CTF

CSAW CTF 2024 Quals (Pwn)

[ solved ] mini-golfing더보기int __cdecl main(int argc, const char **argv, const char **envp){ char s[8]; // [rsp+0h] [rbp-510h] BYREF __int64 v5; // [rsp+8h] [rbp-508h] char v6[1264]; // [rsp+10h] [rbp-500h] BYREF void (__fastcall *v7)(const char *, _QWORD); // [rsp+500h] [rbp-10h] BYREF void (__fastcall *v8)(const char *, _QWORD); // [rsp+508h] [rbp-8h] setvbuf(_bss_start, 0LL, 2, 0LL); se..

SEKAI CTF 2024 (Pwn) - nolibc

분석에 시간을 많이 썼던 문제 (심볼 없고 함수가 너무 많았던..) 라이브러리 없이 사용자 정의 함수로 굴러가는 바이너리다. 적당히 rename하면서 분석을 수행한다. void __noreturn start() { int menu_num; // [rsp+8h] [rbp-8h] int num; // [rsp+Ch] [rbp-4h] init(); while ( 1 ) { write("Welcome to String Storage!"); write("Please login or register an account to continue :)"); write(&null); while ( user_idx == 0xFFFFFFFF ) { write("1. Login"); write("2. Register"); wri..

DeadSec CTF 2024 (Pwn)

[ solved ]misc / Mic Check더보기그냥 echo 구현해주면 되는 문제from pwn import *context.log_level = 'debug'p = remote('34.134.200.24', 30373)for _ in range(100): p.recvuntil(b'> ') echo = p.recvuntil(b' ')[:-1] p.sendlineafter('>',echo)p.interactive() pwn / Super CPP Calculator더보기 int __cdecl __noreturn main(int argc, const char **argv, const char **envp){ calc_st calc; // [rsp+0h] [rbp-20h] BYREF ..

ImaginaryCTF 2024 (Pwn)

[ solved ]pwn / imgstore더보기바이너리는 좀 긴데 리네이밍하면서 보니 취약한 부분은 한정되어 있었다.3번 메뉴인 sell 함수에서 fsb 트리거할 수 있고feedbeef 조건 맞춰주면 bof를 트리거할 수 있다. 근데 bof는 트리거 해도 fgets가 작동을 안한다.(왜 그런진 모르겠음) 그래서 그냥 리턴 주소를 원가젯으로 덮어서 쉘 땄다.unsigned __int64 sell(){ char v1; // [rsp+7h] [rbp-59h] BYREF int buf; // [rsp+8h] [rbp-58h] BYREF int fd; // [rsp+Ch] [rbp-54h] char title[72]; // [rsp+10h] [rbp-50h] BYREF unsigned __int64 v..

DownUnderCTF 2024 (Pwn)

[ solved ] pwn / vector overflow더보기#include #include #include #include char buf[16];std::vector v = {'X', 'X', 'X', 'X', 'X'};void lose() { puts("Bye!"); exit(1);}void win() { system("/bin/sh"); exit(0);}int main() { char ductf[6] = "DUCTF"; char* d = ductf; std::cin >> buf; if(v.size() == 5) { for(auto &c : v) { if(c != *d++) { lose(); ..