CVE-2024-23113 漏洞信息 A use of externally-controlled format string in Fortinet FortiOS versions 7.4.0 through 7.4.2, 7.2.0 through 7.2.6, 7.0.0 through 7.0.13, Fo

[漏洞复现] Fortigate CVE-2024-21762 因为一些机缘巧合接触到了这个CVE，发现漏洞利用思路清奇，其中涉及到的部分细节网上的文章也写的很笼统，于是写一个文章记录一下自己的复现过程。 环境搭建 下载镜像： 解压出fortios.qcow2 使用qemu启动，可以写一个脚本： 启动后配置ip和ssl

Project Sekai CTF 2025 - PWN >README!!! > >Important!!! 在阅读本文章前，请确保自己已经大喊一声：Wonderhoy! 否则，没有否则... ... ... 玩家ID:7555014970674043682 加我好友打歌喵 Wonderhoi! > Umiyuri

Kernel UAF 概述 就是UAF。 网鼎杯-玄武组-pwn03 题目分析 初步分析 start.sh 可以看到开启kaslr、smep、kpti。 而且内核地址直接白给） 之后init中可以看到路径并提取出easy.ko 静态分析 定义了vulnioctl 选项0是创建一个堆，选项1是free掉这个堆块。 同时注

Linux Kernel Exploitation 生存日记 - 0x01 ret2usr 原理 内核栈溢出啥的劫持内核驱动的执行流，exp里面写函数执行commitcred(preparekernelcred(0))或者commitcred(&initcred)，即可提权到root（执行的代码处于用户的程序中，但是此

Linux Kernel Exploitation 生存日记 - 0x00 Hello, World! 大型纪录片PalluPwner's船新章节！！！ 这次不坐牢了，开始荒野求生了... ... ... ... Kernel前期基础知识没啥好记录的.... ... ...网上遍地都是。 基础知识 /etc/init.

2024年“羊城杯”粤港澳大湾区网络安全大赛初赛PWN部分WriteUp【本科组】 解题情况 |Category|题目名称| |-|------| |[Pwn]{.label .primary}|[pstack]{.label .primary}| |[Pwn]{.label .primary}|[TravelGrap

DownUnderCTF2024 - PWN ??? 又是一个摸摸的比赛... ... ... ... ... ... ... 但是难题难度不低，简单题也是真的送分。 正文 vectoroverflow 之前做过一个C++ vector的堆题目。不知道为啥CTF那么喜欢出vector的堆题... ... 读取buf的时

2024春秋杯网络安全联赛夏季赛(CTF+AWDP) - PWN ？？？ 一件关于我比赛期间玩小南梁&老司机开车游戏（Rotaeno）导致比赛被杀然后赛后救赎（复盘）发现可以AK掉CTF-PWN和AWDP-Break-PWN的痛心事... ... :( QAQ :( 距CISCN2024全国决赛还有13天...已经开始

AkasecCTF2024 WriteUp-Pwn yapping 题目分析 一个纯汇编搓的程序，也就没有动态链接了。 没有栈溢出 但是能够覆盖栈上面保存的循环使用的i变量。用过修改这个变量实现一次任意地址写。 存在后门函数：win函数 但是需要先修改bss上面的变量才能通过检查拿到flag。 因此我们需要干的事情就是

鼠鼠也是手搓过VM薯薯的啦 题目分析 未知libc版本，这里按照2.35的Glibc进行操作。 实现的VM只有一个寄存器，但是可以利用unsorted bin残留的libc指针实现任意地址读写。 但是只有一个寄存器有点鸡肋，于是采用栈的方法依次修改。 就是首先把所有操作以及地址存到栈上面，最后通过pop进行各自的读写操

Gaylgame - 第一次出题的尝试 题目连接 附件下载： site: PwnBase-Click2Download #站点名称 owner: AkyOI #管理员名字 url: https://platform.akyuu.space/MineProbs/Gaylgame.zip #站点网址 desc: Downl

[DASCTF X GFCTF 2024 | 四月开启第一局] pwnwp Control IDA识别有点问题，重新识别后是个静态链接的题目。能拿到syscall的地址，而且没有开沙箱，所以想到直接syscall来execve('/bin/sh',0,0). 利用栈溢出漏洞就需要通过exception的catch。但是

GeekCTF2024 - WriteUp 得分总览 现在竟然排名还在 [Rank 19/633]{.label .primary} |Category|题目名称|得分|解题人数| |-|------|----|-------| |[Misc]{.label .primary}|[Welcome]{.label .pr

NKCTF-pallu 分析 一个2.23的heap 实现的功能就是能创造几个种类的chunk，可以自定义一个种类的chunk，包括名称，size（根据两个现有的大小取平均值）等。。。 但是size的限制就是小于0x4ff的堆块不能被free，也不能用它得到另外一个size的chunk。 在setlabel函数里面可以

house of cat Why cat? 众所周知，自从glibc2.34以后，glibc的一堆hook都被删除了。比如mallochook freehook reallochook。为了应对这种情况，于是利用IOFILE来攻击结构体来getSHELL cat直到最新的libc都是可以用的！！！ Prepare：La

shakticon-ctf-WP 总览 rank 8/596 solved 20/28 很水的国外比赛，只有前三名全是女生的队伍才有奖金，最高512$，最低100$ 感觉适合拿来招新赛。 PWN方向题目，过于简单，以至于太friendly，不到半小时ak了 reverse那里最难的那一道题思路100%正确，但是写出来的

持续更新ing... ... Origin... 之前打OI的时候接触了缺省源这个东西，现在打CTF的时候某些模板语句都懒得写，到别的文件去Copy，但是这样无疑还能够压榨时间。于是想把高中DEV-C++的缺省源类似的东西运用到VSCode编写EXP的过程里面，于是就有了今天这篇文章。 [原来你也玩缺省源]{.labe

[HGAME2024] Week4-EldenRingFinal 题目描述 年轻人的第一道IOFILE题目 结构体比较复杂的heap，看似free函数之后没有清空指针会有uaf漏洞，但是由于chunk之间采用链表链接，取出chunk也就没法遍历到了，所以就相当于清空指针的作用。而且创建指向内容的chunk的chunk在

[HGAME2024]Unsotredbin向前合并 + Off-By-Null 题目简述 来自HGAME2024 - Week3 给了add delete show的功能，edit在add的时候就进行了。 add函数在edit的时候会在写入内容末尾的下一个字节写入\x00，只可以引起Off-By-Null。 堆块大小

libc-cmp : libc-2.27 AND libc-2.31 Tcache方面 Tcache结构体数据类型 counts数组由char变成了uint16t，估计是为了防止元素被Hacker利用整数溢出为负数导致每个bin的chunk个数在之后的counts和TCACHEFILLCOUNT（数值7）大小判断导致失

libc-cmp : libc-2.23 AND libc-2.27 Tcache定义 Tcache的结构和chunk的对比： 可以看到Tcache只开启了一个next指针，用来像fastbin一样把Tcache们串联起来。注意到它在的位置是在一个chunk内存上最开始的位置，即prevsize的地方。 每个threa

NEUQCSA 2024 monthlygame1 WP Preview Misc : [签到]{.label .primary} [学习资料（1）]{.label .primary} [学习资料（2）]{.label .primary} [剪切板的秘密]{.label .primary} Pwn : [babysta

Glibc Heap Exploit 坐牢笔记 - 0x04 UAF hitcontraininguaf uaf直接秒了 Unsorted Bin Attack + Off By One hitcontrainingheapcreator 利用Unsorted Bin里面只有一个chunk的时候，这个chunk的fd和

Glibc Heap Exploit 坐牢笔记 - 0x03 Pre 期末周一直没有更，也没有学heap，寒假开始坐牢。 2024年首更。（除了那个XorHack那个算是补更） 0x01,0x02都是在理论层面进行的笔记，这篇以实践为重，内容也是最近做的题目。 老样子，不打算详解，只记录细节之类的。 Main [BUU

Xor Hack Tool Background 在创造了Xortear.cpp之后，发现编译之后用PE文件或者ELF文件打shellcode题目写EXP的时候并不方便使用。因此，重新写成了Python，这样直接import就行了。 ༼ つ ◕◕ ༽つ：手手，断断，救救... ... ༼ つ ◕◕ ༽つ：哦，对了，我在

XOR-Extract.cpp Background (Fake) ༼ つ ◕◕ ༽つ：众所周知，异或是一种神奇的运算规则，据不完全统计，目前已有0xffffffffffffffff人因为手搓XOR导致死亡，其中一半为脑死亡，另一半就是因为搓XOR搓的太猛导致手直接断了... ... (っ °Д °;)っ： 啊？那我不

Note(Pwn) - 0x02 - 一次Shellcode猜想的实践 做了[DASCTF X 0psu3 十一月挑战赛｜越艰巨·越狂热 ]{.label .primary}的Pwn的第一题[ASadStory ]{.label .primary}，解法挺好的。嗯，对。 前置知识 1.ORW 2.StackOverfl

NEUQCSA-2023-11月赛题解 解题情况总览 Misc : [Signin]{.label .primary} [USB]{.label .primary} [Rainbow]{.label .primary} Pwn : [白给のputs]{.label .primary} [白给のfmt]{.label .

HECTF2023 - Pwn - 题解 得分情况总览 共解出[ = 6 / 8 = ]{.label .primary}题 一血：[EZtext]{.label .primary} [easyweb]{.label .primary} [-风水小狮-]{.label .primary} 二血：[signin]{.la

关于chunk的malloc与free过程 largebin的具体分配过程？？？fastbin中的chunk是如何进入smallbin中的？？？ 众所周知，当一个被free的chunk的size小于一定大小就会被放入fastbin中。但是这里的过程是怎样的？ 这就要来看一下Glibc中的原码了： 这里面的mallocc

堆相关数据结构 chunk大小问题 最小chunk大小、用户malloc申请大小和实际malloc分割出来的chunk大小的关系 众所周知，在Glibc源码中，mallocchunk的结构体的原码如下： 这里面可以看到，如果一个chunk无论是处在allocated的状态下还是处于free状态下，他的prevsize和

写在最前面 根据情报，某些学长在学习Glibc Heap的时候有的遇到了很大的困难。这里开辟一片空间专门记录本人Glibc Heap学习的笔记、以及一些玄学的注意事项（应该还有一些题目啥的。） :::danger 本系列文章不打算详细讲解Glibc相关的基础知识，仅仅是作为笔记使用，不打算作为Glibc系统学习的教程

解题情况 解题思路 Misc level1-Login 直接看html，发现base64加密的一串。直接解密就是flag PWN ret2libc Q:请嗯造libc A:我嗯造libc StackMigration 字面意思，栈可以到处跑 正常审题程序不再罗列（checksec、IDA看字符串啥的）。 IDA中发现有

得分情况总览 解题思路 && EXP Misc Login 下载下来是个gif文件，通过某些在线工具就可以拆成单个帧，然后发现是三个图片各有一部分flag，连接起来就行了 有点奇怪的二维码 下载后在winhex查看发现底部存在 可知图片使用了LSB隐写，用stegsolve打开，查看后发现有一位的二维码不一样，扫描后就