---
# System prepended metadata

title: 108第三次社課
tags: ['1081']

---

108第三次社課
===
###### tags: `1081`

:::success
簽到:
B073040047 楊志璿
B063012054 林祐安
B062040025 黃宇豪
B083040037 黃琮閔
B083040036 蔡明霖
B073040032 涂哲誠
B083040021 嚴宇同
B073040039 吳秉勳
B083040045 李亦晴
B083040044 沈育齊
B083011026 蘇彥龍
B083011023 陳又𩑹
B073040050 翁昌閔
B073040030 林秉承
B073040037 王昇鴻
B073040023 花千祐
B083011002 蔡泳霈
B083040004 艾保丞
B063040010 林宏儒
B073040022 張浩綸
B063040013 李洳瑄
B073040062 南政佑
B063040046 徐彥庭
B083040001 陳宥景
B083040014 陳昱維
B073040031 葉星佑
B063040059 陳縵欣
B073022002 蔡東霖
B063012015 賴亭諭
B064011007 徐筱媛
B063040016 陳垣菘
I083010013 陈金羽
B063040015 呂昇峰
B063040004 劉翔誠
B083040050 陳柏穎
M083140014 黃晏林
M083140008 黃警鋒
M083140006 莫閔勛
M083140001 張郢展
M083140005 曾煜鈞
:::

slide: https://docs.google.com/presentation/d/1UhU3tgzdzmtcAZh3cVkF-RuSRnLa_7CH3xHp5nv-XmI/edit?usp=sharing


---
[Macaca CTF](https://ctf.macaca.cool)

macaca.cool port:30XX
帳號: user
密碼: Is_l4b_pw

---


## objdump
用這個可以看到 vuln 的組合語言
```
objdump -d -M intel ~/labs/abc/vuln | less
```

鍵盤打
```
/main
```
可以看到 main 的組合語言

在 0x8048421 可以看到 push ebp
就是保存上一個 ebp 的位置(註: \_start() )
然後 main 就是從這裡開始


little endian
"ABC" = 0x434241

main 在 call sum 的時候:
```
 804843c:       ff 75 f8                push   DWORD PTR [ebp-0x8]
 804843f:       ff 75 fc                push   DWORD PTR [ebp-0x4]
 8048442:       e8 c4 ff ff ff          call   804840b <sum>
```
可以看到 push 了兩個參數進去

然後往上看，可以看到 sum function 在 0x804840b
把 ebp-8 移動到 edx
把 ebp-4 移動到 eax
這樣 sum function 就可以吃到 main 傳過來的參數了

離開是按 q ，就可以離開了。


## GDB
接著輪到 gdb

```
gdb ~/labs/abc/vuln
```
輸入 b main 設定中斷點在 main 上
```
b main
```
接著輸入 r 執行(run)
```
r
```

單行執行
```
ni
```
gdb 會顯示當前許多重要資訊

```
[----------------------------------registers-----------------------------------]
EAX: 0xf7f2b808 --> 0xffe9e82c --> 0xffea0848 ("SHELL=/bin/bash")
EBX: 0x0
ECX: 0x84680548
EDX: 0xffe9e7b4 --> 0x0
ESI: 0xf7f29000 --> 0x1e5d6c
EDI: 0xf7f29000 --> 0x1e5d6c
EBP: 0xffe9e788 --> 0x0
ESP: 0xffe9e778 --> 0x8048479 (<__libc_csu_init+9>:     add    ebx,0x1b87)
EIP: 0x8048435 (<main+20>:      mov    DWORD PTR [ebp-0x10],0x434241)
EFLAGS: 0x286 (carry PARITY adjust zero SIGN trap INTERRUPT direction overflow)
[-------------------------------------code-------------------------------------]
   0x8048424 <main+3>:  sub    esp,0x10
   0x8048427 <main+6>:  mov    DWORD PTR [ebp-0x4],0x10
   0x804842e <main+13>: mov    DWORD PTR [ebp-0x8],0x20
=> 0x8048435 <main+20>: mov    DWORD PTR [ebp-0x10],0x434241
   0x804843c <main+27>: push   DWORD PTR [ebp-0x8]
   0x804843f <main+30>: push   DWORD PTR [ebp-0x4]
   0x8048442 <main+33>: call   0x804840b <sum>
   0x8048447 <main+38>: add    esp,0x8
[------------------------------------stack-------------------------------------]
0000| 0xffe9e778 --> 0x8048479 (<__libc_csu_init+9>:    add    ebx,0x1b87)
0004| 0xffe9e77c --> 0x0
0008| 0xffe9e780 --> 0x20 (' ')
0012| 0xffe9e784 --> 0x10
0016| 0xffe9e788 --> 0x0
0020| 0xffe9e78c --> 0xf7d61fb9 (<__libc_start_main+249>:       add    esp,0x10)
0024| 0xffe9e790 --> 0x1
0028| 0xffe9e794 --> 0xffe9e824 --> 0xffea082f ("/home/user/labs/abc/vuln")
[------------------------------------------------------------------------------]
Legend: code, data, rodata, value
0x08048435 in main ()
gdb-peda$
```

單步執行
```
ni
```
跟 si 的差異是 nexti 遇到要 call 另外一個 function ，那麼它會直接執行到該 function 結束，也就是說 nexti 不會暫停在其它的 function。

display assemble 列印出組語程式碼
```
disass 
```
可以看組語

leave = mov esp, ebp; pop ebp;
ret = pop eip

看 main assembly code
```
disass main
```

看到 const char*
```
$ x/s 0xffe540d8
> 0xffe540d8:     "ABC"
```

---
## execute

```
ls -l
./vuln
cat flag.txt
```

離開 shell
```
exit
```

---
## address
```
objdump -d -M intel ~/labs/address/vuln | less
/main
```
比較 source code 
```
cat vuln.c
```
沒有關到 canary，先略過(這題是正常的，只是剛好被改寫QQ)

canary 參考資料：https://szlin.me/2017/12/09/stack-buffer-overflow-stack-canaries/

---
## endian

```
echo -e "\x41"
>A
echo -e "\xef"
>????不可視字元
```

echo -e 






---

ssh連線工具: putty
https://www.putty.org/

install this: https://the.earth.li/~sgtatham/putty/latest/w64/putty-64bit-0.73-installer.msi

---
## 頁尾意見區
有沒有好的自學網站QQ
>[name=楊志璿][pwnable.kr](https://pwnable.kr) (?)
>或是說 picoctf.com

>[name=吃瓜眾]如果是關於GDB的部分，可以google有蠻多資源。
>像是[如何使用-GDB-Debug](https://www.puritys.me/docs-blog/article-329-如何使用-GDB-Debug.html)

>[name=吃瓜眾] 若題目有提供source code可以先看看程式是如何執行的:)
>

>[name=講師] 抱歉~今天環境目錄權限沒關好，導致有些題目被修改而開保護，無法解題QQ
>>[name=蘇彥龍] 請問影響哪些題目呢？impossible可以解嗎？XD
>>[name=講師] 全部都正常，除非被修改，而impossible真的impossible了QQ (已從ctfd移除)
>>[name=蘇彥龍] 所以，因此才出現``` 'flag.txt' missing in the current directory!```嗎？XD
>>[name=講師]嘿呀，設計有誤，jump過去也沒權限讀
>>[name=蘇彥龍] 原來如此，害我花那麼多時間在想這怎麼回事XD
>>[name=講師]sorrr,耽誤到你時間＞＜
>>[name=蘇彥龍] 沒關係啦~ 話說，你輸入法是不是開到轉成簡體的模式？
>>[name=講師] debian10太新，gcin還沒跟上，只有破破輸入法
>>[name=蘇彥龍] 有注音卻預設簡體？真奇怪
>>[name=講師]剛又翻了下，確定没有繁體的...(已放棄治療
>>[name=蘇彥龍] XDD

vuln擁有者為ctf:[題目名稱]代表正常
```shell
-r--r----- 1 ctf address   27 Oct 23 11:31 flag.txt
-rwxr-sr-x 1 ctf address 7592 Oct 24 09:30 vuln
-rw-rw-r-- 1 ctf address  805 Oct 24 08:00 vuln.c
```
vuln擁有者為user:user代表被修改過，可能無解（建議換一台）
```shell
-r--r----- 1 ctf  address   27 Oct 23 11:31 flag.txt
-rwxrwxr-x 1 user user    7592 Oct 24 09:30 vuln
-rw-rw-r-- 1 ctf  address  805 Oct 24 08:00 vuln.c
```
路人路過，補充幾個學習資源(不符合格式再麻煩管理員刪除Orz):
* wargame:
    * [pwnable.tw](https://pwnable.tw)
        * hitcon 成員架的解題網站
        * 很像平常 ctf 比賽的模式
        * 偏難，練到一定程度可以去玩玩看

* 學習:
    * [angelboy-slide](https://www.slideshare.net/AngelBoy1?utm_campaign=profiletracking&utm_medium=sssite&utm_source=ssslideview)
        * hitcon pwn 主力選手，[人物介紹](https://ithelp.ithome.com.tw/articles/10226236)
        * 教材很經典
        * 初學看 linunx binary exploitation 和 execution 就好，其他可以先略過
        * 可以配合 angelboy 的 [lab](https://github.com/scwuaptx/HITCON-Training) 自己練習
    * [ctf-wiki](https://ctf-wiki.github.io/ctf-wiki/)

