捅了天枢一晚上屁股也没捅到（ 太久没打ctf了，手感冰凉，思路混乱（ 正赛？问就是太难了不会做（ Digging into Kernel 3 一个任意size的uaf，不限制uaf的次数，并且没有打开slab_freelist_hardened 既然没有打开slab_freelist_hardened，那么double_free的任意地址写就是可行…

ezshellcode 灵感来源 在鹏城杯题目ezthree中，shellcode关闭了所有的文件描述符 并且由于chroot的存在，无法再通过/dev打开这些标准输入输出，因此很多常规的shellcode都不再适用 一旦close(1)，pwntools交互会直接进入EOF，尽管TCP链接实际上并没有断开，因此盲注也同样无法使用 最后想出的方法是…

不得不说，icq的比赛🍉就是多 Gift 2.31的UAF，没有edit功能 通过bargain还价修改fd，伪造一条tcache的链来做到任意地址分配 注意到还的价格可以为负数，这样就可以避免0x10的限制而是将fd指针指向自身chunk内 from pwn import* r=remote("123.56.45.214",44298) #r=p…

有一位先哲曾经说过：“看了题，感觉不如去hvv。” house of cat 实际上就是house of apple，链接：https://bbs.pediy.com/thread-273832.htm 有两次largebin_attack的机会，两次0x30大小的edit机会 一次用来修改stderr，一次用来修改main_arena中的top_…

睡前第一的，半夜被人偷偷上分，早上起来就掉到第三了 拿了两个一血，还行 one 经典close 1的格式化字符串 修改printf的返回值到_start让_IO_2_1_stdout_指针残留在栈上 修改fileno为2重新获得输出，然后常规orw from pwn import* import random r=remote("192.168.1…

mykvm 实现了一个最基础功能kvm虚拟机 没有配置页表，因此vcpu运行在real mode下 设置code_size为0x1000，可以将栈上大量存留指针memcpy进虚拟机内存中，来实现泄漏libc 内存空间从0x603000开始，而注意到在0x60A000处存在一个dest指针指向堆 该指针在虚拟机hlt后会接受一个memcpy，因此考虑…

Duck 2.34的uaf，简单粗暴，通俗易懂 from pwn import* r=remote("192.168.166.196",58013) #r=process('./main') context.log_level='debug' libc=ELF("./libc.so.6") def new(): r.recvuntil(": ") …

比赛结果 居然是0解，但是果然是0解…… 本题改编自CVE-2022-0185，参考链接：https://kagehutatsu.com/?p=526   出题前置 由于Linux Kernel在5.11之后禁止了unprivileged uffd，因此传统意义上的基于struct msg_msg的劫持方法不再适用 因此，即使是在CVE-…

感谢各位大师傅们捧场 题目被各位师傅们快打烂了 希望师傅们玩的开心 login 简单的栈迁移 控制rbp后调用main函数中的read向bss段上写入ROP 调用完毕后调用leave完成栈迁移 from pwn import* #r=remote("129.211.173.64",10005) r=process('./main') context…

string_go 简单栈溢出 from pwn import* #r=remote("82.157.20.104",29800) r=process('./main') context.log_level='debug' libc=ELF("./libc-2.27.so") def write(content): r.recvuntil(">…