Pwn Exploit(场景 8:从洞到 flag)

前置:漏洞已由 vuln-audit/ghidra-static 定位,或附件是典型 pwn 配置(binary + libc.so.6 + nc 地址)/后继:拿到远程 flag 回显 → ledger.py conclude --program-accept 交付;「打不通、其实是程序没读懂」→ 回 ghidra-static;「洞在哪都还没确认」→ 回 vuln-audit

执行环境铁规:exp 一律在 WSL 里跑,pwntools 在 Windows 半残、pwndbg 仅 Linux。Windows 侧只做静态分析(ghidra-core 部分)。

路径约定

# WSL 内:
PW=/root/re-pwn-venv/bin          # pwntools 4.15.0(checksec/cyclic/asm/libcdb)+ ROPgadget + ropper + qiling
PE="$HOME/.dsh/skills/pwn-exploit/scripts"   # 本 skill 脚本
SK="$HOME/.dsh/skills/ghidra-core/scripts"   # ledger.py 等家族闸门
# 系统级:gdb 15.1 + pwndbg(~/.gdbinit 已挂)、one_gadget、seccomp-tools(gem)、patchelf(apt)

流程

1. 开局硬门:pwn_triage(没跑过禁止写 exp)

python3 "$PE/pwn_triage.py" ./vuln            # 保护矩阵 + 附件核对 + 策略 hint

• 输出 NX/Canary/PIE/RELRO/seccomp 五件套 + 附件清单(有没有给 libc/ld/Dockerfile)+ 决策树路由
• seccomp 检出 → 立即 seccomp-tools dump ./vuln 看白名单(留 ORW 走 ORW 链,见 references/basic-chain.md §7)
• 结论立即 python3 "$SK/ledger.py" conclude --source checksec 锁定——后续所有地址策略由此派生,禁止中途凭印象改判

2. 保护 → 策略决策树

完整决策与 pitfall 见 references/basic-chain.md §1-2。

3. 漏洞类型路由表

4. exp 工程规范(强制)

• 模板三态:一律从 references/basic-chain.md §6 骨架起手(process / REMOTE / GDB 三态,context.log_level='debug' 只在 DEBUG 开);收编的 5 个生成器(ret2libc/SROP/fmtstr/seccomp ORW/shellcraft)产 payload 片段,不是完整 exp
• 接收锚定 recvuntil/recvline,禁止 sleep 猜时序(race 题除外,见 references/advanced.md)
• 偏移/地址/canary 全部来自工具读数(cyclic + pwndbg core / ROPgadget|ropper 双工具互验),禁止手数栈布局——读数不一致时第一嫌疑人是读数不是程序(铁律 8)
• 调试崩溃现场:python3 exp.py GDB 或 core 文件 + pwndbg> cyclic -l;看崩溃现场优先于改 payload 重试

5. 验证门:本地通 ≠ 远程通

1. 题目给了 libc → 本地必须 patchelf --set-interpreter ./ld.so --set-rpath '$ORIGIN' ./vuln 对齐后再测(见 references/basic-chain.md §3)
2. 题目没给 libc → leak 两个函数地址低 12 位,$PW/libcdb lookup puts 0xf70 read 0x.. 反查版本;查不到上 DynELF(references/rop-and-shellcode.md)
3. flag 结论的证据必须是远程回显:ledger.py conclude --kind flag --program-accept '<远程 cat flag 输出>';patchelf 副本上的成功只配 --source runtime-oracle 中间结论

6. 时间盒与断路器

• payload 迭代走 ledger 断路器:region 键 payload@<vuln_func>,同一漏洞点第二次改动必须 --delta 回答「和上次差在哪」,答不出强制升级(pwndbg 看现场 / 回静态核对 / 换技术路线)——禁止不换思路改第三个 payload
• 半边事实接线(强制,b781ff3c 判例):一旦推出「正常路径不可行 / 作者必须留了路」类结论,禁止闷头向前找新路——先 python3 "$SK/ledger.py" query <样本> 全量盘点已有 conclude/observe,专找已识别但从未利用的发现(洞、异常值、天量数字),把它接到当前断点上。判例:25 强网杯 adventure——agent 10:11 识别 shop 整数溢出、10:40 算出龙 800 万 HP 打不死,两个半边事实 30 分钟没接线,超时零 exploit;10:29 亲眼看到炸弹 700 万库存也没联想。数值墙(打不死的血条/买不起的价格)出现 = 出题人在指路,答案几乎一定在账本上已经记过的某个发现里
• 单技术路线 ≤20 分钟无产出 → 回 §3 路由表换行;leak 出的地址不像 libc(低 12 位对不上符号表)→ 回 §5.2 重查版本
• 彻底卡住:ledger.py stuck --escalate '<能力范围内的下一步>',escalate 必须先执行再谈交卷(铁律 6)

脚本速查

生成器脚本依赖 pwntools,在 WSL 用 /root/re-pwn-venv/bin/python 跑。

References

知识来源:ljagiello/ctf-skills ctf-pwn(MIT);basic-chain.md 组织结构参考 zhaoxuya520/reverse-skill(MIT)。翻译层在路由表,references 正文保留英文原文。