1. 项目概述从零到一的Pwn实战入门路径如果你刚接触CTFCapture The Flag安全竞赛或者对二进制安全、漏洞利用Pwn感到好奇那么“XCTF-Pwn实战11道入门题漏洞利用与ROP链构造详解”这个标题很可能就是你正在寻找的“从入门到上手”的实战指南。Pwn这个源自“own”的俚语在安全圈特指通过利用程序漏洞来获取系统控制权。它不像Web安全那样有直观的界面也不像逆向工程那样专注于静态分析Pwn要求你深入程序的运行时内存与CPU指令、寄存器、栈和堆这些底层机制打交道过程充满了挑战但一旦成功那种“掌控一切”的成就感是无与伦比的。这11道入门题绝非简单的“Hello World”。它们精心设计覆盖了从最经典的栈缓冲区溢出到逐步引入安全缓解机制如NX、Canary、ASLR的完整学习曲线。其核心目标是引导你亲手实践如何将一块看似无害的“数据输入”转化为能够劫持程序执行流的“武器”并最终构造出复杂的ROPReturn-Oriented Programming链在重重限制下达成任意代码执行。这个过程就像学习一套精妙的“组合拳”先学会直拳覆盖返回地址再学会勾拳跳转到已有函数最后掌握一套连招用程序自身的代码片段“拼凑”出攻击逻辑。对于新手而言最大的障碍往往不是漏洞原理本身而是如何将书本上的理论转化为可操作的、能看见效果的攻击过程。这套题目正是为此而生。它不空谈理论而是要求你打开调试器如GDB with pwndbg一边观察内存变化一边编写利用脚本通常用Python的pwntools库。你会亲眼看到当你输入一长串特定的字符后程序的EIP/RIP指令指针如何被你“掰”向另一个地址你会亲手计算出需要多少字节的填充才能恰好覆盖到关键的栈帧结构。这种“动手-观察-修正”的循环是掌握Pwn技能最快的方式。接下来我将以这11道题为蓝本结合我多年打CTF和从事安全研究的经验为你拆解其中的核心关卡、技术要点和那些容易被忽略的“坑”。我们不仅会复现解题步骤更会深入探讨每一步背后的“为什么”并分享只有踩过坑才能获得的实战心得。无论你是计算机专业的学生还是希望拓宽技能栈的安全爱好者这篇详解都将为你铺平Pwn入门的道路。2. 环境搭建与工具链配置你的“武器库”工欲善其事必先利其器。在开始“砸”二进制文件之前一个顺手的调试和分析环境至关重要。与Web测试不同Pwn的环境需要更贴近底层且经常涉及32位与64位架构、动态链接库等问题。2.1 基础系统与工具选型我强烈推荐使用Linux作为主攻环境Ubuntu 20.04/22.04 LTS 是社区最主流的选择软件包丰富且兼容性好。在虚拟机如VMware或VirtualBox中安装一个纯净的系统是个好主意方便随时快照恢复。核心工具“三件套”pwntoolsPython库Pwn手的“瑞士军刀”。它封装了本地/远程交互、汇编/反汇编、ELF文件解析、ROP链构建等大量功能能极大提升写利用脚本Exploit的效率。GDB with pwndbg/gef原版GDB功能强大但不够友好。pwndbg或gef是它的增强插件提供了直观的上下文信息显示、内存查看、ROP gadget搜索等功能是动态调试的不二之选。checksec通常随pwntools或单独安装。用于快速检查目标二进制文件开启了哪些安全保护机制如NX栈不可执行、Canary栈保护、PIE地址随机化等让你对挑战难度有个快速评估。安装命令示例# 安装pwntools (建议使用python3虚拟环境) pip3 install --upgrade pwntools # 安装pwndbg推荐 cd ~/ git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh # 安装checksec通常pwntools已包含 # 也可以使用系统包管理器安装 sudo apt install checksec注意不同Linux发行版的库文件路径和版本可能有差异这可能导致你在本地运行成功的利用脚本在远程靶机上却失效。一个常见的“坑”是libc版本。解决方法是在靶机环境或使用Docker镜像中测试或者使用pwnlib的DynELF等功能进行动态解析。2.2 调试技巧与效率提升配置好工具只是第一步高效使用它们才是关键。GDB调试流程标准化面对一个新二进制文件我习惯先checksec看保护再用file命令看架构然后用gdb ./pwnme加载。在pwndbg中starti命令可以在程序真正执行第一条指令前停下方便观察初始状态。设置断点b *main后使用cyclic工具生成一段不重复的字符串进行溢出测试再通过cyclic -l [崩溃时EIP的值]快速计算出溢出偏移量这个技巧在入门题中屡试不爽。脚本化交互永远不要依赖手动输入进行漏洞利用测试。使用pwntools的process()和sendline()进行本地交互用remote()连接远程靶机。将攻击过程全部写在Python脚本里方便反复修改和调试。信息收集在动调试器之前先用rabin2 -I ./pwnmerizin工具套件或readelf -a查看程序头信息、符号表。用objdump -d反汇编查看关键函数如mainvuln函数。用strings找找有没有隐藏的/bin/sh字符串或有用的提示信息。这些静态分析往往能提供最初的突破口。3. 栈溢出基础ret2text与ret2shellcode这11道题的前几关几乎都是从最经典的栈缓冲区溢出开始的。这是所有Pwn技术的基石必须彻底吃透。3.1 漏洞原理与栈帧布局想象一下程序运行时调用函数会在栈上分配一块内存栈帧来存放局部变量、返回地址等。如果有一个不检查输入长度的函数如getsscanf(“%s”)strcpy向一个固定大小的局部字符数组缓冲区里拼命写数据多出来的数据就会“溢出”覆盖掉栈帧上更高地址的内容其中最危险的就是覆盖了函数返回地址。以32位程序为例一个典型的脆弱函数void vuln()的栈帧可能简化如下地址从高到低增长高地址 ------------------ | 调用者栈帧... | ------------------ | 返回地址 (EIP) | - 被覆盖后程序将跳转到我们控制的地址 ------------------ | 旧的基址指针(EBP) | - 也可能被覆盖 ------------------ | 局部变量 buffer[64] | - 输入从这里开始填充 低地址当我们输入超过64字节的数据多出的部分就会依次覆盖EBP和返回地址。程序在vuln函数执行完ret指令时会从栈顶弹出这个被我们覆盖的地址并跳转过去执行。这就是劫持控制流。3.2 ret2text利用程序自身的代码“ret2text”中的“text”指的是程序的代码段.text段。这是最简单直接的利用方式把返回地址覆盖成程序里一个现成的、对我们有利的函数的地址。典型场景题目给了system函数并且在代码里还有一个/bin/sh字符串。信息收集用objdump -d ./pwnme | grep system找到system函数的地址比如0x8048430。用strings -t x ./pwnme | grep /bin/sh找到字符串地址比如0x804a024。计算偏移用cyclic模式字符串溢出在GDB中崩溃时查看EIP值假设为0x6161616c‘laaa’用cyclic -l 0x6161616c算出偏移是108。这意味着我们需要108字节垃圾数据填充buffer和EBP从第109字节开始覆盖返回地址。构造Payloadfrom pwn import * context(archi386, oslinux) # 设置上下文为32位Linux p process(./pwnme) offset 108 system_addr 0x8048430 binsh_addr 0x804a024 payload bA * offset p32(system_addr) p32(0xdeadbeef) p32(binsh_addr) p.sendline(payload) p.interactive()关键解释p32()用于将整数打包成32位小端序字节串。在system_addr之后我们还需要一个“假的返回地址”这里用0xdeadbeef填充因为system函数被调用后也会ret我们需要控制这个ret之后的行为在简单getshell题中可忽略。然后是system函数的参数即/bin/sh的地址。实操心得在32位程序中函数参数是通过栈传递的。调用约定是call system之后栈顶ESP指向的位置应该是返回地址再往下ESP4才是第一个参数。所以我们的payload结构是[填充][system地址][system的返回地址][参数1]。64位程序则不同优先使用寄存器RDI, RSI, RDX...传参这为后续ROP埋下了伏笔。3.3 ret2shellcode注入并执行自己的代码当程序没有现成的system(“/bin/sh”)时我们可以自己注入一段机器码shellcode来打开shell。这要求栈必须是可执行的即NX保护未开启。确认栈可执行checksec显示NX disabled。编写/获取shellcodepwntools提供了方便的shellcraft模块来生成。例如shellcraft.sh()生成一个execve(‘/bin/sh’)的shellcode。确定shellcode地址我们需要知道输入的buffer的起始地址将返回地址覆盖为此地址。这个地址在每次运行时可能因ASLR而变化但在简单的入门题中ASLR常被关闭或者可以通过调试器直接获取静态地址如0xffffd500。构造Payloadpayload shellcode padding address_of_shellcode。这里有个技巧为了增加命中率可以在shellcode前加一大段NOP指令\x90形成“NOP雪橇”只要返回地址落到这片NOP区就会滑行到shellcode执行。from pwn import * context(archi386, oslinux) p process(./pwnme) offset 108 buf_addr 0xffffd500 # 通过调试获得 shellcode asm(shellcraft.sh()) payload b\x90 * 64 shellcode # NOP雪橇 shellcode payload payload.ljust(offset, bA) # 填充至偏移处 payload p32(buf_addr) # 覆盖返回地址为buffer地址通常指向NOP区 p.sendline(payload) p.interactive()注意事项现代操作系统默认开启NXNo-eXecute保护将栈和堆标记为不可执行使得ret2shellcode这种直接注入代码的方式在真实场景和稍难的题目中几乎失效。这迫使攻击者转向更高级的技术——ROP。4. 绕过NXROP链构造的艺术当栈不可执行NX enabled时我们无法注入并执行自己的代码。ROP面向返回的编程技术应运而生。其核心思想是利用程序中已有的、以ret指令结尾的短指令序列gadget通过精心编排这些gadget的执行顺序来达成复杂的攻击逻辑如同用乐高积木拼出想要的形状。4.1 ROP的核心概念与 gadget 寻找一个gadget通常形如pop edi; ret这条指令序列存在于程序的代码段.text或链接库如libc中。它做了两件事从栈顶弹出一个值到edi寄存器然后再次ret继续从栈顶弹出下一个地址去执行。通过控制栈上的数据我们就间接控制了寄存器的值和程序流。寻找gadget的工具ROPgadget --binary ./pwnme最常用的工具能列出所有可用的gadget。ropper另一个功能强大的工具。pwntools的ROP模块可以自动查找和构建ROP链。一个最简单的ROP链目标在64位系统下调用system(“/bin/sh”)。64位调用约定要求第一个参数放在rdi寄存器。所以我们需要一个pop rdi; ret的gadget用于将/bin/sh字符串的地址装入rdi。system函数的地址。4.2 实战构造64位ROP链获取shell假设通过信息泄露我们已经知道了system函数和字符串/bin/sh在内存中的地址如何泄露是下一个重点。现在我们有pop_rdi_ret地址0x4007a3binsh_addr地址0x601048system_addr地址0x7ffff7e1a290构造ROP链的思维过程如下程序原返回地址被我们覆盖为第一个gadget地址pop_rdi_ret。当原函数ret时跳转到0x4007a3执行pop rdi; ret。此时栈顶RSP指向的位置应该是我们预先布置好的下一个数据binsh_addr。pop rdi指令会将其弹出到rdi寄存器。pop rdi执行完执行ret。此时栈顶又变成了我们布置的下一个地址system_addr。于是ret指令跳转到system函数。system函数开始执行时发现rdi寄存器里已经是/bin/sh的地址符合调用约定于是成功执行system(“/bin/sh”)。用pwntools实现from pwn import * context(archamd64, oslinux) p process(./pwnme) offset 104 # 假设64位程序偏移为104 pop_rdi_ret 0x4007a3 binsh_addr 0x601048 system_addr 0x7ffff7e1a290 payload bA * offset payload p64(pop_rdi_ret) payload p64(binsh_addr) payload p64(system_addr) p.sendline(payload) p.interactive()这就是一个最基础的、只有两个节点的ROP链。复杂的攻击可能需要串联多个gadget来设置多个参数甚至进行算术运算。4.3 通用ROP链与libc地址泄露在真实的Pwn题中程序通常使用动态链接库libc并且开启了ASLR地址空间布局随机化。这意味着system和/bin/sh的绝对地址每次运行都不同。但它们在相对于libc基址的偏移是固定的。因此攻击思路变为泄露libc中某个函数的地址比如泄露puts函数在内存中的实际地址。计算libc基址libc_base leaked_puts_addr - libc.symbols[‘puts’]。这里需要知道目标服务器使用的libc版本我们可以通过题目提供的libc文件或者通过泄露的多个函数地址在数据库中匹配如https://libc.blukat.me/来确定。计算目标地址system_addr libc_base libc.symbols[‘system’]binsh_addr libc_base next(libc.search(b’/bin/sh’))。构造最终的ROP链进行攻击。泄露地址的常用方法利用程序本身可以输出数据的函数如putswriteprintf。我们通过ROP链调用puts(putsgot)打印出puts函数在全局偏移表GOT中的地址这个地址就是运行时地址。GOT表存储了动态链接函数的真实地址。两次攻击的Payload结构第一次泄露payload1 padding pop_rdi_ret puts_got puts_plt main_addr。目的是调用puts输出puts的真实地址然后返回到main函数让程序可以再次被溢出。接收泄露的地址计算libc基址。第二次getshellpayload2 padding pop_rdi_ret binsh_addr system_addr。踩坑记录在泄露地址时经常因为输出字符串末尾的换行符、空格或字符串截断问题导致接收到的地址不完整或错误。务必使用p.recvuntil(‘xxx’)和p.recvline()进行精确接收并用u64(p.recv(6).ljust(8, b’\x00’))这样的方式处理可能不足8字节的地址。另外返回main函数时栈空间可能被破坏需要重新计算偏移有时需要返回到_start或另一个初始化函数进行“栈重置”。5. 对抗高级保护Canary与PIE入门题的后期会引入更多安全机制增加漏洞利用的难度。5.1 栈溢出保护Stack CanaryCanary金丝雀是在栈上返回地址之前放置的一个随机值。函数返回前会检查这个值是否被改变若改变则立即终止程序防止返回地址被覆盖。绕过思路泄露Canary如果程序存在格式化字符串漏洞或一次读机会可以尝试泄露Canary的值。因为Canary通常位于buffer和返回地址之间通过溢出恰好覆盖到Canary之前的位置然后利用程序输出功能如printf将后面的内容包括Canary打印出来。在64位下Canary最低位通常是\x00空字节用于防止字符串函数将其意外输出在构造payload时需要保留这个\x00。爆破Canary在fork服务模式的题目中每次连接fork一个新进程由于子进程会继承父进程的内存空间Canary可能不变。可以逐字节爆破256种可能通过程序是否崩溃来判断是否正确。覆盖不触发如果漏洞不是溢出到返回地址而是其他控制流如函数指针则可能绕过Canary检查。利用格式化字符串泄露Canary示例 假设存在printf(buf)的格式化字符串漏洞且buf在栈上。payload b’%23$p’ # 通过调试确定Canary在格式化字符串中的参数位置假设是第23个参数 p.sendline(payload) p.recvuntil(‘0x’) canary int(p.recv(16), 16) # 接收16进制表示的Canary log.info(‘Canary: ‘ hex(canary))然后在构造溢出payload时在对应位置用泄露的Canary值原样填充就能“骗过”检查。5.2 地址随机化PIE/ASLRPIE位置无关可执行文件使得程序基址随机化ASLR使得库基址随机化。这导致代码段.text的地址也每次运行都不同我们之前硬编码的gadget地址失效了。绕过思路泄露代码段地址和泄露libc地址类似我们需要先泄露程序自身的一个地址。例如通过溢出或格式化字符串漏洞泄露出main函数或某个已知函数的返回地址它指向代码段然后根据偏移计算出当前的程序基址elf_base。leaked_main_addr u64(p.recv(6).ljust(8, b’\x00’)) elf_base leaked_main_addr - elf.symbols[‘main’] # elf是pwntools的ELF对象 pop_rdi_ret elf_base 0x7a3 # 原来的偏移是0x7a3利用未随机化的部分即使开启PIE程序的相对偏移是不变的。我们只需要泄露一个点就能计算出所有其他点的地址。部分覆盖在64位地址中由于ASLR随机化的是高位字节低位字节可能不变。如果目标地址与已知地址只在最后1-2字节不同可以尝试部分覆盖指针的低位将其“指向”我们想要的位置。这需要精确的堆布局知识在堆利用中更常见。6. 11道入门题典型关卡实战精讲下面我将选取几个有代表性的关卡类型进行实战化的精讲串联起上述技术点。6.1 关卡1纯栈溢出与ret2text题目特征32位程序无任何保护checksec显示全false有明显的gets溢出点程序中存在system(“/bin/sh”)或system(“/bin/cat flag”)的后门函数。解题步骤checksec ./pwn1确认无保护。objdump -d ./pwn1 | grep -A 20 vuln找到溢出函数计算缓冲区大小。objdump -d ./pwn1 | grep system和strings -t x ./pwn1 | grep /bin找到后门函数和参数地址。使用cyclic和GDB精确计算偏移。编写脚本构造padding system_addr fake_ret arg_addr的payload。运行脚本获取shell或直接输出flag。心得这是建立信心的一关。关键在于精确计算偏移并理解32位函数调用时参数在栈上的排列顺序。注意system调用后栈平衡问题如果程序直接退出可以用exit地址作为fake_ret或者直接让system的返回地址指向一个无害的地址如main。6.2 关卡464位ROP与libc地址泄露题目特征64位程序开启NX有溢出点提供libc.so文件或可通过网络查询确定版本。解题步骤检查保护checksec确认NX开启可能PIE关闭方便找gadget。静态分析找到溢出函数、puts/write等输出函数、main函数地址。用ROPgadget找pop rdi; ret等关键gadget。构造第一次payload泄露pop_rdi 0x4007a3 puts_plt elf.plt[‘puts’] puts_got elf.got[‘puts’] main_addr elf.symbols[‘main’] payload1 flat([ b’A’*offset, pop_rdi, puts_got, puts_plt, main_addr # 重新开始进行第二次溢出 ])发送payload1接收泄露的地址计算libc基址。p.recvuntil(‘\n’) # 接收可能存在的其他输出 leaked_puts u64(p.recv(6).ljust(8, b’\x00’)) libc_base leaked_puts - libc.symbols[‘puts’] system_addr libc_base libc.symbols[‘system’] binsh_addr libc_base next(libc.search(b’/bin/sh’))构造第二次payloadgetshell并发送。踩坑点接收泄露地址时由于puts输出字符串直到\x00结束而地址可能包含低位\x00导致接收不完整。务必使用recv(n)指定字节数或recvuntil(‘\x00’)等方式精准接收。另外返回main后栈状态可能与第一次不同需要重新确认偏移量。6.3 关卡8绕过Stack Canary题目特征checksec显示Canary found程序在溢出后有明显提示*** stack smashing detected ***。解题思路题目通常同时提供一个可以读和写的漏洞。例如先通过一个非溢出的读操作如scanf(“%s”, buf)但长度可控且足够大来泄露Canary再通过另一个溢出点如gets进行溢出并在对应位置填入正确的Canary值。关键步骤确定Canary在栈上的位置。可以通过调试在函数入口处查看$rbp-0x864位或$ebp-0xc32位附近的值或者用cyclic溢出观察程序崩溃时提示的Canary值有时会打印。利用程序的输出功能如printf一个数组来泄露这个位置的值。可能需要精确控制输出长度或利用格式化字符串。在最终的溢出payload中在buffer填充后、覆盖EBP/RBP前填入泄露的Canary值。后续覆盖返回地址等操作照常。示例Payload结构[填充至Canary前][正确的Canary值][填充旧的RBP][新的返回地址][...]高级技巧如果程序是fork-server模式Canary在每次连接时不变但无法直接泄露。可以尝试逐字节爆破。从最低位除了固定的\x00开始尝试256种可能如果程序没有崩溃而进入了正常流程或产生了不同输出则说明这一字节猜对了。这种方法耗时但有效通常需要编写自动化脚本。6.4 关卡11综合挑战 – PIE Canary 复杂ROP题目特征保护全开或大部分开启漏洞点可能不止一个需要组合利用多种技术。通用解题框架信息收集用checksec看保护用rabin2/objdump看函数和符号。寻找漏洞点如栈溢出、格式化字符串、堆漏洞入门题较少。地址泄露如果开PIE先利用漏洞如格式化字符串或栈溢出部分覆盖泄露一个代码段地址计算程序基址。如果开Canary利用漏洞泄露Canary。利用程序输出函数puts,write,printf泄露libc地址。注意泄露顺序有时一次payload可以泄露多个信息。计算关键地址根据泄露的信息计算出所有需要的地址elf_base,canary,libc_base进而得到system_addr,binsh_addr,pop_rdi_ret等gadget地址。构造最终ROP链在最终的溢出payload中正确填充Canary覆盖返回地址为第一个gadget随后在栈上布置好ROP链所需的各个地址和数据。发送并交互发送最终payload获取shell。思维挑战这类题目就像解一个多维谜题。你需要规划好有限的读/写机会可能第一次交互用于泄露A和B第二次利用A和B去获取C第三次才完成最终攻击。画一张信息流和攻击步骤图会非常有帮助。7. 高级技巧与实战资源推荐在掌握了这11道题的基础后你可以向更广阔的Pwn领域进发。7.1 格式化字符串漏洞利用这是另一种常见漏洞类型利用printf等函数中用户可控的格式字符串实现任意内存读泄露和任意内存写覆盖。关键点在于理解格式化字符串参数在栈上的位置以及%n格式化符可以写入已打印字符数的特性。利用姿势泄露%p,%x,%s配合地址可以泄露栈内容、libc地址、canary等。覆盖%n写入4字节、%hn写入2字节、%hhn写入1字节可以用于向任意地址写入数据常用于覆盖GOT表项将printfgot改为system地址或修改关键变量。7.2 堆漏洞入门UAF与Double Free当题目从栈转向堆难度会显著提升。堆利用关注的是malloc、free等动态内存管理机制。Use-After-Free (UAF)释放free一块内存后未将指针置空后续又继续使用该指针。Double Free对同一块内存进行两次free破坏堆管理器的数据结构。利用这些漏洞目标是实现“任意地址写”Write-What-Where从而覆盖函数指针或修改关键数据。学习堆利用需要深入理解glibc的ptmalloc2分配器如fastbinunsorted binsmall binlarge bin等结构。7.3 工具与资源推荐在线平台除了XCTF可以多去pwnable.krpwnable.twHackTheBoxTryHackMe等平台练习题目层次丰富。学习资料书籍《Hacking: The Art of Exploitation》经典入门《漏洞战争》《CTF竞赛权威指南Pwn篇》。博客/文章CTF Wikihttps://ctf-wiki.org/ 是百科全书式的存在。Azeria Labs的ARM汇编教程也很棒。视频课程国内外各大安全会议DEF CON, BlackHat的Pwn相关议题以及B站、YouTube上许多安全up主的实战讲解。社区加入相关的安全社群如看雪论坛、安全客、Reddit的/r/netsec多交流多看别人的Writeup解题报告。看懂之后自己动手复现一遍是进步最快的方法。Pwn的学习曲线陡峭但回报丰厚。它不仅能让你在CTF赛中披荆斩棘更能让你深刻理解计算机系统底层的工作原理和安全机制的局限性。从这11道入门题开始保持耐心勤于动手调试善于总结和举一反三你一定会逐渐掌握这项充满魅力的技能。记住每一个崩溃的segmentation fault背后都藏着通往系统核心的钥匙。
CTF Pwn实战入门：栈溢出原理与ROP链构造详解
发布时间：2026/7/8 16:24:11
1. 项目概述从零到一的Pwn实战入门路径如果你刚接触CTFCapture The Flag安全竞赛或者对二进制安全、漏洞利用Pwn感到好奇那么“XCTF-Pwn实战11道入门题漏洞利用与ROP链构造详解”这个标题很可能就是你正在寻找的“从入门到上手”的实战指南。Pwn这个源自“own”的俚语在安全圈特指通过利用程序漏洞来获取系统控制权。它不像Web安全那样有直观的界面也不像逆向工程那样专注于静态分析Pwn要求你深入程序的运行时内存与CPU指令、寄存器、栈和堆这些底层机制打交道过程充满了挑战但一旦成功那种“掌控一切”的成就感是无与伦比的。这11道入门题绝非简单的“Hello World”。它们精心设计覆盖了从最经典的栈缓冲区溢出到逐步引入安全缓解机制如NX、Canary、ASLR的完整学习曲线。其核心目标是引导你亲手实践如何将一块看似无害的“数据输入”转化为能够劫持程序执行流的“武器”并最终构造出复杂的ROPReturn-Oriented Programming链在重重限制下达成任意代码执行。这个过程就像学习一套精妙的“组合拳”先学会直拳覆盖返回地址再学会勾拳跳转到已有函数最后掌握一套连招用程序自身的代码片段“拼凑”出攻击逻辑。对于新手而言最大的障碍往往不是漏洞原理本身而是如何将书本上的理论转化为可操作的、能看见效果的攻击过程。这套题目正是为此而生。它不空谈理论而是要求你打开调试器如GDB with pwndbg一边观察内存变化一边编写利用脚本通常用Python的pwntools库。你会亲眼看到当你输入一长串特定的字符后程序的EIP/RIP指令指针如何被你“掰”向另一个地址你会亲手计算出需要多少字节的填充才能恰好覆盖到关键的栈帧结构。这种“动手-观察-修正”的循环是掌握Pwn技能最快的方式。接下来我将以这11道题为蓝本结合我多年打CTF和从事安全研究的经验为你拆解其中的核心关卡、技术要点和那些容易被忽略的“坑”。我们不仅会复现解题步骤更会深入探讨每一步背后的“为什么”并分享只有踩过坑才能获得的实战心得。无论你是计算机专业的学生还是希望拓宽技能栈的安全爱好者这篇详解都将为你铺平Pwn入门的道路。2. 环境搭建与工具链配置你的“武器库”工欲善其事必先利其器。在开始“砸”二进制文件之前一个顺手的调试和分析环境至关重要。与Web测试不同Pwn的环境需要更贴近底层且经常涉及32位与64位架构、动态链接库等问题。2.1 基础系统与工具选型我强烈推荐使用Linux作为主攻环境Ubuntu 20.04/22.04 LTS 是社区最主流的选择软件包丰富且兼容性好。在虚拟机如VMware或VirtualBox中安装一个纯净的系统是个好主意方便随时快照恢复。核心工具“三件套”pwntoolsPython库Pwn手的“瑞士军刀”。它封装了本地/远程交互、汇编/反汇编、ELF文件解析、ROP链构建等大量功能能极大提升写利用脚本Exploit的效率。GDB with pwndbg/gef原版GDB功能强大但不够友好。pwndbg或gef是它的增强插件提供了直观的上下文信息显示、内存查看、ROP gadget搜索等功能是动态调试的不二之选。checksec通常随pwntools或单独安装。用于快速检查目标二进制文件开启了哪些安全保护机制如NX栈不可执行、Canary栈保护、PIE地址随机化等让你对挑战难度有个快速评估。安装命令示例# 安装pwntools (建议使用python3虚拟环境) pip3 install --upgrade pwntools # 安装pwndbg推荐 cd ~/ git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh # 安装checksec通常pwntools已包含 # 也可以使用系统包管理器安装 sudo apt install checksec注意不同Linux发行版的库文件路径和版本可能有差异这可能导致你在本地运行成功的利用脚本在远程靶机上却失效。一个常见的“坑”是libc版本。解决方法是在靶机环境或使用Docker镜像中测试或者使用pwnlib的DynELF等功能进行动态解析。2.2 调试技巧与效率提升配置好工具只是第一步高效使用它们才是关键。GDB调试流程标准化面对一个新二进制文件我习惯先checksec看保护再用file命令看架构然后用gdb ./pwnme加载。在pwndbg中starti命令可以在程序真正执行第一条指令前停下方便观察初始状态。设置断点b *main后使用cyclic工具生成一段不重复的字符串进行溢出测试再通过cyclic -l [崩溃时EIP的值]快速计算出溢出偏移量这个技巧在入门题中屡试不爽。脚本化交互永远不要依赖手动输入进行漏洞利用测试。使用pwntools的process()和sendline()进行本地交互用remote()连接远程靶机。将攻击过程全部写在Python脚本里方便反复修改和调试。信息收集在动调试器之前先用rabin2 -I ./pwnmerizin工具套件或readelf -a查看程序头信息、符号表。用objdump -d反汇编查看关键函数如mainvuln函数。用strings找找有没有隐藏的/bin/sh字符串或有用的提示信息。这些静态分析往往能提供最初的突破口。3. 栈溢出基础ret2text与ret2shellcode这11道题的前几关几乎都是从最经典的栈缓冲区溢出开始的。这是所有Pwn技术的基石必须彻底吃透。3.1 漏洞原理与栈帧布局想象一下程序运行时调用函数会在栈上分配一块内存栈帧来存放局部变量、返回地址等。如果有一个不检查输入长度的函数如getsscanf(“%s”)strcpy向一个固定大小的局部字符数组缓冲区里拼命写数据多出来的数据就会“溢出”覆盖掉栈帧上更高地址的内容其中最危险的就是覆盖了函数返回地址。以32位程序为例一个典型的脆弱函数void vuln()的栈帧可能简化如下地址从高到低增长高地址 ------------------ | 调用者栈帧... | ------------------ | 返回地址 (EIP) | - 被覆盖后程序将跳转到我们控制的地址 ------------------ | 旧的基址指针(EBP) | - 也可能被覆盖 ------------------ | 局部变量 buffer[64] | - 输入从这里开始填充 低地址当我们输入超过64字节的数据多出的部分就会依次覆盖EBP和返回地址。程序在vuln函数执行完ret指令时会从栈顶弹出这个被我们覆盖的地址并跳转过去执行。这就是劫持控制流。3.2 ret2text利用程序自身的代码“ret2text”中的“text”指的是程序的代码段.text段。这是最简单直接的利用方式把返回地址覆盖成程序里一个现成的、对我们有利的函数的地址。典型场景题目给了system函数并且在代码里还有一个/bin/sh字符串。信息收集用objdump -d ./pwnme | grep system找到system函数的地址比如0x8048430。用strings -t x ./pwnme | grep /bin/sh找到字符串地址比如0x804a024。计算偏移用cyclic模式字符串溢出在GDB中崩溃时查看EIP值假设为0x6161616c‘laaa’用cyclic -l 0x6161616c算出偏移是108。这意味着我们需要108字节垃圾数据填充buffer和EBP从第109字节开始覆盖返回地址。构造Payloadfrom pwn import * context(archi386, oslinux) # 设置上下文为32位Linux p process(./pwnme) offset 108 system_addr 0x8048430 binsh_addr 0x804a024 payload bA * offset p32(system_addr) p32(0xdeadbeef) p32(binsh_addr) p.sendline(payload) p.interactive()关键解释p32()用于将整数打包成32位小端序字节串。在system_addr之后我们还需要一个“假的返回地址”这里用0xdeadbeef填充因为system函数被调用后也会ret我们需要控制这个ret之后的行为在简单getshell题中可忽略。然后是system函数的参数即/bin/sh的地址。实操心得在32位程序中函数参数是通过栈传递的。调用约定是call system之后栈顶ESP指向的位置应该是返回地址再往下ESP4才是第一个参数。所以我们的payload结构是[填充][system地址][system的返回地址][参数1]。64位程序则不同优先使用寄存器RDI, RSI, RDX...传参这为后续ROP埋下了伏笔。3.3 ret2shellcode注入并执行自己的代码当程序没有现成的system(“/bin/sh”)时我们可以自己注入一段机器码shellcode来打开shell。这要求栈必须是可执行的即NX保护未开启。确认栈可执行checksec显示NX disabled。编写/获取shellcodepwntools提供了方便的shellcraft模块来生成。例如shellcraft.sh()生成一个execve(‘/bin/sh’)的shellcode。确定shellcode地址我们需要知道输入的buffer的起始地址将返回地址覆盖为此地址。这个地址在每次运行时可能因ASLR而变化但在简单的入门题中ASLR常被关闭或者可以通过调试器直接获取静态地址如0xffffd500。构造Payloadpayload shellcode padding address_of_shellcode。这里有个技巧为了增加命中率可以在shellcode前加一大段NOP指令\x90形成“NOP雪橇”只要返回地址落到这片NOP区就会滑行到shellcode执行。from pwn import * context(archi386, oslinux) p process(./pwnme) offset 108 buf_addr 0xffffd500 # 通过调试获得 shellcode asm(shellcraft.sh()) payload b\x90 * 64 shellcode # NOP雪橇 shellcode payload payload.ljust(offset, bA) # 填充至偏移处 payload p32(buf_addr) # 覆盖返回地址为buffer地址通常指向NOP区 p.sendline(payload) p.interactive()注意事项现代操作系统默认开启NXNo-eXecute保护将栈和堆标记为不可执行使得ret2shellcode这种直接注入代码的方式在真实场景和稍难的题目中几乎失效。这迫使攻击者转向更高级的技术——ROP。4. 绕过NXROP链构造的艺术当栈不可执行NX enabled时我们无法注入并执行自己的代码。ROP面向返回的编程技术应运而生。其核心思想是利用程序中已有的、以ret指令结尾的短指令序列gadget通过精心编排这些gadget的执行顺序来达成复杂的攻击逻辑如同用乐高积木拼出想要的形状。4.1 ROP的核心概念与 gadget 寻找一个gadget通常形如pop edi; ret这条指令序列存在于程序的代码段.text或链接库如libc中。它做了两件事从栈顶弹出一个值到edi寄存器然后再次ret继续从栈顶弹出下一个地址去执行。通过控制栈上的数据我们就间接控制了寄存器的值和程序流。寻找gadget的工具ROPgadget --binary ./pwnme最常用的工具能列出所有可用的gadget。ropper另一个功能强大的工具。pwntools的ROP模块可以自动查找和构建ROP链。一个最简单的ROP链目标在64位系统下调用system(“/bin/sh”)。64位调用约定要求第一个参数放在rdi寄存器。所以我们需要一个pop rdi; ret的gadget用于将/bin/sh字符串的地址装入rdi。system函数的地址。4.2 实战构造64位ROP链获取shell假设通过信息泄露我们已经知道了system函数和字符串/bin/sh在内存中的地址如何泄露是下一个重点。现在我们有pop_rdi_ret地址0x4007a3binsh_addr地址0x601048system_addr地址0x7ffff7e1a290构造ROP链的思维过程如下程序原返回地址被我们覆盖为第一个gadget地址pop_rdi_ret。当原函数ret时跳转到0x4007a3执行pop rdi; ret。此时栈顶RSP指向的位置应该是我们预先布置好的下一个数据binsh_addr。pop rdi指令会将其弹出到rdi寄存器。pop rdi执行完执行ret。此时栈顶又变成了我们布置的下一个地址system_addr。于是ret指令跳转到system函数。system函数开始执行时发现rdi寄存器里已经是/bin/sh的地址符合调用约定于是成功执行system(“/bin/sh”)。用pwntools实现from pwn import * context(archamd64, oslinux) p process(./pwnme) offset 104 # 假设64位程序偏移为104 pop_rdi_ret 0x4007a3 binsh_addr 0x601048 system_addr 0x7ffff7e1a290 payload bA * offset payload p64(pop_rdi_ret) payload p64(binsh_addr) payload p64(system_addr) p.sendline(payload) p.interactive()这就是一个最基础的、只有两个节点的ROP链。复杂的攻击可能需要串联多个gadget来设置多个参数甚至进行算术运算。4.3 通用ROP链与libc地址泄露在真实的Pwn题中程序通常使用动态链接库libc并且开启了ASLR地址空间布局随机化。这意味着system和/bin/sh的绝对地址每次运行都不同。但它们在相对于libc基址的偏移是固定的。因此攻击思路变为泄露libc中某个函数的地址比如泄露puts函数在内存中的实际地址。计算libc基址libc_base leaked_puts_addr - libc.symbols[‘puts’]。这里需要知道目标服务器使用的libc版本我们可以通过题目提供的libc文件或者通过泄露的多个函数地址在数据库中匹配如https://libc.blukat.me/来确定。计算目标地址system_addr libc_base libc.symbols[‘system’]binsh_addr libc_base next(libc.search(b’/bin/sh’))。构造最终的ROP链进行攻击。泄露地址的常用方法利用程序本身可以输出数据的函数如putswriteprintf。我们通过ROP链调用puts(putsgot)打印出puts函数在全局偏移表GOT中的地址这个地址就是运行时地址。GOT表存储了动态链接函数的真实地址。两次攻击的Payload结构第一次泄露payload1 padding pop_rdi_ret puts_got puts_plt main_addr。目的是调用puts输出puts的真实地址然后返回到main函数让程序可以再次被溢出。接收泄露的地址计算libc基址。第二次getshellpayload2 padding pop_rdi_ret binsh_addr system_addr。踩坑记录在泄露地址时经常因为输出字符串末尾的换行符、空格或字符串截断问题导致接收到的地址不完整或错误。务必使用p.recvuntil(‘xxx’)和p.recvline()进行精确接收并用u64(p.recv(6).ljust(8, b’\x00’))这样的方式处理可能不足8字节的地址。另外返回main函数时栈空间可能被破坏需要重新计算偏移有时需要返回到_start或另一个初始化函数进行“栈重置”。5. 对抗高级保护Canary与PIE入门题的后期会引入更多安全机制增加漏洞利用的难度。5.1 栈溢出保护Stack CanaryCanary金丝雀是在栈上返回地址之前放置的一个随机值。函数返回前会检查这个值是否被改变若改变则立即终止程序防止返回地址被覆盖。绕过思路泄露Canary如果程序存在格式化字符串漏洞或一次读机会可以尝试泄露Canary的值。因为Canary通常位于buffer和返回地址之间通过溢出恰好覆盖到Canary之前的位置然后利用程序输出功能如printf将后面的内容包括Canary打印出来。在64位下Canary最低位通常是\x00空字节用于防止字符串函数将其意外输出在构造payload时需要保留这个\x00。爆破Canary在fork服务模式的题目中每次连接fork一个新进程由于子进程会继承父进程的内存空间Canary可能不变。可以逐字节爆破256种可能通过程序是否崩溃来判断是否正确。覆盖不触发如果漏洞不是溢出到返回地址而是其他控制流如函数指针则可能绕过Canary检查。利用格式化字符串泄露Canary示例 假设存在printf(buf)的格式化字符串漏洞且buf在栈上。payload b’%23$p’ # 通过调试确定Canary在格式化字符串中的参数位置假设是第23个参数 p.sendline(payload) p.recvuntil(‘0x’) canary int(p.recv(16), 16) # 接收16进制表示的Canary log.info(‘Canary: ‘ hex(canary))然后在构造溢出payload时在对应位置用泄露的Canary值原样填充就能“骗过”检查。5.2 地址随机化PIE/ASLRPIE位置无关可执行文件使得程序基址随机化ASLR使得库基址随机化。这导致代码段.text的地址也每次运行都不同我们之前硬编码的gadget地址失效了。绕过思路泄露代码段地址和泄露libc地址类似我们需要先泄露程序自身的一个地址。例如通过溢出或格式化字符串漏洞泄露出main函数或某个已知函数的返回地址它指向代码段然后根据偏移计算出当前的程序基址elf_base。leaked_main_addr u64(p.recv(6).ljust(8, b’\x00’)) elf_base leaked_main_addr - elf.symbols[‘main’] # elf是pwntools的ELF对象 pop_rdi_ret elf_base 0x7a3 # 原来的偏移是0x7a3利用未随机化的部分即使开启PIE程序的相对偏移是不变的。我们只需要泄露一个点就能计算出所有其他点的地址。部分覆盖在64位地址中由于ASLR随机化的是高位字节低位字节可能不变。如果目标地址与已知地址只在最后1-2字节不同可以尝试部分覆盖指针的低位将其“指向”我们想要的位置。这需要精确的堆布局知识在堆利用中更常见。6. 11道入门题典型关卡实战精讲下面我将选取几个有代表性的关卡类型进行实战化的精讲串联起上述技术点。6.1 关卡1纯栈溢出与ret2text题目特征32位程序无任何保护checksec显示全false有明显的gets溢出点程序中存在system(“/bin/sh”)或system(“/bin/cat flag”)的后门函数。解题步骤checksec ./pwn1确认无保护。objdump -d ./pwn1 | grep -A 20 vuln找到溢出函数计算缓冲区大小。objdump -d ./pwn1 | grep system和strings -t x ./pwn1 | grep /bin找到后门函数和参数地址。使用cyclic和GDB精确计算偏移。编写脚本构造padding system_addr fake_ret arg_addr的payload。运行脚本获取shell或直接输出flag。心得这是建立信心的一关。关键在于精确计算偏移并理解32位函数调用时参数在栈上的排列顺序。注意system调用后栈平衡问题如果程序直接退出可以用exit地址作为fake_ret或者直接让system的返回地址指向一个无害的地址如main。6.2 关卡464位ROP与libc地址泄露题目特征64位程序开启NX有溢出点提供libc.so文件或可通过网络查询确定版本。解题步骤检查保护checksec确认NX开启可能PIE关闭方便找gadget。静态分析找到溢出函数、puts/write等输出函数、main函数地址。用ROPgadget找pop rdi; ret等关键gadget。构造第一次payload泄露pop_rdi 0x4007a3 puts_plt elf.plt[‘puts’] puts_got elf.got[‘puts’] main_addr elf.symbols[‘main’] payload1 flat([ b’A’*offset, pop_rdi, puts_got, puts_plt, main_addr # 重新开始进行第二次溢出 ])发送payload1接收泄露的地址计算libc基址。p.recvuntil(‘\n’) # 接收可能存在的其他输出 leaked_puts u64(p.recv(6).ljust(8, b’\x00’)) libc_base leaked_puts - libc.symbols[‘puts’] system_addr libc_base libc.symbols[‘system’] binsh_addr libc_base next(libc.search(b’/bin/sh’))构造第二次payloadgetshell并发送。踩坑点接收泄露地址时由于puts输出字符串直到\x00结束而地址可能包含低位\x00导致接收不完整。务必使用recv(n)指定字节数或recvuntil(‘\x00’)等方式精准接收。另外返回main后栈状态可能与第一次不同需要重新确认偏移量。6.3 关卡8绕过Stack Canary题目特征checksec显示Canary found程序在溢出后有明显提示*** stack smashing detected ***。解题思路题目通常同时提供一个可以读和写的漏洞。例如先通过一个非溢出的读操作如scanf(“%s”, buf)但长度可控且足够大来泄露Canary再通过另一个溢出点如gets进行溢出并在对应位置填入正确的Canary值。关键步骤确定Canary在栈上的位置。可以通过调试在函数入口处查看$rbp-0x864位或$ebp-0xc32位附近的值或者用cyclic溢出观察程序崩溃时提示的Canary值有时会打印。利用程序的输出功能如printf一个数组来泄露这个位置的值。可能需要精确控制输出长度或利用格式化字符串。在最终的溢出payload中在buffer填充后、覆盖EBP/RBP前填入泄露的Canary值。后续覆盖返回地址等操作照常。示例Payload结构[填充至Canary前][正确的Canary值][填充旧的RBP][新的返回地址][...]高级技巧如果程序是fork-server模式Canary在每次连接时不变但无法直接泄露。可以尝试逐字节爆破。从最低位除了固定的\x00开始尝试256种可能如果程序没有崩溃而进入了正常流程或产生了不同输出则说明这一字节猜对了。这种方法耗时但有效通常需要编写自动化脚本。6.4 关卡11综合挑战 – PIE Canary 复杂ROP题目特征保护全开或大部分开启漏洞点可能不止一个需要组合利用多种技术。通用解题框架信息收集用checksec看保护用rabin2/objdump看函数和符号。寻找漏洞点如栈溢出、格式化字符串、堆漏洞入门题较少。地址泄露如果开PIE先利用漏洞如格式化字符串或栈溢出部分覆盖泄露一个代码段地址计算程序基址。如果开Canary利用漏洞泄露Canary。利用程序输出函数puts,write,printf泄露libc地址。注意泄露顺序有时一次payload可以泄露多个信息。计算关键地址根据泄露的信息计算出所有需要的地址elf_base,canary,libc_base进而得到system_addr,binsh_addr,pop_rdi_ret等gadget地址。构造最终ROP链在最终的溢出payload中正确填充Canary覆盖返回地址为第一个gadget随后在栈上布置好ROP链所需的各个地址和数据。发送并交互发送最终payload获取shell。思维挑战这类题目就像解一个多维谜题。你需要规划好有限的读/写机会可能第一次交互用于泄露A和B第二次利用A和B去获取C第三次才完成最终攻击。画一张信息流和攻击步骤图会非常有帮助。7. 高级技巧与实战资源推荐在掌握了这11道题的基础后你可以向更广阔的Pwn领域进发。7.1 格式化字符串漏洞利用这是另一种常见漏洞类型利用printf等函数中用户可控的格式字符串实现任意内存读泄露和任意内存写覆盖。关键点在于理解格式化字符串参数在栈上的位置以及%n格式化符可以写入已打印字符数的特性。利用姿势泄露%p,%x,%s配合地址可以泄露栈内容、libc地址、canary等。覆盖%n写入4字节、%hn写入2字节、%hhn写入1字节可以用于向任意地址写入数据常用于覆盖GOT表项将printfgot改为system地址或修改关键变量。7.2 堆漏洞入门UAF与Double Free当题目从栈转向堆难度会显著提升。堆利用关注的是malloc、free等动态内存管理机制。Use-After-Free (UAF)释放free一块内存后未将指针置空后续又继续使用该指针。Double Free对同一块内存进行两次free破坏堆管理器的数据结构。利用这些漏洞目标是实现“任意地址写”Write-What-Where从而覆盖函数指针或修改关键数据。学习堆利用需要深入理解glibc的ptmalloc2分配器如fastbinunsorted binsmall binlarge bin等结构。7.3 工具与资源推荐在线平台除了XCTF可以多去pwnable.krpwnable.twHackTheBoxTryHackMe等平台练习题目层次丰富。学习资料书籍《Hacking: The Art of Exploitation》经典入门《漏洞战争》《CTF竞赛权威指南Pwn篇》。博客/文章CTF Wikihttps://ctf-wiki.org/ 是百科全书式的存在。Azeria Labs的ARM汇编教程也很棒。视频课程国内外各大安全会议DEF CON, BlackHat的Pwn相关议题以及B站、YouTube上许多安全up主的实战讲解。社区加入相关的安全社群如看雪论坛、安全客、Reddit的/r/netsec多交流多看别人的Writeup解题报告。看懂之后自己动手复现一遍是进步最快的方法。Pwn的学习曲线陡峭但回报丰厚。它不仅能让你在CTF赛中披荆斩棘更能让你深刻理解计算机系统底层的工作原理和安全机制的局限性。从这11道入门题开始保持耐心勤于动手调试善于总结和举一反三你一定会逐渐掌握这项充满魅力的技能。记住每一个崩溃的segmentation fault背后都藏着通往系统核心的钥匙。
