HGame

杭电在2020年初寒假[四个月]中举办了一场为期四周的招新赛,题目几乎常规题,百度就能查询到类似的EXP

Week_ONE

Pwn

第一题，Hard_AAAAA
直接贴EXP，很简单的一个gets函数引发的溢出

from pwn import*

第二题，Number_Killer
首先会进行20次函数调用，每次会输入不超过20个字符，以’\n’为截止部分，调用的函数返回利用atoll函数会转化输入的’\n’之前的字符为长整型变量。
然后直接利用puts函数打印出puts函数的真实地址，找到对应的libc版本，然后直接利用，贴出EXP，都是很简单的入门题。

from pwn import*

第三题，One_Shot
简单的Pwn题，读一遍程序伪C代码，首先将flag读入到bss段变量flag处，然后输入32个字符，看一遍bss段，name位于flag的上方，然后在&V4输入了一个值，后面又需要取V4 = 1,此处相当于会取我们输入的值的作为地址，令该地址的值为1，最后输出name的字符串，由于scanf输入字符串，会自动在字符串末补上’\x00’，又因为puts打印字符串遇到’\x00’则截断，所以利用V4 = 1,使’\x00’地址处为1

from pwn import*

第四题，ROP_LEVEL0
简单的64位栈溢出，五分钟一道的难度,直接贴EXP

from pwn import*

Reverse

第一题，Maze
简单的迷宫题，v5指向unk_6020C4数组首地址，每次以四个字节横向移动，每次64个字节纵向移动，每次循环判断V5移动到的位置是否为1，不为1则输出错误
稍微写一个程序，直接出路径，然后以wasd走出去即可

#include<stdio.h>

第二题，BitWise
算法逆向一遍就出来了

import string

第三题，Advance
其实就是一个base64加密flag，然后取每个字符在base64码的下标作为程序里面其中数组的下标，如果flag字节不足3的倍数，则编码后的flag用=补齐，最后函数返回与0g371wvVy9qPztz7xQ+PxNuKxQv74B/5n/zwuPfX’进行比较

import base64,string

第四题，CPP
不需要太多的线性代数的知识，只需要知道矩阵相乘即可，首先将输入的flag以” _ “分割，再利用atoll将分割后的字符串转化为长整型，最后进行矩阵相乘，每次结果与上述已给9个值进行相等比较，逆向算出的结果需要转化为有符号型整型，然后以” _ “拼接在一起，则为flag，此题直接手算，写代码太麻烦了吧。

FLAG

1:hgame{0OoO0oo0O0Oo}
2:hgame{Ea2y_2hel1c0de_1n_St4ck}
3:hgame{On3_Sh0t_0ne_Fl4g}
4:hgame{R0P_1s_H4cK3rs’_RoM4nC3}

Reverse
1:hgame{ssssddddddsssssddwwdddssssdssdd}
2:hgame{0f233e63637982d266cbf41ecb1b0102}
3:hgame{b45e6a_i5_50_eazy_6VVSQ}
4:hgame{-24840_-78193_51567_2556_-26463_26729_3608_-25933_25943}
关于Crypto、Web、Misc等题，可进入我队友的博客查看

Week_TWO

水了几天了，就做了几道pwn题，re做了两个最简单的，沉迷于小说去了
re就不写了，写三个pwn题吧，最后一个还没去想
1.Find_YourSelf
getcwd()函数取得的目录即/proc/self/cwd 值一样，则第一步利用 ls -l /proc/self/cwd 打印出软链接到哪个目录，从而绕过主函数的strcmp，在Linux系统里面，$0其实就代表/bin/sh，所以第二个命令就提交$0,故可取得权限，然后由于程序关闭了标准输出和错误输出，可将cat flag输出的内容重定向标准输入，则在权限取得之后，输入

$ cat flag >&0

EXP………

from pwn import*

2.Roc826s_Note
简单的堆题，delete后没有置0，存在UAF漏洞，首先利用申请一个大于fast_bin的chunk块，然后申请两个fast_bin块，删除第一个，最后利用show函数打印chunk0，打印出来的地址为main_arena+88，在libc找到main_arena大小，可以确定libc基址，最后利用double free实现__malloc_hook改one_gadget

from pwn import*

3.Another_Heaven
利用最开始的一个地址任意写，以及strcmp和flag比较，从而可以爆破flag，EXP比较好写

#-*- coding:utf-8 -*-

4.明天，明天一定做，算了，咕了吧，看小说去(手动滑稽
不想做了，把官方WP改一下，本地调试过了就发出来了，WEEK3…
首先利用任意写打印PIE基址，然后利用flag==1，E99处修改puts的got表内容为printf的plt表地址，则puts(name)变为printf(name)，在第二次name输入时，可以手动构造格式化字符串漏洞，打印Canary和libcbase,第三次回到开始，即可变成在一个ROP向下栈溢出

#coding=utf8

Week_THR

1.ROP
沙盒函数，利用ORW直接读flag文件，又因为前面已经打开过一个文件，故fd改为4

from pwn import*

2.Annevi_Note
由于存在堆溢出，可以修改下一个chunk块的presize和size域，即可引发unlink，实现任意写，最后利用free_hook改one_gadget，一把梭

from pwn import*

3.E99p1ant_Note
offbyone漏洞，由于64位程序，对齐16位大小，故申请空间的时候，申请大小最低位为8，即可修改下一个chunk块size域中的flag位，从而利用overlap+fastbin_attack，还有因为unsorted bin切分块，可以取得main_arena+88的值，然后通过double free改malloc_hook为one_gadget

#coding=utf8

4.补回来了，一个C++逆向，很简单，发现overwrite那里会溢出覆写到下一个列表的chunk块中，且got表可改，则直接溢出到下一个列表中的ITEM地址，从而修改其ITEM地址，替换成的atol函数的got表地址，show_item则打印真实地址，继而利用edit修改got表为system，这里由于写入system时用到atoi，则我们转而利用atol函数才行

from pwn import*

Week_FOUR

1.ROP_LEVEL5
一个ret2_dl_runtime_resolve，可以找CTF_WIKI上面的模板做，理解的话，看我另外一篇文章JUMP——SLOT即可，延迟绑定

from pwn import*

2.Annevi_note2
程序关闭了标准输出[stdout]，但是没有关闭错误输出[stderr]，所以通过给的libc文件，找到对应两个函数的偏移，即可通过爆破，从而有部分概率将标准输出改到错误输出上面，从而输出想要的内容

from pwn import*