1. 项目概述一次CTF Pwn赛题的深度复盘之旅最近在整理过去的CTFCapture The Flag比赛笔记翻到了ISCC2021的题目感觉其中几道Pwn题的设计非常精妙涵盖了从基础的栈溢出到进阶的堆利用等多种经典漏洞场景。对于刚入门二进制安全的朋友来说这些题目就像一个个设计好的“靶场”能让我们在相对安全的环境里系统地理解漏洞原理和利用技巧。今天我就以一名“老逆向”的视角带大家重新拆解ISCC2021中的五道典型Pwn题。这不仅仅是一次Writeup的复述我更想分享的是在实战中面对一个未知的二进制文件时我的分析思路、工具链的使用习惯以及那些在标准解题步骤之外容易踩到的“坑”。无论你是想入门Pwn的新手还是希望巩固知识体系的中级选手相信这篇从栈到堆的“闯关”记录都能给你带来一些实实在在的收获。2. 核心漏洞类型与利用思路总览在深入每一道题之前我们有必要先建立一个宏观的认知。Pwn题的核心在于发现并利用程序中的漏洞获取系统的控制权通常是拿到一个Shell。ISCC2021的这五道题非常典型地覆盖了用户态漏洞利用的几个主要阶段。2.1 栈溢出一切的开端栈溢出是Pwn中最基础、也最经典的漏洞类型。它的原理是程序向栈上的缓冲区写入数据时没有正确检查边界导致数据覆盖了相邻的栈帧内容比如函数返回地址。一旦攻击者控制了返回地址就能引导程序跳转到任意代码位置。在CTF中这通常意味着跳转到我们预先布置好的Shellcode一段用于获取Shell的机器码或者跳转到程序中已有的、能达成目标的函数如system(“/bin/sh”)。栈溢出的利用相对直接关键在于计算好偏移量精准地覆盖到目标地址。2.2 格式化字符串漏洞信息泄露的利器格式化字符串漏洞源于程序员错误地使用了用户可控的字符串作为printf、sprintf等函数的格式化参数。攻击者可以通过输入特定的格式化字符如%p、%s、%n实现内存内容的读取泄露和写入篡改。在CTF中这个漏洞常常扮演“信息泄露者”的角色用于获取关键的内存地址比如libc的基地址从而绕过ASLR地址空间布局随机化保护。有时它也能直接用于修改关键数据如GOT表项来达到目的。2.3 堆漏洞利用从入门到“入土”堆利用是Pwn中的进阶内容也是区分选手水平的重要分水岭。堆管理器如glibc的ptmalloc的复杂性带来了多种漏洞模式Use-After-Free (UAF)释放堆块后程序依然保留着指向该堆块的指针并后续使用了这个“悬空指针”。攻击者可以在该堆块被重新分配时控制其内容从而影响程序逻辑。Double Free同一个堆块被连续释放两次。这会破坏堆管理器的内部数据结构为后续的堆布局和利用创造混乱的条件。Heap Overflow类似于栈溢出但发生在堆上。通过溢出覆盖相邻堆块的元数据如size字段可以诱骗堆管理器进行非预期的合并或分割操作最终实现任意地址读写。这些堆漏洞的利用往往需要结合信息泄露获取堆或libc地址和对堆分配器行为的深刻理解过程像搭积木一样精巧。2.4 工具链与调试环境准备工欲善其事必先利其器。在开始分析前我的工作台上通常会准备好以下工具静态分析IDA Pro或Ghidra。用于反汇编、反编译理解程序逻辑和数据结构。我个人习惯先用Ghidra进行快速的伪代码分析再用IDA查看图形化视图和交叉引用。动态调试gdb配合pwndbg/peda/gef插件。这是动态跟踪程序执行、观察内存状态、测试利用脚本的必备环境。pwndbg的堆可视化命令如vis在分析堆题时尤其有用。漏洞利用开发pwntools。这是一个Python库提供了与进程交互、组装payload、处理ELF文件等一站式功能能极大提高编写exp脚本的效率。检查保护机制checksec。快速查看目标程序开启了哪些安全保护如NX栈不可执行、Canary栈保护、PIE位置无关可执行文件、RELRO重定位只读等这决定了我们的利用策略。注意在本地调试时建议使用patchelf和glibc-all-in-one等工具将题目的二进制文件与它自带的libc库链接起来以复现远程环境。否则本地和远程的libc地址差异会导致利用失败。3. 题目一基础栈溢出与ROP链构造第一道题通常是个“热身题”程序逻辑简单存在明显的栈溢出漏洞并且没有开启NX保护栈可执行这允许我们直接在栈上布置Shellcode。3.1 程序分析与漏洞定位拿到二进制文件pwn1先用checksec检查Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX disabled PIE: No PIE (0x8048000)好消息32位程序没有栈保护Canary没有NX栈可执行没有PIE基地址固定。这意味着我们可以直接将Shellcode放在栈上并让程序跳转过去执行。用IDA打开找到main函数和关键的vulnerable_function。通常漏洞函数里会有一个危险的调用比如gets、scanf(“%s”, buf)或者不安全的read。在这个例子里我们发现了一个read(0, buf, 0x100)但buf在栈上只有0x50的大小。明显的栈溢出。3.2 偏移量计算与Payload构造下一步是计算从我们输入的缓冲区起始位置到覆盖函数返回地址所需的偏移量。有两种常用方法静态计算在IDA中查看栈布局。buf的地址是ebp-0x48而保存的返回地址在ebp4。所以偏移量是0x48 4 0x4c (76)字节。动态计算使用pwntools的cyclic模式字符串。生成一个长字符串发送给程序使其崩溃然后根据崩溃时寄存器如EIP的值反推偏移量。这种方法更通用尤其是在栈布局复杂时。由于NX关闭我们的利用思路是填充字符 Shellcode地址。但这里有个问题我们不知道Shellcode在栈上的确切地址。一个经典的技巧是“栈喷淋”Stack Spraying或利用“jmp esp”等指令。更通用的方法是使用ROPReturn-Oriented Programming但此题NX关闭我们可以采用更简单的办法利用程序本身可能存在的、能泄露栈地址的指令或者进行一定程度的猜测在本地环境调试时可行。不过作为基础题它可能设计得更简单程序中可能直接存在一个后门函数shell()里面调用了system(“/bin/sh”)。我们的目标就是覆盖返回地址为这个后门函数的地址。用objdump -t pwn1 | grep shell或IDA搜索字符串/bin/sh就能找到。假设我们找到了后门函数地址0x8048520那么payload结构就是payload bA * 76 p32(0x8048520)这里的p32()是pwntools的函数用于将整数打包成32位小端序字节串。3.3 利用脚本与调试心得完整的exp脚本如下from pwn import * context(archi386, oslinux, log_leveldebug) # p process(./pwn1) # 本地调试 p remote(靶机地址, 端口) # 远程连接 shell_addr 0x8048520 payload bA * 76 p32(shell_addr) p.sendline(payload) p.interactive()实操心得在发送payload前务必理解程序接收输入的流程。是用send、sendline还是sendafter这取决于题目本身的逻辑比如是否有printf(“input:”)提示。错误的方式可能导致交互不同步。开启log_leveldebug可以在运行时看到所有发送和接收的数据对于调试payload非常有用。如果本地成功但远程失败首先检查libc版本是否一致其次检查网络交互是否有延迟或缓冲区问题有时需要在关键交互后加sleep(0.1)。4. 题目二格式化字符串漏洞泄露与劫持第二道题pwn2引入了格式化字符串漏洞并开启了NX保护。这意味着我们不能执行栈上的代码了利用思路需要转变。4.1 漏洞触发与信息泄露用IDA分析发现程序在某个函数中直接使用了用户输入作为printf的参数printf(buf);。这就是典型的格式化字符串漏洞。我们的第一个目标是泄露信息通常是libc的地址。因为程序一般会调用libc中的函数如printf本身这些函数的地址会在程序运行时被加载到内存的GOT全局偏移表或栈上。通过格式化字符串的%p或%s我们可以读取这些地址。确定偏移首先确定我们的输入在格式化字符串参数中的位置。可以发送AAAA%p%p%p%p...或cyclic字符串观察输出。假设输出中出现了0x41414141‘AAAA’的十六进制那么它出现在第n个参数位置这个n就是我们的偏移量。假设n7。泄露GOT表地址我们想泄露printf的GOT表项内容。先获取printf的GOT地址printf_got elf.got[printf]pwntools的ELF模块。然后利用格式化字符串的%s进行读取payload p32(printf_got) b%7$s。这里%7$s表示读取偏移为7的参数即我们刚写入的printf_got地址所指向的内存内容字符串格式。程序会输出该地址处的值也就是printf函数在内存中的实际地址。计算libc基址得到printf_addr后减去libc中printf函数的偏移量可以在题目提供的libc.so文件中用readelf -s libc.so.6 | grep printf查找就得到了libc的基地址libc_base printf_addr - libc.sym[printf]。4.2 利用格式化字符串进行任意写格式化字符串的%n修饰符更强大它可以将当前已输出的字符数写入指定的地址。我们可以利用它来修改GOT表将某个函数的地址改为system的地址。 假设我们想将printf的GOT项改为system地址。我们已经有了libc_base可以计算出system_addr libc_base libc.sym[system]。利用%n写入是一个精细活因为%n写入的是字节数。我们需要控制输出的字符数恰好等于system_addr这个数值一个很大的数。直接输出这么多字符不现实。技巧是分批次、按字节写入。例如在32位系统中我们可以将printf_got、printf_got1、printf_got2、printf_got3四个地址依次放在payload中然后分别用%hhn写入1字节向这四个地址写入system_addr的四个字节。构造这样的payload非常繁琐但pwntools的fmtstr_payload函数可以自动完成payload fmtstr_payload(offset, {printf_got: system_addr})。4.3 完整利用链与注意事项完整的利用步骤是泄露libc地址 - 计算system地址 - 将printf的GOT表项覆盖为system地址 - 当程序再次调用printf(buf)时实际上会调用system(buf)- 此时我们输入/bin/sh即可获得shell。注意事项注意程序是32位还是64位这影响地址长度和格式化字符串的偏移计算64位前6个参数通过寄存器传递。有些题目开启了FULL RELRO使得GOT表只读无法修改。这时就需要寻找其他可写的内存区域如.bss段和利用链如修改栈上的返回地址或函数指针。格式化字符串的利用过程可能会因为空格、换行符等字符被程序过滤而失败需要灵活调整payload构造方式。5. 题目三堆入门之Use-After-Free第三道题pwn3将我们带入堆的世界。题目实现了一个简单的“笔记”程序有添加、删除、查看等功能。通过逆向我们发现删除功能free后并没有将指向堆块的指针置空而查看功能依然使用这个指针这就是典型的UAF。5.1 程序功能与漏洞点分析程序通常定义了一个结构体比如struct Note { int size; char *content; };添加笔记时会先malloc一个Note结构体再根据用户指定大小malloc一块内存给content。删除笔记时会free(note-content)和free(note)但全局数组中的指针依然指向那个已经被释放的note结构体。查看笔记时就直接通过这个悬空指针打印content。5.2 UAF利用控制堆块内容UAF利用的核心思想是“占位”。既然有一个指针指向已释放的内存如果我们能控制这块内存被重新分配时的内容就能控制这个指针所读到的数据。布局堆内存首先创建add两个笔记编号0和1。然后删除delete它们。此时note0和note1对应的两个堆块结构体和内容块都被释放进入fastbin或tcache取决于glibc版本和大小。重新分配与控制当我们再次申请add一个笔记时如果申请的大小合适堆管理器可能会把刚刚释放的note0的结构体堆块分配给我们。这个新笔记的结构体和旧的note0是同一块内存如果我们通过编辑新笔记修改了结构体中的content指针那么原来查看note0的功能就会去读这个我们新设置的指针地址。目标我们将content指针修改为某个我们想读或写的地址例如GOT表地址用于泄露libc或者__free_hook的地址用于劫持控制流。5.3 利用脚本的关键步骤假设我们想泄露libc地址目标是读取free的GOT表内容。# 假设 add(size, content), delete(idx), show(idx) add(0x20, AAAA) # idx0 add(0x20, BBBB) # idx1 delete(0) delete(1) # 此时 fastbin/tcache: chunk1 - chunk0 - NULL # 重新申请chunk0被分配我们可以控制note结构体 # 我们需要伪造一个结构体size字段和指向free_got的content指针 free_got elf.got[free] fake_note p32(0x20) p32(free_got) # 假设结构体是8字节size(4) pointer(4) add(0x20, fake_note) # idx2 这个新块占用了原chunk0的内存 # 现在调用 show(0) 程序会读取原note0的指针现在这个指针被我们改成了free_got # 于是它会打印出free函数在内存中的地址 show(0) p.recvuntil(Content: ) free_addr u32(p.recv(4)) log.success(free_addr: hex(free_addr))踩坑记录必须清楚每个堆块的大小包括结构体本身的大小和内容块的大小。错误的大小会导致分配不到预期的内存块。注意glibc的版本差异。不同版本的glibc如2.23, 2.27, 2.31, 2.35其堆管理机制如tcache的引入和强化差异巨大。ISCC2021的题目可能基于某个特定版本本地调试环境需要匹配。在释放堆块后、重新分配前有时需要“填充”一些其他分配来调整堆布局这被称为“堆风水”Heap Feng Shui。6. 题目四Double Free与Tcache Poisoning第四道题pwn4的难度升级考察对glibc中tcache机制的利用。Tcache是glibc 2.26引入的每线程缓存用于加速小内存块的分配但它也引入了新的攻击面。6.1 Tcache机制简析对于大小在0x410字节以下的内存块释放后会先进入tcache bin。每个大小的tcache bin是一个单链表默认最多缓存7个相同大小的块。分配时也从tcache bin的头部取。关键点在于tcache bin中的块其fd指针指向链表中下一个块仍然保存在用户数据区。而安全检查相对宽松。6.2 Double Free漏洞利用Double Free是指同一个堆块被连续释放两次。在tcache中这会导致这个堆块在tcache bin的链表中出现两次。利用这个“重复”的节点我们可以实现“投毒”Poisoning。触发Double Free先申请两个相同大小的块A和B。释放A再释放B再释放A第二次释放A即Double Free。在tcache bin中链表会变成 A - B - A - ...一个环。篡改fd指针此时我们申请一个同样大小的块会得到A。我们可以在A的用户数据区写入数据覆盖其fd指针。因为A还在链表中我们覆盖的fd就变成了链表的下一个节点。实现任意地址分配我们将fd指针修改为我们想要控制的地址X比如__free_hook的地址。然后我们再连续申请两个块第二次申请就会分配到地址X这意味着我们可以在__free_hook处写入数据。6.3 劫持__free_hook获取Shell__free_hook是glibc中的一个函数指针当调用free()时如果这个指针非空就会跳转到它指向的地方执行。这是一个非常理想的劫持目标。 利用步骤通过Double Free和Tcache Poisoning将__free_hook的地址“伪造”成一个可分配的堆块。申请到这个“堆块”实际上就是在__free_hook的位置写入数据。我们写入system函数的地址。当我们后续释放free一个内容为/bin/sh的堆块时free()实际上会调用system(“/bin/sh”)从而获得shell。关键脚本片段add(0x40, A*8) # chunk A, idx0 add(0x40, B*8) # chunk B, idx1 delete(0) # free A delete(1) # free B delete(0) # double free A, tcache: A-B-A # 现在申请回来A并修改其fd指针为 __free_hook 地址 free_hook libc_base libc.sym[__free_hook] add(0x40, p64(free_hook)) # idx2, 拿到A并写入fdfree_hook add(0x40, C*8) # idx3, 拿到B add(0x40, p64(system_addr)) # idx4, 拿到“free_hook”块并写入system地址 # 现在创建一个内容为/bin/sh的块然后释放它 add(0x20, b/bin/sh\x00) # idx5 delete(5) # 触发 system(/bin/sh)经验之谈现代glibc2.32对tcache的fd指针进行了异或加密PROTECT_PTR增加了利用难度。需要先泄露堆地址才能解密/加密目标地址。解题时需要关注题目附带的libc版本。不是所有题目都允许直接写__free_hook有时需要结合其他漏洞如堆溢出先修改tcache bin的counts绕过数量限制。7. 题目五综合挑战之堆溢出与Unlink第五道题pwn5是一道综合题可能同时包含堆溢出和更古老的利用技术——Unlink。这题考察对堆内存布局和glibc堆管理元数据的深入理解。7.1 堆溢出与元数据破坏程序存在一个堆溢出漏洞允许我们向一个堆块写入超出其大小的数据从而覆盖相邻下一个堆块的头部元数据。堆块的元数据包括前一个块的大小prev_size和本块的大小及标志位sizeflags。 通过溢出修改下一个堆块的size字段和prev_inuse位我们可以欺骗堆管理器让它认为前一个堆块是空闲的prev_inuse0。7.2 Unlink攻击原理Unlink是glibc在合并空闲堆块时从双向链表small/large bin中摘除一个堆块的操作。它涉及以下关键宏#define unlink(P, BK, FD) { FD P-fd; BK P-bk; FD-bk BK; BK-fd FD; }如果攻击者能够伪造一个“空闲堆块”P并控制其fd和bk指针那么在执行unlink(P)时就会发生内存写操作将BK写入FD偏移的位置将FD写入BK偏移的位置。这可以实现任意地址写。7.3 利用堆溢出触发Unlink结合堆溢出和Unlink的典型利用路径布局堆块创建几个连续的堆块例如 chunk A, chunk B, chunk C。伪造空闲块在chunk A的用户数据区末尾伪造一个空闲堆块的元数据。具体来说我们需要设置伪造块的size并将它的fd和bk指针设置为我们可以控制的地址比如一个指向某个函数指针的全局指针ptr附近。触发合并通过堆溢出修改chunk B的头部将其prev_inuse位清零并将prev_size设置为伪造块的大小。这样当释放chunk B时堆管理器会认为chunk B前面有一个空闲块即我们伪造的块并尝试将这两个“空闲块”合并。合并过程会调用unlink来摘除我们伪造的那个块。实现任意写在unlink操作中FD-bk BK和BK-fd FD这两个写入操作如果FD和BK指向我们可控的地址如ptr-0x18和ptr-0x10最终会导致*ptr ptr-0x18这样的结果。这实际上是将ptr处存储的值修改了。劫持控制流如果ptr是一个函数指针如GOT表项我们就成功地将其修改为我们可控的地址从而在后续调用中劫持程序流。注意事项Unlink攻击在现代glibc中受到了严格检查如corrupted double-linked list因此通常只出现在较老版本的题目中如glibc 2.23及以前。ISCC2021的这道题很可能是在模拟这种经典场景。利用过程需要精确计算偏移并且对内存布局有清晰的把握。调试时多用pwndbg的vis命令观察堆状态。这是一种比较复杂的利用技术需要反复调试和理解。成功利用后通常能获得一次强大的任意地址写机会之后可以写入system地址或ROP链。8. 实战调试技巧与问题排查实录理论再完美调试时也会遇到各种妖魔鬼怪。下面分享几个我在实战中高频遇到的问题和解决思路。8.1 本地通远程不通的经典问题这是最让人头疼的情况之一。除了之前提到的libc版本问题还有以下几点栈对齐问题特别是在64位系统调用system时要求栈指针rsp在调用时16字节对齐。有时本地环境巧合对齐了但远程没有。解决方法是在跳转到system前加一个ret指令的gadget来调整栈。环境变量差异本地终端的环境变量如PATH可能与远程不同导致system(“/bin/sh”)启动失败。可以尝试使用绝对路径/bin/sh或者使用execve的系统调用ROP链。输入输出缓冲远程连接可能存在缓冲导致输入输出不同步。多用p.recvuntil(‘xxx’)来同步交互或者尝试在发送关键payload后p.interactive()之前加上p.clean()。8.2 GDB调试Pwn题的常用命令start在main函数入口处停下适合开始分析。b *地址在特定地址下断点。结合IDA看地址非常有用。c/continue继续运行。ni/nexti单步执行一条指令不进入函数调用。si/stepi单步执行一条指令会进入函数调用。vmmap查看内存映射区域非常重要用于查找libc、栈、堆的地址。heappwndbg命令查看堆状态。telescope 地址 长度查看以某个地址开始的一片内存。search -s “/bin/sh”在内存中搜索字符串。8.3 利用脚本编写中的细节地址打包32位用p32()64位用p64()。务必注意题目架构。字符串处理Python3中字符串是unicode发送字节要用b’string’或者bytes(string, ‘utf-8’)。pwntools的flat()函数可以方便地混合打包地址和字符串。交互处理善用sendafter(b’prompt:’, payload)和recvline()来精确控制交互流程避免程序卡住。日志记录在exp脚本的关键步骤加入log.info(‘step 1: leaking libc…’)便于复盘和调试。8.4 心态与学习方法Pwn的学习曲线比较陡峭。我的建议是从基础开始彻底理解栈、函数调用约定、汇编指令。不要急于求成。精做经典题把一道题吃透比模糊地做十道题更有用。理解每一步为什么这样做尝试用不同的方法解同一道题。善用搜索引擎和社区遇到错误信息如corrupted double-linked list直接搜索很大概率能找到解答。多看别人的Writeup学习不同的思路。坚持调试GDB调试是必经之路。即使有现成exp也一定要自己一步步跟进去观察内存变化理解利用链是如何串联起来的。回过头看ISCC2021这五道题它们像一条精心设计的路径从栈到格式化字符串再到堆上的UAF、Double Free和综合性的堆溢出。每一关都引入了新的知识点和技巧。解决Pwn题的过程其实就是不断将漏洞原理、程序逻辑、系统机制和工具使用融会贯通的过程。它锻炼的不仅仅是漏洞利用能力更是系统性的逆向思维和问题解决能力。希望这篇结合实战的解析能帮你在这条路上走得更稳一些。遇到难题别灰心多调试多思考那个豁然开朗的瞬间就是这份技术最大的乐趣所在。