是一个更哇塞的自己～）…… 借口？或许吧……刚开学前两周经受了一个「...
前言 自 23 年刚推开 Pwn 之门的一条窄缝以来，一直有着这样一个想法：「写一份有关 Pwn 的详细教程，又或许是经验梳理与总结，让有志之士从入门到入坟，少走弯路，不那么痛苦。」伟大吗？ 本来想用 GitBook 或者建一个类似 wiki 的平台来写这个的，不过最终还是决定放在这里，为啥？我不知道…… 不过我可能不会经常更新这篇 blog，而是 Keep updating as the mood strikes. 但是请放心，不论你现在看到的这篇文章有多简陋……给我点时...
前言 两月一号了，眼看九号就要打比赛我却还没学过 ret2csu 和 SROP，所以特此提前开一章 ROP Emporium 的题解，问就是里面有一道 ret2csu，而且早晚会得这份题库的 LMAO 可惜没有 SROP，那这个我只能去 Nightmare 找题做了，要不就自己出一题也行。 啊，突然想起来还有 ret2dlresolve 和 ret2vDSO……一会儿再开一章 tricks 专题好了，就从 ROP 的 tricks 开始写。 Challenge 8 Info...