ctf-pwn

name ctf-pwn description CTF 二进制漏洞利用(Pwn)技术。当挑战提供 ELF/PE 可执行文件并开放 nc 端口、存在栈溢出/堆溢出/格式化字符串/UAF 漏洞时使用。覆盖 ROP 链构造、堆利用(tcache/House of Orange/Spirit)、内核利用、seccomp 沙箱逃逸、pwntools 自动化利用脚本编写 metadata {"tags":"ctf,pwn,binary,exploit,overflow,rop,heap,kernel,shellcode,格式化字符串","category":"ctf"} CTF 二进制漏洞利用 (Pwn) 深入参考 以下参考资料 按漏洞类型组织 ，按需加载： 漏洞类型 skill 引用 栈溢出 / ret2win / Canary绕过 references/stack-overflow.md 格式化字符串 / 泄漏 / GOT覆写 / Blind Pwn references/format-string.md 堆(UAF/double free/tcache/House of X) references/heap-exploitation.md ROP(ret2csu/ret2libc/SROP/seccomp绕过/RETF) references/rop-techniques.md 内核堆喷 / tty_struct / userfaultfd / modprobe_path references/kernel-exploitation.md KASLR / KPTI / SMEP / SMAP / FGKASLR 绕过 references/kernel-bypass.md 自定义VM / JIT / 类型混淆 / FSOP / Windows / ARM references/advanced-pwn.md Python沙箱 / FUSE / Busybox / 受限Shell references/sandbox-escape.md 栈溢出基础 / 结构体覆写 / 有符号整数 / Canary references/overflow-basics.md ROP链构造 / ret2csu / XOR编码 / shellcode references/rop-and-shellcode.md 高级ROP / 双栈迁移 / UTF-8 SROP / RETF绕seccomp references/rop-advanced.md 堆技术(House of Apple2/Einherjar/自定义分配器) references/heap-techniques.md 堆FILE结构(fastbin→stdout/vtable劫持/glibc 2.24+) references/heap-fsop.md 内核基础(环境/堆喷结构/栈溢出/提权原语) references/kernel.md 内核技术(tty_struct/userfaultfd/SLUB/Panic泄漏) references/kernel-techniques.md 高级利用2(字节码/io_uring/整数截断/GC) references/advanced-exploits-2.md 高级利用3(栈变量重叠/1字节溢出/GOT覆写) references/advanced-exploits-3.md 高级利用4(Windows SEH/ARM Thumb/Forth/GF(2)) references/advanced-exploits-4.md 高级利用5(Chip-8模拟器/浮点Canary/Bloom Filter) references/advanced-exploits-5.md Pwn 实战笔记(堆速查/利用备忘/常用命令) references/field-notes.md 大文件目录索引 (>300行，建议先看目录定位) format-string.md (331行)： Format String Basics / Argument Retargeting / Blind Pwn / Filter Bypass / Canary+PIE Leak / __free_hook Overwrite / .rela.plt Patching / Game State / .bss Pivot / argv[0] Leak kernel-bypass.md (421行)： KASLR/FGKASLR Bypass / KPTI Bypass (4 methods) / SMEP/SMAP Bypass / GDB Debug / Initramfs Workflow / Exploit Templates kernel-exploitation.md (398行)： QEMU Setup / vmlinux提取 / Config Checks / Heap Spray Structures / ret2usr / kROP / modprobe_path / core_pattern / tty_struct / userfaultfd / SLUB Internals / Cross-Cache / PTE Overlap advanced-pwn.md (591行)： VM Exploitation / Integer Vulnerabilities / Memory Primitives / Arbitrary R/W / FSOP+Heap / Specialized (ASAN/DNS/ELF Signing/JIT) / TLS Destructor / GF(2) Gaussian / Windows/ARM/Forth 分类决策树 Pwn 题目分析？ ├─ 检查保护: checksec binary │ ├─ PIE 关闭 → 地址固定，直接覆写 GOT/PLT │ ├─ Partial RELRO → GOT 可写 → GOT覆写 │ ├─ Full RELRO → 需找替代目标(hooks/vtable/.fini_array) │ ├─ NX 开启 → 不能执行栈/堆shellcode → 用 ROP │ └─ Canary → 需泄漏或用堆/字节溢出绕过 ├─ 漏洞类型 │ ├─ 栈溢出 │ │ ├─ 基础 ret2win → `stack-overflow.md` │ │ ├─ ret2libc / ROP → `rop-techniques.md` │ │ ├─ Canary绕过 → `stack-overflow.md` + `advanced-pwn.md` │ │ └─ 堆叠溢出 → `advanced-pwn.md` │ ├─ 格式化字符串 │ │ └─ `format-string.md` │ ├─ 堆(UAF/double free/tcache) │ │ ├─ 基础 tcache poisoning → `heap-exploitation.md` │ │ ├─ House of X/Orange/Lore → `heap-exploitation.md` + `advanced-pwn.md` │ │ └─ FSOP → `advanced-pwn.md` │ ├─ 内核模块 │ │ ├─ 基础环境/提权 → `kernel-exploitation.md` │ │ └─ 保护绕过 → `kernel-bypass.md` │ └─ 自定义 VM / JIT / 类型混淆 │ └─ `advanced-pwn.md` └─ 利用链 ├─ 泄漏 → 计算libc基址 → one_gadget / system / FSOP ├─ ROP → ret2libc / SROP / ret2dlresolve / seccomp绕过 └─ 堆 → House of X / tcache poisoning → __free_hook / TLS dtors 保护机制速查 保护 状态 影响 绕过方法 PIE 关闭 GOT/PLT/函数地址固定 直接覆写 PIE 开启 地址随机化 泄漏 → 计算基址 RELRO Partial GOT 可写 GOT覆写 RELRO Full GOT 只读 hooks/vtable/.fini_array/FSOP NX 开启 栈不可执行 ROP NX 关闭 栈可执行 shellcode Canary 有 溢出被检测 泄漏/字节溢出/BRK 常见危险函数 gets() / scanf("%s") / strcpy() → 栈溢出 printf(user_input) → 格式化字符串 free() 后继续使用 → UAF read(fd, buf, size) → 堆溢出 / 栈溢出 pwntools 模板 from pwn import * context.binary = elf = ELF( './binary' ) libc = ELF( './libc.so.6' ) p = remote( 'host' , port) # or process('./binary') # 泄漏 → 计算基址 → 覆写 → getshell 竞争条件利用 bash -c '{ echo "cmd1"; echo "cmd2"; sleep 1; } | nc host port' 注意事项 先泄漏再攻击 ：几乎所有 exploit 都依赖信息泄漏，优先找泄漏点 one_gadget 约束检查 ：找到 gadget 后用 one_gadget libc.so.6 列出所有，再筛选满足约束的 seccomp-tools dump ：必先检查 seccomp 规则，再决定绕过方案 pwntools corefile ：崩溃后自动生成 core 文件，用 cyclic_find() 精确定位溢出偏移