PWN笔记

Posted on 2022-02-17 Edited on 2022-08-26

历史遗留，不荐参考

一些操作

# 1 --------------------查看库的帮助
  $ python3
>>> import pwn
>>> dir(pwn)
>>> help(pwn.process)

# 2 --------------------
$ gcc stack.c -fno -stack -protector -no -pie -o stack
$ ldd <二进制文件>       #查看二进制文件所依赖的动态链接库文件
$ strace ./<二进制文件>  #查看程序执行时的所有系统调用
$ ltrace ./<二进制文件>  #查看调用过程中出现的libc函数

# 3 --------------------
pwndbg> bt              #查看函数调用栈
pwndbg> x /20gx <地址>
pwndbg> x /20i  <地址>
pwndbg> x /20 $rsp
pwndbg> x /20gx $rsp
pwndbg> x /20gx $rsp - 0x20
pwndbg> starti          #在程序第一条汇编指令处下断点
pwndbg> p <函数名>       

# 4 --------------------exp
io = process("./<二进制文件>")
gdb.attach(io,"")
input()

linux编译32位文件

$ gcc -o <生成的文件的文件名，不写则默认为a.out> <要编译的文件的文件名> -m32

#例：
$ gcc -o hawala.out hawala.c -m32

float类型的存储方式

原文链接：float类型的存储方式_wuing2的博客-CSDN博客_float的存储

float的存储格式：
float类型又称为单精度浮点类型，在 IEEE 754-2008 中是这样定义它的结构的：
S EEEEEEEE FFFFFFFFFFFFFFFFFFFFFFF
31 30 23 22 0

float类型总共4个字节——32位：
符号位其中最左边的为符号位，0为正，1为负。
指数接下来的E是指数，一共8位，也用二进制来表示。IEEE规定，在float类型中，用来计算指数的偏移量为127。
尾数最后的F是小数部分，尾数正是由这23位的小数部分+1位组成的。

实例分析：
已8.25为例进行分析：
8：二进制位1000
0.25：为2^-2，即为0.01
因此，8.25转换成二进制位1000.01
用科学记数法表示为：1.00001*2^3
因此：
符号位：0（表示正数）
指数位：3+127=130=128+2=2^7+2=10000000&000000010=100000010
尾数：00001-000000-000000-000000
注意，因为用科学记数法，所以最前面肯定是1，故不记录了。
因此，整体数据为 0-10000010-00001-000000-000000-000000

11.28125 –> 41348000h

寄存器

x86寄存器(32位)

学习链接：https://blog.csdn.net/choufu1408/article/details/100655739

学习链接（荐）：代码人生。。。-CSDN博客_esi寄存器

摘要：

寄存器名称	用途描述
eax	用于操作数和结果数据的累加器
ebx	指向数据内存段中的数据的指针
ecx	字符串和循环操作的计数器
edx	I/O指针
edi	用于字符串操作的目标的数据指针
esi	用于字符串操作的源的数据指针
esp	堆栈指针
ebp	堆栈数据指针

个人理解（知道这些差不多了）：

ebp:栈底指针      #中间的b可记为base，基底
esb:栈顶指针      #指向栈的顶部
eip:存下一条指令的地址 
其他几个寄存器没有特别限定想存啥都行       #pwn题暂时了解以上三个就够了

x86寄存器(64位)

个人理解：

rbp:栈底指针      #64位用r做前缀 
rsp:栈顶指针
rip:存下一条指令
RDI, RSI, RDX, RCX, R8 和 R9 寄存器   #暂时了解这几个就够了
注：System V AMD64 ABI (Linux、FreeBSD、macOS 等采用) 中前六个整型或指针参数依次保存在 RDI, RSI, RDX, RCX, R8 和 R9 寄存器中，如果还有更多的参数的话才会保存在栈上。

汇编基础

《CTF竞赛权威指南》P34，此处简记要点供个人随时复习

指令符：

遇到一个便记录一个：

数据传送与访问：mov

算术运算与逻辑运算：
	inc/dec      #操作数±1
	add/sub      #长度相同的操作数相加减
	and/or		 #按位逻辑与/或
	mul          #乘法操作
	xor          #异或操作，常用做寄存器值置零
	cmp          #比较两个值
	neg          #将操作数转换为二进制补码，并将操作数的符号位取反
    
跳转指令与循环指令：
	jmp          #无条件跳转指令，一般需要使用一个标号来标识，可以实现循环
	LOOP         #循环指令，每循环一次循环计数寄存器减1
	je           #条件跳转，链接：https://blog.csdn.net/ssihc0/article/details/5215044
	test         #与AND命令有相同效果，只是Test指令不改变AX和BX的内容，而AND指令会把结果保存到AX中
	
栈与函数调用：
	push         #入栈，详细操作P41
	pop          #从栈中pop一个值，给ebp
	
使用栈保存函数返回地址：
	call         #call调用子函数时，下一条指令的地址作为返回地址存入栈中
	             #相当于   push IP
                 #        jmp near ptr 标号    这两条汇编
				 #https://blog.csdn.net/u013018721/article/details/51264199
	ret          #往栈上高地址一个单位取地址当做跳转地址   *******
				 #链接：https://blog.csdn.net/qq_37340753/article/details/81585083
	
其他：
	lea          #官方解释Load Effective Address，即装入有效地址的意思，它的操作数就是地址
	nop          #空操作，链接：https://www.cnblogs.com/shangzhijian/p/4994028.html
	leave        #mov esp,ebp和pop ebp
				 #链接：https://blog.csdn.net/striver1205/article/details/25216699
				 #链接：https://blog.csdn.net/zhangxinrun/article/details/5888425
	int 0x80     #系统调用

字符

*(_DWORD *)        #*(_DWORD *)是强制类型转化，然后在提领指针
                   #dword是指注册表的键值，每个word为2个字节，dword双字即为4个字节
    
mov qword ptr ds:[rax+18], r8       #http://129.226.226.195/post/12171.html

hello world

P55：

.data
msg:
	.ascii "hello world!"
	len = . - msg
	
.text
	.global _start
	
_start:
	movl $len, %edx
	movl $msg, %ecx
	movl $1, %ebx
	movl $4, %eax
	int $0x80
	
	movl $0, %ebx
	movl $1, %eax
	int $0x80

注（个人理解）：

.data表示data段

msg：定义字符串”hello world!”

len：字符串长度

len = . - msg：. 表示当前位置，msg表示字符串前面的一个位置，两者相减便得到了字符串长度

int $0x80：转入内核模式，进入内核模式前会根据相关寄存器(eax、ebx)的值进行相应的系统调用，所以在这之前会有两句设置寄存器值的汇编语句。

64位中使用syscall指令进入内核模式，32位使用int $0x80。

杂

main函数传参

# 原文链接：https://blog.csdn.net/z_ryan/article/details/80979432

➜  cpp_workspace git:(master) ✗ vim testmain.c 
➜  cpp_workspace git:(master) ✗ gcc testmain.c 
➜  cpp_workspace git:(master) ✗ ./a.out 1 2 3    #./a.out为程序名 1为第一个参数 ， 2 为第二个参数， 3 为第三个参数
Total 4 arguments
Argument argv[0]  = ./a.out 
Argument argv[1]  = 1 
Argument argv[2]  = 2 
Argument argv[3]  = 3 
Argument argv[4]  = (null)    #默认argv[argc]为null

and esp, 0FFFFFFF0h

自己写了个程序以供分析，发现了一句不知道用来干嘛的的汇编

经查阅资料：得知该句是用来优化、对齐的。

参考链接：and esp,0fffffff0h的作用 – 青山志 (qingshanzhi.com)

防止博主删博客，留图如下：

x86_get_pc_thunk_ax

参考链接：＜__x86.get_pc_thunk.ax＞有什么作用?_Freestyle Coding的博客-CSDN博客

call/retn/leave

call:相当于将下一条指令地址入栈，然后jmp到后面那个函数处执行
    (1)段内转移的CALL指令等价于两条指令：
      push eip
      jmp   目的位置
      也就是说，执行段内转移的CALL指令时，相当于先后执行以上两条指令。
      (2)段间转移的CALL指令等价于三条指令：
      push CS
      push eip
      jmp   目的位置
 
retn:
	RETN等价于一条指令：POP   eip
　　	 RETF等价于两条指令：
　	　POP   eip
　　	 POP   CS
　　 
　　 而带有操作数的RETN/RETF指令则是在POP（ESP+4）之后，执行ESP=ESP+操作数1。
		eip = [esp]
		esp = esp + 4 //将esp中的数据出栈到eip中,同时ESP+4
　　	 
leave:
	  mov esp,ebp
	  pop ebp //还原函数栈

dword ptr [ecx-4]

dword   双字 就是四个字节
ptr     pointer缩写 即指针
[]里的数据是一个地址值，这个地址指向一个双字型数据
比如mov eax, dword ptr [12345678]  把内存地址12345678中的双字型（32位）数据赋给eax

参考链接：关于dword ptr 指令的意思_Kaiwii的博客-CSDN博客_ptr指令

esp

1
2
3

push    #先减esp，再压入
pop     #先取数据再增esp

linux字符

链接：Linux通配符讲解 - 知乎 (zhihu.com)

GDB

n   		 #执行一行源代码但不进入函数内部

ni   		 #执行一行汇编代码但不进入函数内部

s   		 #执行一行源代码而且进入函数内部

si   		 #执行一行汇编代码而且进入函数内部

c            #继续执行到下一个断点

b *<地址>    #下断点

stack       #显示栈信息

finish      #结束当前运行函数

x           #按十六进制格式显示内存数据，其中x/{字节数}x 以16进制显示指定地址处的数据;
            #{字节数}表示字节数制定（b 单字节；h 双字节；w 四字节；g 八字节；默认为四字节）

disas/disassemble (函数名)      #将函数整个流程的汇编显示出来。

i           #info，查看一些信息，只输入info可以看可以接什么参数，下面几个比较常用

i b         #info break 查看所有断点信息（编号、断点位置）
i r         #info registers 查看各个寄存器当前的值
i f         #info function 查看所有函数名，需保留符号

vmmap       #查看当前程序映射的内存块

查看内存指令x：

x /nuf 0x123456 //常用，x指令的格式是：x/nfu，nfu代表三个参数
n代表显示几个单元（而不是显示几个字节，后面的u表示一个单元多少个字节），放在’/‘后面
u代表一个单元几个字节，b(一个字节)，h(俩字节)，w(四字节)，g(八字节)
f代表显示数据的格式，f和u的顺序可以互换，也可以只有一个或者不带n，用的时候很灵活

x 	按十六进制格式显示变量。
d 	按十进制格式显示变量。
u 	按十六进制格式显示无符号整型。
o 	按八进制格式显示变量。
t 	按二进制格式显示变量。
a 	按十六进制格式显示变量。
c 	按字符格式显示变量。
f 	按浮点数格式显示变量。
s 	按字符串显示。
b	按字符显示。
i	显示汇编指令。

x /10gx 0x123456 //常用，从0x123456开始每个单元八个字节，十六进制显示是个单元的数据
x /10xd $rdi //从rdi指向的地址向后打印10个单元，每个单元4字节的十进制数
x /10i 0x123456 //常用，从0x123456处向后显示十条汇编指令

例：$ x/136wx 0x7fffffffdf08

链接：https://blog.csdn.net/weixin_30697239/article/details/101103647

pwntools

#!/usr/bin/env python             #python语言标记
from pwn import *                 #导入所有模块
context(arch="i386",os="linux",log_level="debug")
# -*- coding: utf-8 -*-     or    # coding:utf-8 

连接：
sh = porcess("./level0")          #本地
sh = remote("127.0.0.1",10001)    #远程
sh.close()                        #关闭连接


IO模块：
sh.send(data)                     #发送数据
sh.sendline(data)  				  #发送一行数据，相当于在数据后面加\n
sh.recv(numb = 2048, timeout = dufault)     #接受数据，numb指定接收的字节，timeout指定超时
sh.recvline(keepends=True)                  #接受一行数据，keepends为是否保留行尾的\n
sh.recvuntil("Hello,World\n",drop=fasle)    #接受数据直到我们设置的标志出现
sh.recvall()                      #一直接收直到EOF
sh.recvrepeat(timeout = default)  #持续接受直到EOF或timeout
sh.interactive()                  #直接进行交互，相当于回到shell的模式，在取得shell之后使用


Shellcode生成器：
>>> print shellcraft.i386.nop().strip('\n')
    nop
>>> print shellcraft.i386.linux.sh()
    /* push '/bin///sh\x00' */
    push 0x68
    push 0x732f2f2f
    push 0x6e69622f
...
#结合asm可以可以得到最终的pyaload
from pwn import *
context(os='linux',arch='amd64')
shellcode = asm(shellcraft.sh())
或者
from pwn import *
shellcode = asm(shellcraft.amd64.linux.sh())





暂时只记这些

pwntools手册链接(复杂):开始使用 — pwntools 3.5.0 documentation (pwntoolsdocinzh-cn.readthedocs.io)

链接：pwntools使用 - 简书 (jianshu.com)

链接：cyclic

系统调用

Linux:
	1、应用程序调用库函数（API）；
	2、API 将系统调用号存入 EAX，然后通过中断调用使系统进入内核态；
	3、内核中的中断处理函数根据系统调用号，调用对应的内核函数（系统调用）；
	4、系统调用完成相应功能，将返回值存入 EAX，返回到中断处理函数；
	5、中断处理函数返回到 API 中；
	6、API 将 EAX 返回给应用程序。
	
例：
	movl $0, %ebx
	movl $1, %eax
	int $0x80
	
	
linux 系统调用号表：
	原文链接：https://blog.csdn.net/qq_29343201/article/details/52209588
	
	32位：
		#ifndef _ASM_X86_UNISTD_32_H
		#define _ASM_X86_UNISTD_32_H 1
        #define __NR_restart_syscall 0
        #define __NR_exit 1
        #define __NR_fork 2
        #define __NR_read 3
        #define __NR_write 4
        #define __NR_open 5
        #define __NR_close 6
        #define __NR_waitpid 7
        #define __NR_creat 8
        #define __NR_link 9
        #define __NR_unlink 10
        #define __NR_execve 11
        #define __NR_chdir 12
        #define __NR_time 13
        #define __NR_mknod 14
        #define __NR_chmod 15
        #define __NR_lchown 16
        #define __NR_break 17
        #define __NR_oldstat 18
        #define __NR_lseek 19
        #define __NR_getpid 20
        #define __NR_mount 21
        #define __NR_umount 22
        #define __NR_setuid 23
        #define __NR_getuid 24
        #define __NR_stime 25
        #define __NR_ptrace 26
        #define __NR_alarm 27
        #define __NR_oldfstat 28
        #define __NR_pause 29
        #define __NR_utime 30
        #define __NR_stty 31
        #define __NR_gtty 32
        #define __NR_access 33
        #define __NR_nice 34
        #define __NR_ftime 35
        #define __NR_sync 36
        #define __NR_kill 37
        #define __NR_rename 38
        #define __NR_mkdir 39
        #define __NR_rmdir 40
        #define __NR_dup 41
        #define __NR_pipe 42
        #define __NR_times 43
        #define __NR_prof 44
        #define __NR_brk 45
        #define __NR_setgid 46
        #define __NR_getgid 47
        #define __NR_signal 48
        #define __NR_geteuid 49
        #define __NR_getegid 50
        #define __NR_acct 51
        #define __NR_umount2 52
        #define __NR_lock 53
        #define __NR_ioctl 54
        #define __NR_fcntl 55
        #define __NR_mpx 56
        #define __NR_setpgid 57
        #define __NR_ulimit 58
        #define __NR_oldolduname 59
        #define __NR_umask 60
        #define __NR_chroot 61
        #define __NR_ustat 62
        #define __NR_dup2 63
        #define __NR_getppid 64
        #define __NR_getpgrp 65
        #define __NR_setsid 66
        #define __NR_sigaction 67
        #define __NR_sgetmask 68
        #define __NR_ssetmask 69
        #define __NR_setreuid 70
        #define __NR_setregid 71
        #define __NR_sigsuspend 72
        #define __NR_sigpending 73
        #define __NR_sethostname 74
        #define __NR_setrlimit 75
        #define __NR_getrlimit 76
        #define __NR_getrusage 77
        #define __NR_gettimeofday 78
        #define __NR_settimeofday 79
        #define __NR_getgroups 80
        #define __NR_setgroups 81
        #define __NR_select 82
        #define __NR_symlink 83
        #define __NR_oldlstat 84
        #define __NR_readlink 85
        #define __NR_uselib 86
        #define __NR_swapon 87
        #define __NR_reboot 88
        #define __NR_readdir 89
        #define __NR_mmap 90
        #define __NR_munmap 91
        #define __NR_truncate 92
        #define __NR_ftruncate 93
        #define __NR_fchmod 94
        #define __NR_fchown 95
        #define __NR_getpriority 96
        #define __NR_setpriority 97
        #define __NR_profil 98
        #define __NR_statfs 99
        #define __NR_fstatfs 100
        #define __NR_ioperm 101
        #define __NR_socketcall 102
        #define __NR_syslog 103
        #define __NR_setitimer 104
        #define __NR_getitimer 105
        #define __NR_stat 106
        #define __NR_lstat 107
        #define __NR_fstat 108
        #define __NR_olduname 109
        #define __NR_iopl 110
        #define __NR_vhangup 111
        #define __NR_idle 112
        #define __NR_vm86old 113
        #define __NR_wait4 114
        #define __NR_swapoff 115
        #define __NR_sysinfo 116
        #define __NR_ipc 117
        #define __NR_fsync 118
        #define __NR_sigreturn 119
        #define __NR_clone 120
        #define __NR_setdomainname 121
        #define __NR_uname 122
        #define __NR_modify_ldt 123
        #define __NR_adjtimex 124
        #define __NR_mprotect 125
        #define __NR_sigprocmask 126
        #define __NR_create_module 127
        #define __NR_init_module 128
        #define __NR_delete_module 129
        #define __NR_get_kernel_syms 130
        #define __NR_quotactl 131
        #define __NR_getpgid 132
        #define __NR_fchdir 133
        #define __NR_bdflush 134
        #define __NR_sysfs 135
        #define __NR_personality 136
        #define __NR_afs_syscall 137
        #define __NR_setfsuid 138
        #define __NR_setfsgid 139
        #define __NR__llseek 140
        #define __NR_getdents 141
        #define __NR__newselect 142
        #define __NR_flock 143
        #define __NR_msync 144
        #define __NR_readv 145
        #define __NR_writev 146
        #define __NR_getsid 147
        #define __NR_fdatasync 148
        #define __NR__sysctl 149
        #define __NR_mlock 150
        #define __NR_munlock 151
        #define __NR_mlockall 152
        #define __NR_munlockall 153
        #define __NR_sched_setparam 154
        #define __NR_sched_getparam 155
        #define __NR_sched_setscheduler 156
        #define __NR_sched_getscheduler 157
        #define __NR_sched_yield 158
        #define __NR_sched_get_priority_max 159
        #define __NR_sched_get_priority_min 160
        #define __NR_sched_rr_get_interval 161
        #define __NR_nanosleep 162
        #define __NR_mremap 163
        #define __NR_setresuid 164
        #define __NR_getresuid 165
        #define __NR_vm86 166
        #define __NR_query_module 167
        #define __NR_poll 168
        #define __NR_nfsservctl 169
        #define __NR_setresgid 170
        #define __NR_getresgid 171
        #define __NR_prctl 172
        #define __NR_rt_sigreturn 173
        #define __NR_rt_sigaction 174
        #define __NR_rt_sigprocmask 175
        #define __NR_rt_sigpending 176
        #define __NR_rt_sigtimedwait 177
        #define __NR_rt_sigqueueinfo 178
        #define __NR_rt_sigsuspend 179
        #define __NR_pread64 180
        #define __NR_pwrite64 181
        #define __NR_chown 182
        #define __NR_getcwd 183
        #define __NR_capget 184
        #define __NR_capset 185
        #define __NR_sigaltstack 186
        #define __NR_sendfile 187
        #define __NR_getpmsg 188
        #define __NR_putpmsg 189
        #define __NR_vfork 190
        #define __NR_ugetrlimit 191
        #define __NR_mmap2 192
        #define __NR_truncate64 193
        #define __NR_ftruncate64 194
        #define __NR_stat64 195
        #define __NR_lstat64 196
        #define __NR_fstat64 197
        #define __NR_lchown32 198
        #define __NR_getuid32 199
        #define __NR_getgid32 200
        #define __NR_geteuid32 201
        #define __NR_getegid32 202
        #define __NR_setreuid32 203
        #define __NR_setregid32 204
        #define __NR_getgroups32 205
        #define __NR_setgroups32 206
        #define __NR_fchown32 207
        #define __NR_setresuid32 208
        #define __NR_getresuid32 209
        #define __NR_setresgid32 210
        #define __NR_getresgid32 211
        #define __NR_chown32 212
        #define __NR_setuid32 213
        #define __NR_setgid32 214
        #define __NR_setfsuid32 215
        #define __NR_setfsgid32 216
        #define __NR_pivot_root 217
        #define __NR_mincore 218
        #define __NR_madvise 219
        #define __NR_getdents64 220
        #define __NR_fcntl64 221
        #define __NR_gettid 224
        #define __NR_readahead 225
        #define __NR_setxattr 226
        #define __NR_lsetxattr 227
        #define __NR_fsetxattr 228
        #define __NR_getxattr 229
        #define __NR_lgetxattr 230
        #define __NR_fgetxattr 231
        #define __NR_listxattr 232
        #define __NR_llistxattr 233
        #define __NR_flistxattr 234
        #define __NR_removexattr 235
        #define __NR_lremovexattr 236
        #define __NR_fremovexattr 237
        #define __NR_tkill 238
        #define __NR_sendfile64 239
        #define __NR_futex 240
        #define __NR_sched_setaffinity 241
        #define __NR_sched_getaffinity 242
        #define __NR_set_thread_area 243
        #define __NR_get_thread_area 244
        #define __NR_io_setup 245
        #define __NR_io_destroy 246
        #define __NR_io_getevents 247
        #define __NR_io_submit 248
        #define __NR_io_cancel 249
        #define __NR_fadvise64 250
        #define __NR_exit_group 252
        #define __NR_lookup_dcookie 253
        #define __NR_epoll_create 254
        #define __NR_epoll_ctl 255
        #define __NR_epoll_wait 256
        #define __NR_remap_file_pages 257
        #define __NR_set_tid_address 258
        #define __NR_timer_create 259
        #define __NR_timer_settime 260
        #define __NR_timer_gettime 261
        #define __NR_timer_getoverrun 262
        #define __NR_timer_delete 263
        #define __NR_clock_settime 264
        #define __NR_clock_gettime 265
        #define __NR_clock_getres 266
        #define __NR_clock_nanosleep 267
        #define __NR_statfs64 268
        #define __NR_fstatfs64 269
        #define __NR_tgkill 270
        #define __NR_utimes 271
        #define __NR_fadvise64_64 272
        #define __NR_vserver 273
        #define __NR_mbind 274
        #define __NR_get_mempolicy 275
        #define __NR_set_mempolicy 276
        #define __NR_mq_open 277
        #define __NR_mq_unlink 278
        #define __NR_mq_timedsend 279
        #define __NR_mq_timedreceive 280
        #define __NR_mq_notify 281
        #define __NR_mq_getsetattr 282
        #define __NR_kexec_load 283
        #define __NR_waitid 284
        #define __NR_add_key 286
        #define __NR_request_key 287
        #define __NR_keyctl 288
        #define __NR_ioprio_set 289
        #define __NR_ioprio_get 290
        #define __NR_inotify_init 291
        #define __NR_inotify_add_watch 292
        #define __NR_inotify_rm_watch 293
        #define __NR_migrate_pages 294
        #define __NR_openat 295
        #define __NR_mkdirat 296
        #define __NR_mknodat 297
        #define __NR_fchownat 298
        #define __NR_futimesat 299
        #define __NR_fstatat64 300
        #define __NR_unlinkat 301
        #define __NR_renameat 302
        #define __NR_linkat 303
        #define __NR_symlinkat 304
        #define __NR_readlinkat 305
        #define __NR_fchmodat 306
        #define __NR_faccessat 307
        #define __NR_pselect6 308
        #define __NR_ppoll 309
        #define __NR_unshare 310
        #define __NR_set_robust_list 311
        #define __NR_get_robust_list 312
        #define __NR_splice 313
        #define __NR_sync_file_range 314
        #define __NR_tee 315
        #define __NR_vmsplice 316
        #define __NR_move_pages 317
        #define __NR_getcpu 318
        #define __NR_epoll_pwait 319
        #define __NR_utimensat 320
        #define __NR_signalfd 321
        #define __NR_timerfd_create 322
        #define __NR_eventfd 323
        #define __NR_fallocate 324
        #define __NR_timerfd_settime 325
        #define __NR_timerfd_gettime 326
        #define __NR_signalfd4 327
        #define __NR_eventfd2 328
        #define __NR_epoll_create1 329
        #define __NR_dup3 330
        #define __NR_pipe2 331
        #define __NR_inotify_init1 332
        #define __NR_preadv 333
        #define __NR_pwritev 334
        #define __NR_rt_tgsigqueueinfo 335
        #define __NR_perf_event_open 336
        #define __NR_recvmmsg 337
        #define __NR_fanotify_init 338
        #define __NR_fanotify_mark 339
        #define __NR_prlimit64 340
        #define __NR_name_to_handle_at 341
        #define __NR_open_by_handle_at 342
        #define __NR_clock_adjtime 343
        #define __NR_syncfs 344
        #define __NR_sendmmsg 345
        #define __NR_setns 346
        #define __NR_process_vm_readv 347
        #define __NR_process_vm_writev 348
        #define __NR_kcmp 349
        #define __NR_finit_module 350
        #define __NR_sched_setattr 351
        #define __NR_sched_getattr 352
        #define __NR_renameat2 353
        #define __NR_seccomp 354
        #define __NR_getrandom 355
        #define __NR_memfd_create 356
        #define __NR_bpf 357
        #define __NR_execveat 358
        #define __NR_socket 359
        #define __NR_socketpair 360
        #define __NR_bind 361
        #define __NR_connect 362
        #define __NR_listen 363
        #define __NR_accept4 364
        #define __NR_getsockopt 365
        #define __NR_setsockopt 366
        #define __NR_getsockname 367
        #define __NR_getpeername 368
        #define __NR_sendto 369
        #define __NR_sendmsg 370
        #define __NR_recvfrom 371
        #define __NR_recvmsg 372
        #define __NR_shutdown 373
        #define __NR_userfaultfd 374
        #define __NR_membarrier 375
        #define __NR_mlock2 376
        #define __NR_copy_file_range 377
        #define __NR_preadv2 378
        #define __NR_pwritev2 379

        #endif /* _ASM_X86_UNISTD_32_H */
        
        
        
        64位：
        #ifndef _ASM_X86_UNISTD_64_H
        #define _ASM_X86_UNISTD_64_H 1
        #define __NR_read 0
        #define __NR_write 1
        #define __NR_open 2
        #define __NR_close 3
        #define __NR_stat 4
        #define __NR_fstat 5
        #define __NR_lstat 6
        #define __NR_poll 7
        #define __NR_lseek 8
        #define __NR_mmap 9
        #define __NR_mprotect 10
        #define __NR_munmap 11
        #define __NR_brk 12
        #define __NR_rt_sigaction 13
        #define __NR_rt_sigprocmask 14
        #define __NR_rt_sigreturn 15
        #define __NR_ioctl 16
        #define __NR_pread64 17
        #define __NR_pwrite64 18
        #define __NR_readv 19
        #define __NR_writev 20
        #define __NR_access 21
        #define __NR_pipe 22
        #define __NR_select 23
        #define __NR_sched_yield 24
        #define __NR_mremap 25
        #define __NR_msync 26
        #define __NR_mincore 27
        #define __NR_madvise 28
        #define __NR_shmget 29
        #define __NR_shmat 30
        #define __NR_shmctl 31
        #define __NR_dup 32
        #define __NR_dup2 33
        #define __NR_pause 34
        #define __NR_nanosleep 35
        #define __NR_getitimer 36
        #define __NR_alarm 37
        #define __NR_setitimer 38
        #define __NR_getpid 39
        #define __NR_sendfile 40
        #define __NR_socket 41
        #define __NR_connect 42
        #define __NR_accept 43
        #define __NR_sendto 44
        #define __NR_recvfrom 45
        #define __NR_sendmsg 46
        #define __NR_recvmsg 47
        #define __NR_shutdown 48
        #define __NR_bind 49
        #define __NR_listen 50
        #define __NR_getsockname 51
        #define __NR_getpeername 52
        #define __NR_socketpair 53
        #define __NR_setsockopt 54
        #define __NR_getsockopt 55
        #define __NR_clone 56
        #define __NR_fork 57
        #define __NR_vfork 58
        #define __NR_execve 59
        #define __NR_exit 60
        #define __NR_wait4 61
        #define __NR_kill 62
        #define __NR_uname 63
        #define __NR_semget 64
        #define __NR_semop 65
        #define __NR_semctl 66
        #define __NR_shmdt 67
        #define __NR_msgget 68
        #define __NR_msgsnd 69
        #define __NR_msgrcv 70
        #define __NR_msgctl 71
        #define __NR_fcntl 72
        #define __NR_flock 73
        #define __NR_fsync 74
        #define __NR_fdatasync 75
        #define __NR_truncate 76
        #define __NR_ftruncate 77
        #define __NR_getdents 78
        #define __NR_getcwd 79
        #define __NR_chdir 80
        #define __NR_fchdir 81
        #define __NR_rename 82
        #define __NR_mkdir 83
        #define __NR_rmdir 84
        #define __NR_creat 85
        #define __NR_link 86
        #define __NR_unlink 87
        #define __NR_symlink 88
        #define __NR_readlink 89
        #define __NR_chmod 90
        #define __NR_fchmod 91
        #define __NR_chown 92
        #define __NR_fchown 93
        #define __NR_lchown 94
        #define __NR_umask 95
        #define __NR_gettimeofday 96
        #define __NR_getrlimit 97
        #define __NR_getrusage 98
        #define __NR_sysinfo 99
        #define __NR_times 100
        #define __NR_ptrace 101
        #define __NR_getuid 102
        #define __NR_syslog 103
        #define __NR_getgid 104
        #define __NR_setuid 105
        #define __NR_setgid 106
        #define __NR_geteuid 107
        #define __NR_getegid 108
        #define __NR_setpgid 109
        #define __NR_getppid 110
        #define __NR_getpgrp 111
        #define __NR_setsid 112
        #define __NR_setreuid 113
        #define __NR_setregid 114
        #define __NR_getgroups 115
        #define __NR_setgroups 116
        #define __NR_setresuid 117
        #define __NR_getresuid 118
        #define __NR_setresgid 119
        #define __NR_getresgid 120
        #define __NR_getpgid 121
        #define __NR_setfsuid 122
        #define __NR_setfsgid 123
        #define __NR_getsid 124
        #define __NR_capget 125
        #define __NR_capset 126
        #define __NR_rt_sigpending 127
        #define __NR_rt_sigtimedwait 128
        #define __NR_rt_sigqueueinfo 129
        #define __NR_rt_sigsuspend 130
        #define __NR_sigaltstack 131
        #define __NR_utime 132
        #define __NR_mknod 133
        #define __NR_uselib 134
        #define __NR_personality 135
        #define __NR_ustat 136
        #define __NR_statfs 137
        #define __NR_fstatfs 138
        #define __NR_sysfs 139
        #define __NR_getpriority 140
        #define __NR_setpriority 141
        #define __NR_sched_setparam 142
        #define __NR_sched_getparam 143
        #define __NR_sched_setscheduler 144
        #define __NR_sched_getscheduler 145
        #define __NR_sched_get_priority_max 146
        #define __NR_sched_get_priority_min 147
        #define __NR_sched_rr_get_interval 148
        #define __NR_mlock 149
        #define __NR_munlock 150
        #define __NR_mlockall 151
        #define __NR_munlockall 152
        #define __NR_vhangup 153
        #define __NR_modify_ldt 154
        #define __NR_pivot_root 155
        #define __NR__sysctl 156
        #define __NR_prctl 157
        #define __NR_arch_prctl 158
        #define __NR_adjtimex 159
        #define __NR_setrlimit 160
        #define __NR_chroot 161
        #define __NR_sync 162
        #define __NR_acct 163
        #define __NR_settimeofday 164
        #define __NR_mount 165
        #define __NR_umount2 166
        #define __NR_swapon 167
        #define __NR_swapoff 168
        #define __NR_reboot 169
        #define __NR_sethostname 170
        #define __NR_setdomainname 171
        #define __NR_iopl 172
        #define __NR_ioperm 173
        #define __NR_create_module 174
        #define __NR_init_module 175
        #define __NR_delete_module 176
        #define __NR_get_kernel_syms 177
        #define __NR_query_module 178
        #define __NR_quotactl 179
        #define __NR_nfsservctl 180
        #define __NR_getpmsg 181
        #define __NR_putpmsg 182
        #define __NR_afs_syscall 183
        #define __NR_tuxcall 184
        #define __NR_security 185
        #define __NR_gettid 186
        #define __NR_readahead 187
        #define __NR_setxattr 188
        #define __NR_lsetxattr 189
        #define __NR_fsetxattr 190
        #define __NR_getxattr 191
        #define __NR_lgetxattr 192
        #define __NR_fgetxattr 193
        #define __NR_listxattr 194
        #define __NR_llistxattr 195
        #define __NR_flistxattr 196
        #define __NR_removexattr 197
        #define __NR_lremovexattr 198
        #define __NR_fremovexattr 199
        #define __NR_tkill 200
        #define __NR_time 201
        #define __NR_futex 202
        #define __NR_sched_setaffinity 203
        #define __NR_sched_getaffinity 204
        #define __NR_set_thread_area 205
        #define __NR_io_setup 206
        #define __NR_io_destroy 207
        #define __NR_io_getevents 208
        #define __NR_io_submit 209
        #define __NR_io_cancel 210
        #define __NR_get_thread_area 211
        #define __NR_lookup_dcookie 212
        #define __NR_epoll_create 213
        #define __NR_epoll_ctl_old 214
        #define __NR_epoll_wait_old 215
        #define __NR_remap_file_pages 216
        #define __NR_getdents64 217
        #define __NR_set_tid_address 218
        #define __NR_restart_syscall 219
        #define __NR_semtimedop 220
        #define __NR_fadvise64 221
        #define __NR_timer_create 222
        #define __NR_timer_settime 223
        #define __NR_timer_gettime 224
        #define __NR_timer_getoverrun 225
        #define __NR_timer_delete 226
        #define __NR_clock_settime 227
        #define __NR_clock_gettime 228
        #define __NR_clock_getres 229
        #define __NR_clock_nanosleep 230
        #define __NR_exit_group 231
        #define __NR_epoll_wait 232
        #define __NR_epoll_ctl 233
        #define __NR_tgkill 234
        #define __NR_utimes 235
        #define __NR_vserver 236
        #define __NR_mbind 237
        #define __NR_set_mempolicy 238
        #define __NR_get_mempolicy 239
        #define __NR_mq_open 240
        #define __NR_mq_unlink 241
        #define __NR_mq_timedsend 242
        #define __NR_mq_timedreceive 243
        #define __NR_mq_notify 244
        #define __NR_mq_getsetattr 245
        #define __NR_kexec_load 246
        #define __NR_waitid 247
        #define __NR_add_key 248
        #define __NR_request_key 249
        #define __NR_keyctl 250
        #define __NR_ioprio_set 251
        #define __NR_ioprio_get 252
        #define __NR_inotify_init 253
        #define __NR_inotify_add_watch 254
        #define __NR_inotify_rm_watch 255
        #define __NR_migrate_pages 256
        #define __NR_openat 257
        #define __NR_mkdirat 258
        #define __NR_mknodat 259
        #define __NR_fchownat 260
        #define __NR_futimesat 261
        #define __NR_newfstatat 262
        #define __NR_unlinkat 263
        #define __NR_renameat 264
        #define __NR_linkat 265
        #define __NR_symlinkat 266
        #define __NR_readlinkat 267
        #define __NR_fchmodat 268
        #define __NR_faccessat 269
        #define __NR_pselect6 270
        #define __NR_ppoll 271
        #define __NR_unshare 272
        #define __NR_set_robust_list 273
        #define __NR_get_robust_list 274
        #define __NR_splice 275
        #define __NR_tee 276
        #define __NR_sync_file_range 277
        #define __NR_vmsplice 278
        #define __NR_move_pages 279
        #define __NR_utimensat 280
        #define __NR_epoll_pwait 281
        #define __NR_signalfd 282
        #define __NR_timerfd_create 283
        #define __NR_eventfd 284
        #define __NR_fallocate 285
        #define __NR_timerfd_settime 286
        #define __NR_timerfd_gettime 287
        #define __NR_accept4 288
        #define __NR_signalfd4 289
        #define __NR_eventfd2 290
        #define __NR_epoll_create1 291
        #define __NR_dup3 292
        #define __NR_pipe2 293
        #define __NR_inotify_init1 294
        #define __NR_preadv 295
        #define __NR_pwritev 296
        #define __NR_rt_tgsigqueueinfo 297
        #define __NR_perf_event_open 298
        #define __NR_recvmmsg 299
        #define __NR_fanotify_init 300
        #define __NR_fanotify_mark 301
        #define __NR_prlimit64 302
        #define __NR_name_to_handle_at 303
        #define __NR_open_by_handle_at 304
        #define __NR_clock_adjtime 305
        #define __NR_syncfs 306
        #define __NR_sendmmsg 307
        #define __NR_setns 308
        #define __NR_getcpu 309
        #define __NR_process_vm_readv 310
        #define __NR_process_vm_writev 311
        #define __NR_kcmp 312
        #define __NR_finit_module 313
        #define __NR_sched_setattr 314
        #define __NR_sched_getattr 315
        #define __NR_renameat2 316
        #define __NR_seccomp 317
        #define __NR_getrandom 318
        #define __NR_memfd_create 319
        #define __NR_kexec_file_load 320
        #define __NR_bpf 321
        #define __NR_execveat 322
        #define __NR_userfaultfd 323
        #define __NR_membarrier 324
        #define __NR_mlock2 325
        #define __NR_copy_file_range 326
        #define __NR_preadv2 327
        #define __NR_pwritev2 328

        #endif /* _ASM_X86_UNISTD_64_H */

ROPgadget工具

安装&使用：

参考链接：(2条消息) ROPgadget 安装错误处理与使用_yongbaoii的博客-CSDN博客_ropgadget

参考链接：(2条消息) (Pwn)CTF工具 ROPgadget 的安装与使用介绍_半岛铁盒@的博客-CSDN博客_ropgadget命令

参考链接：ROPgadgets - 简书 (jianshu.com)

安装：
	sudo apt-get install python-capstone
 
	git clone https://github.com/JonathanSalwan/ROPgadget.git
 
	cd ROPgadget
 
	sudo python setup.py install
	
使用：
	ROPgadget --binary rop  --only 'pop|ret' | grep 'eax'
	查找可存储寄存器的代码
	
	ROPgadget --binary rop --string "/bin/sh"
	查找字符串
	
	ROPgadget --binary rop  --only 'int'
	查找有int 0x80的地址
	
	......

偏移计算

例1：

题目链接：https://ctf-wiki.org/pwn/linux/user-mode/stackoverflow/x86/basic-rop/#ret2syscall

其中有这么一段：

前置ida反编译找到main函数处，tab键切至该界面，找到call指令对应的地址并在gdb中下断点：

ni单走，调试至该位置，查看到三句汇编指令（s地址装入eax，eax赋给esp，调用gets函数）

再看到ebp指向0xffffd178，esp指向0xffffd0f0（但这并不是s的起始地址），0xffffd0f0处存储的0xffffd10c才是s在栈上的起始地址（要解释清楚的话，得画个栈的图，还得有汇编基础，汇编我目前就学了些皮毛，解释不了，只知道以后遇到这种类似的这样算偏移准没错）

。计算规则：ebp（0xffffd178）+ 4（ebp上面的ret，覆盖ebp要4个字节）- s起始地址（0xffffd10c）= 0x70 = 112（10进制，0x是16进制前缀）

建议对比ret2txt看（https://ctf-wiki.org/pwn/linux/user-mode/stackoverflow/x86/basic-rop/#ret2text）

亟待补充的知识（写给个人看的）：汇编

需要复习的知识：栈

注：个人笔记，重在个人看懂

链接：pwn基础 | Sh4oBa1’s blog

链接(看ta的友链)：Sh4oBa1’s blog

链接(看ta的友链)：F4DE (f4de-bak.github.io)

链接：Kimengun的学习之路 (x1hy9.github.io)

链接：用github-hexo搭建博客 | TuNan’s Blogs (0xtunan.github.io)

链接(无意中发现的有关软件破解的博客)：(2条消息) EAX寄存器（关键跳，关键CALL）_song_10的博客-CSDN博客_eax寄存器

链接：(2条消息) song_10的博客_song-10_CSDN博客-C++,python学习笔记,攻防世界领域博主

GPS劫持：

暂时没空搞这个，为了防止原文被删除，本人在此copy一份

链接：https://toutiao.io/posts/uax8a1p/preview

0x00 原理介绍

GPS劫持有一定的破坏强度，攻击者利用路由、伪基站等技术来伪造GPS信号用于产生虚假的定位，这个技术不仅仅针对于手机，对其他设备都有一定的威胁，安全问题令人深思

HackRF是一个完全开源的项目，不管从软件还是硬件，已经国产化。设备可以在淘宝买，前提是我们需要借助 HackRF One

0x01 GPS动态轨迹伪造

我们可以通过伪造一个定位来进行重放，可以借助Google Earth（官网可下）

首先点击添加路径

选定一段道路并自定义名称，在此我们选择在巴厘岛库塔海滩走一趟

将路径另存为到本地

在此注意定存为格式选择.kml

然后我们需要把.kml文件转换成NMEA格式

在此借助的工具在后台回复“GPS劫持”即可获得

点击“Load KML file”打开文件

导出为NMEA文件

下载GPS数据

下载地址:

ftp://cddis.gsfc.nasa.gov/pub/gps/data/daily/2019/brdc/

此地址为美国国家宇航局的GPS数据回传的ftp文件服务器

将.txt文件拖到Ubuntu虚拟机中

选择最新文件下载 n.Z 文件

下载GPS-SDR-SIM

1	git clone https://github.com/osqzss/gps-sdr-sim.git

若没有gcc可安装

1	apt-get install gcc

进行编译

1	cd gps-sdr-simgcc gpssim.c -lm -O3 -o gps-sdr-sim

gps-sdr-sim模块参数

运行，生成 gpssim.bin 文件

./gps-sdr-sim -e <导航电文文件> -u <轨迹文件> -b 8

1	./gps-sdr-sim -e brdc3650.19n -g position.txt -b 8

最后使用 HackRF One 重放数据

hackrf_transfer -t<目标数据文件>-f<发射频率>-s<采样频率>-a<是否开启增益>-x<增益值>-R

1	hackrf_transfer -t gpssim.bin -f 1575420000 -s 2600000 -a 1 -x 47 –R

*0x02 GPS静态定位伪造*

同样下载最新 n.Z 文件

下载地址:

ftp://cddis.gsfc.nasa.gov/pub/gps/data/daily/2019/brdc/

设置经纬度并生成数据样本

这里的经纬度我们选择巴厘岛的经纬度

经度：-8.616147

纬度：****115.674842

**
**

./gps-sdr-sim -e <GPS导航电文文件> -l <经度，纬度，海拔> -b <采样精度>

1	./gps-sdr-sim -e brdc3650.19n -l -8.616147,115.674842,100 -b 8

插上Hackrf，发射GPS数据开始伪造GPS信号

hackrf_transfer -t<目标数据文件>-f<发射频率>-s<采样频率>-a<是否开启增益>-x<增益值>-R

1	hackrf_transfer -t gpssim.bin -f 1575420000 -s 2600000 -a 1 -x 0 -R

HackRF One 发送完GPS信号100秒后会自动停止，若想循环发送信号，加参数-R，过程需要几十秒的等待时间

这时候我们发现自己的定位已经在巴厘岛，说明欺骗成功

本文仅用于学习研究，切勿用于违法途径！

SSH隐身登录：

原文链接：https://blog.csdn.net/qq_41661056/article/details/103820951

#远程登录w查看不到
ssh -T root@127.0.0.1 /bin/bash -i

#不记录ssh公钥在本地.ssh目录中
ssh -o UserKnownHostsFile=/dev/null -T user@host /bin/bash –i

#不留下.bash_history
unset HISTORY HISTFILE HISTSAVE HISTZONE HISTORY HISTLOG; export HISTFILE=/dev/null; export HISTSIZE=0; export HISTFILESIZE=0

#删除部分日志,比如以当天日期或者自己的登录ip
sed  -i '/当前时间/'d  /var/log/messages

WINDOWS 日志：

链接：windows日志

基础免杀手法暴风吸入：

链接：免杀

some blogs：

链接：https://www.const27.com/

哈哈哈，一篇比较有意思的博客：浅谈网警抓人全过程 (即使有 VPN) | LanYun の Blog (lanyundev.vercel.app)