HC_PWN/ROP/

[giscus[bot]]

HC_PWN/ROP/

开源免费、新手友好的CTF(Capture The Flag,夺旗赛)入门教程

https://ctf.probius.xyz/HC_PWN/ROP/

[xiaodian2]

您好，请问一下这种手绘风格的图片和动画是怎么做的呀，谢谢！

[h4kuy4]

用的是excalidraw，动画是excalidraw-animate

[EndlessShw]

您好，新手有一些不能理解的地方，Bing 后未果，恳请大佬指点：

在文章最后给出的 exp 脚本中：

puts_addr = elf.sym["puts"]
str_hello_world = 0x00402004
pop_rdi_ret = 0x0000000000401203

payload = b"A" * 0x28
payload += p64(pop_rdi_ret)
payload += p64(str_hello_world)
payload += p64(puts_addr)

1. str_hello_world 和 pop_rdi_ret 为什么是这个值？想知道其来源。
2. payload = b"A" * 0x28 是表示 A 的 16 进制数码与 16 进制数 0x28 相乘吗？还是表示 28H 个 A 呢，第一次见到这种用法。

[collectcrop]

在python中一个字符串乘上一个数字n就是将n个该字符串拼接在一起，在这b"A"*0x28是填充栈直至返回地址处，要根据具体情况来的；pop_rdi_ret也可以自己找,你按照他的代码自己用gcc编译出来后，可以扔进IDA里，找前面提到的_libc_init_csu中的pop r15;ret来错位构造pop rdi;ret，这样就获取这个的地址。编者可能是用了自己写的脚本来自动化获取了，这点我也不是很清楚。

[h4kuy4]

str_hello_world 对应的是全局变量中的字符串"Hello, World!"，这里我编译演示的程序的时候关闭了PIE保护，所以这里没有地址随机化，可以借助IDA的字符串搜索（shift + F12）来确定地址。

pop_rdi_ret是通过ROPgadget搜索获得

[EndlessShw]

学了一段时间的 PWN，已经大概能看懂了，感谢各位大大的解答。
有关 payload = b"A" * 0x28 ，我知道 Bytes 类型与 10 进制数相乘，但是和 16 进制相乘我没有见过，所以感到疑惑。

[HLWIND]

这这这，期待大佬补全

[ssuns3t]

这里好像有个小问题，应该是反了，不相等才跳转，相等就继续往下执行qaq

[ssuns3t]

在这里qaq

[HLWIND]

    邮件已收到，多谢。