当前位置：主页 > 查看内容

pwn题命令行解题脚本 - LynneHuan

发布时间：2021-05-06 00:00| 有位朋友查看

简介：目录脚本说明脚本内容使用使用示例参考与引用脚本说明这是专门为本地调试与远程答题准备的脚本，依靠命令行参数进行控制。本脚本支持的功能有：本地调试开启 tmux 调试设置 gdb 断点，支持函数名断点、地址断点、文件名:行号断点、 $rebase……

脚本说明
脚本内容
使用
使用示例
参考与引用

脚本说明

这是专门为本地调试与远程答题准备的脚本，依靠命令行参数进行控制。
本脚本支持的功能有：

本地调试
- 开启tmux调试
- 设置gdb断点，支持函数名断点、地址断点、文件名:行号断点、$rebase(0x00)断点
- 设置gdb script，可以设置任何内置的gdb命令
远程答题
- 默认支持buuctf上解题的主机，只需要指定远程port
- 显式指定远程ip和port
可使用装饰器函数、偏函数
- 在执行函数前、后线程休眠指定秒数
- 记录函数执行日志
- int16解析16进制字符串为整数
可自由定制
- 依托click模块，可以自行定制更多功能

脚本内容

#!/usr/bin/python3
# -*- encoding: utf-8 -*-

# @File    : do_pwn_template.py
# @Time    : 2021/04/02 21:15:43
# @Author  : Roderick Chan
# @Email   : ch22166@163.com
# @Desc    : pwn题本地调试、远程攻击脚本

'''
==========================================================================================
本脚本为pwn题所编写，利用click模块配置命令行参数，
能方便地进行本地调试和远程解题。
本地命令示例：
    python3 exp.py filename --tmux 1 --gdb-breakpoint 0x804802a --gdb-breakpoint printf
    python3 exp.py filename -t 1 -gb 0x804802a -gb printf
    python3 exp.py filename -t 1 -gs "x /12gx \$rebase(0x202080)" -sf 0 -pl "warn"
    即可开始本地调试,并且会断在地址或函数处。先启动tmux后，--tmux才会有效。

远程命令示例：
    python3 exp.py filename -i 127.0.0.1 -p 22164
    python3 exp.py filename -p 22164
    可以连接指定的IP和端口。目前在刷buuctf上的题，所以填了默认ip，只指定端口即可。

==========================================================================================
'''

from pwn import *
from LibcSearcher import LibcSearcher
import click
import sys
import os
import time
import functools

print(__doc__)

FILENAME = '#' # 要执行的文件名
DEBUG = 1 # 是否为调试模式
TMUX = 0 # 是否开启TMUX
GDB_BREAKPOINT = None # 当tmux开启的时候，断点的设置
GDB_SCRIPT = None # 当tmux开启的时候, gdb_script的设置，可以是任意有效的语句
IP = None # 远程连接的IP
PORT = None # 远程连接的端口
LOCAL_LOG = 1 # 本地LOG是否开启
PWN_LOG_LEVEL = 'debug' # pwntools的log级别设置
STOP_FUNCTION = 1 # STOP方法是否开启

CONTEXT_SETTINGS = dict(help_option_names=['-h', '--help'])

@click.command(context_settings=CONTEXT_SETTINGS, short_help='Do pwn!')
@click.argument('filename', nargs=1, type=str, required=0, default=None)
@click.option('-d', '--debug', default=True, type=bool, nargs=1, help='Excute program at local env or remote env. Default value: True.')
@click.option('-t', '--tmux', default=False, type=bool, nargs=1, help='Excute program at tmux or not. Default value: False.')
@click.option('-gb', '--gdb-breakpoint', default=[], type=str, multiple=True, help="Set a gdb breakpoint while tmux is enabled, is a hex address or '\$rebase' addr or a function name. Multiple setting supported. Default value:'[]'")
@click.option('-gs', '--gdb-script', default=None, type=str, help="Set a gdb script while tmux is enabled, the script will be passed to gdb and use '\\n' or ';' to split lines. Default value:None")
@click.option('-i', '--ip', default=None, type=str, nargs=1, help='The remote ip addr. Default value: None.')
@click.option('-p', '--port', default=None, type=int, nargs=1, help='The remote port. Default value: None.')
@click.option('-ll', '--local-log', default=True, type=bool, nargs=1, help='Set local log enabled or not. Default value: True.')
@click.option('-pl', '--pwn-log', type=click.Choice(['debug', 'info', 'warn', 'error', 'notset']), nargs=1, default='debug', help='Set pwntools log level. Default value: debug.')
@click.option('-sf', '--stop-function', default=True, type=bool, nargs=1, help='Set stop function enabled or not. Default value: True.')
def parse_command_args(filename, debug, tmux, gdb_breakpoint, gdb_script,
                       ip, port, local_log, pwn_log, stop_function):
    '''FILENAME: The filename of current directory to pwn'''
    global FILENAME, DEBUG, TMUX, GDB_BREAKPOINT, GDB_SCRIPT, IP, PORT, LOCAL_LOG, PWN_LOG_LEVEL, STOP_FUNCTION
    # assign
    FILENAME = filename
    DEBUG = debug
    TMUX = tmux
    GDB_BREAKPOINT = gdb_breakpoint
    GDB_SCRIPT = gdb_script
    IP = ip
    PORT = port
    LOCAL_LOG = local_log
    PWN_LOG_LEVEL = pwn_log
    STOP_FUNCTION = stop_function

    # change
    if PORT: # 远程下这些是需要关闭的
        DEBUG = 0
        TMUX = 0
        STOP_FUNCTION = 0
        GDB_BREAKPOINT = None
        GDB_SCRIPT = None
        if IP is None:
            IP = 'node3.buuoj.cn'
    
    if DEBUG:
        IP = None
        PORT = None
    
    # assert
    assert not (FILENAME is None and PORT is None), 'para error'
    assert not (FILENAME is None and DEBUG == 1), 'para error'
    assert not (PORT is not None and DEBUG == 1), 'para error'
    assert not (DEBUG == 0 and TMUX == 1), 'para error'
    
    # print
    click.echo('=' * 50)
    click.echo(' [+] Args info:\n')
    if FILENAME:
        click.echo('  filename: %s' % FILENAME)
    click.echo('  debug enabled: %d' % DEBUG)
    click.echo('  tmux enabled: %d' % TMUX)
    if GDB_BREAKPOINT:
        click.echo('  gdb breakpoint: %s' % GDB_BREAKPOINT)
    if IP:
        click.echo('  remote ip: %s' % IP)
    if PORT:
        click.echo('  remote port: %d' % PORT)
    click.echo('  local log enabled: %d' % LOCAL_LOG)
    click.echo('  pwn log_level: %s' % PWN_LOG_LEVEL)
    click.echo('  stop function enabled: %d' % STOP_FUNCTION)
    click.echo('=' * 50)
    

parse_command_args.main(standalone_mode=False)

# 退出条件，只要参数有 -h 或 --help就退出
if len(sys.argv) > 1:
    for arg in sys.argv:
        if '-h' == arg or '--help' == arg:
            sys.exit(0)

if DEBUG:
    io = process('{}'.format(FILENAME))
else:
    io = remote(IP, PORT)

if TMUX:
    context.update(terminal=['tmux', 'splitw', '-h'])
    tmp_all_gdb = ""
    if GDB_BREAKPOINT is not None or len(GDB_BREAKPOINT) > 0:
        # 解析每一条gdb-breakpoint
        for gb in GDB_BREAKPOINT:
            if gb.startswith('0x') or gb.startswith('$rebase('):
                tmp_all_gdb += "b *{}\n".format(gb) # 带上*
            else: # 传入函数
                tmp_all_gdb += "b {}\n".format(gb) # 不带*
    if GDB_SCRIPT is not None:
        tmp_all_gdb += GDB_SCRIPT.replace("\\n", "\n").replace(";", "\n") + "\n"
    tmp_all_gdb += "c\n"
    gdb.attach(io, gdbscript=tmp_all_gdb)


if FILENAME:
    cur_elf = ELF('{}'.format(FILENAME))
    print('[+] libc used ===> {}'.format(cur_elf.libc))



def LOG_ADDR(addr_name:str, addr:int):
    if LOCAL_LOG:
        log.success("{} ===> {}".format(addr_name, hex(addr)))
    else:
        pass


def LOG_ADDR_EX(addr_name:str):
    '''
    存储地址的变量名，字符串
    如：a = 0xdeadbeef 
    调用: LOG_ADDR_EX('a')
    
    '''
    if LOCAL_LOG:
        # 利用eval函数, 首先检索一下
        if addr_name in globals() or addr_name in vars():
            tmp_var = eval(addr_name)
            log.success("{} ===> {}".format(addr_name, hex(tmp_var)))
        else:
            log.warn("No variable named: '" + addr_name + "'")
    else:
        pass
    


def STOP():
    if not STOP_FUNCTION:
        return
    print("stop...{}  {}".format(sys._getframe().f_lineno, proc.pidof(io)))
    pause()


############### 定义一些偏函数 ###################

int16 = functools.partial(int, base=16)

#################### END ########################


############### 定义一些装饰器函数 ###############

def time_count(func):
    '''
    装饰器：统计函数运行时间
    '''
    @functools.wraps(func)
    def wrapper(*args, **kwargs):
        print('=' * 50)
        print('function #{}# start...'.format(func.__name__))
        start = time.time()
        res = func(*args, **kwargs)
        end = time.time()
        print('function #{}# end...execute time: {} s / {} min'.format(func.__name__, end - start, (end - start) / 60))
        return res
    return wrapper


def sleep_call(second:int=1, mod:int=1):
    """
    装饰器：在调用函数前后线程先睡眠指定秒数
    
    Args:
        second: 休眠秒数
        mod: 0 不休眠; 1 为调用前休眠; 2 为调用后休眠; 3 为前后均修眠
    """
    if mod > 3 or mod < 0:
        mod = 1
    def wrapper1(func):
        @functools.wraps(func)
        def wrapper2(*args, **kwargs):
            if mod & 1:
                time.sleep(second)
            res = func(*args, **kwargs)
            if mod & 2:
                time.sleep(second)
            return res
        return wrapper2
    return wrapper1
    
#################### END ########################

context.update(log_level=PWN_LOG_LEVEL)

# 一般需要带上文件，可注释改行语句
assert FILENAME is not None, 'give me a file!'
##################################################
##############以下为攻击代码#######################
##################################################

使用

使用详情基本在注释里面写得很清楚了，这里展示一下输入python exp.py -h后显示的帮助信息：

笔记本屏幕有点小······

以下为全部显示内容：

==========================================================================================
本脚本为pwn题所编写，利用click模块配置命令行参数，
能方便地进行本地调试和远程解题。
本地命令示例：
    python3 exp.py filename --tmux 1 --gdb-breakpoint 0x804802a --gdb-breakpoint printf
    python3 exp.py filename -t 1 -gb 0x804802a -gb printf
    python3 exp.py filename -t 1 -gs "x /12gx $rebase(0x202080)" -sf 0 -pl "warn"
    即可开始本地调试,并且会断在地址或函数处。先启动tmux后，--tmux才会有效。

远程命令示例：
    python3 exp.py filename -i 127.0.0.1 -p 22164
    python3 exp.py filename -p 22164
    可以连接指定的IP和端口。目前在刷buuctf上的题，所以填了默认ip，只指定端口即可。

==========================================================================================

Usage: do_pwn_template.py [OPTIONS] [FILENAME]

  FILENAME: The filename of current directory to pwn

Options:
  -d, --debug BOOLEAN             Excute program at local env or remote env.
                                  Default value: True.

  -t, --tmux BOOLEAN              Excute program at tmux or not. Default
                                  value: False.

  -gb, --gdb-breakpoint TEXT      Set a gdb breakpoint while tmux is enabled,
                                  is a hex address or '$rebase' addr or a
                                  function name. Multiple setting supported.
                                  Default value:'[]'

  -gs, --gdb-script TEXT          Set a gdb script while tmux is enabled, the
                                  script will be passed to gdb and cannot be
                                  identified with gdb-breakpoint
                                  simultaneously. Default value:None

  -i, --ip TEXT                   The remote ip addr. Default value: None.
  -p, --port INTEGER              The remote port. Default value: None.
  -ll, --local-log BOOLEAN        Set local log enabled or not. Default value:
                                  True.

  -pl, --pwn-log [debug|info|warn|error|notset]
                                  Set pwntools log level. Default value:
                                  debug.

  -sf, --stop-function BOOLEAN    Set stop function enabled or not. Default
                                  value: True.

  -h, --help                      Show this message and exit.

使用示例

本地调试：
输入：python3 exp.py ./ycb_2020_babypwn -t 1 -gs "b malloc\nb free"

自动下断点malloc和free
输入：python3 exp.py ./ycb_2020_babypwn -t 1 -gb "\$rebase(0xc1f)"，这里要加上转义字符，否会失败。

同样命中断点！

远程攻击：
输入：python3 exp.py ./ycb_2020_babypwn -i "127.0.0.1" -p 6666

参考与引用

click帮助文档：https://docs.pwntools.com/en/latest/
pwntools帮助文档： https://click.palletsprojects.com/en/7.x/

-原文链接：https://www.cnblogs.com/LynneHuan/p/14618314.html
本站部分内容转载于网络，版权归原作者所有，转载之目的在于传播更多优秀技术内容，如有侵权请联系QQ/微信：153890879删除，谢谢！

上一篇：Linux下安装部署NodeJS完整步骤 下一篇：没有了

随机推荐

Spring3.0配置多个事务管理器的方法

Spring3.0配置多个事务管理器（即操作多个数据源）的方法大多数项目只需要一个...
不使用XMLHttpRequest对象实现Ajax效果的

本文实例讲述了不使用XMLHttpRequest对象实现Ajax效果的方法。分享给大家供大家...
用Asp与XML实现交互的一个实例源码

XML是标准扩展语言，是未来Web编程的标准,asp是现在广为流传的web编程语言之一,...
PHP快速导出百万级数据到CSV或者EXCEL文

前言：很多时候，因为数据统计，我们需要将数据库的数据导出到Excel等文件中，...
用Javascript实现发送短信验证码间隔功能

在很多app和网站中，我们登陆或者注册账号，会有一个发送短信验证码的地方1，然...
Flex3 DataGrid拖拽到ClumnChart动态显示

支持多行同时拖拽，重复数据不重得添加，添加了图表右键菜单. 复制代码代码如下...
【2021-04-02】JS逆向之网易云音乐登入--

声明本文只作学习研究禁止用于非法用途否则后果自负如有侵权请告知删除谢谢文章...
一文搞懂Undo Log版本链与ReadView机制如

本文转载自微信公众号「菜鸟飞呀飞」，作者刘进坤。转载本文请联系菜鸟飞呀飞公...
如何检测字符串出现的次数？

如何检测字符串出现的次数？ Function CheckTheChar(TheChar,TheString) ' TheCh...
企业 dns 服务器搭建

企业 dns 服务器搭建 1. dns 的名词解释 2. dns 服务的安装与启用 3. 高速缓存 d...

pwn题命令行解题脚本 - LynneHuan

脚本说明

脚本内容

使用

使用示例

参考与引用

推荐图文

谷歌 Chrome 浏览器将提供 “实验性功能”按钮，以

微软发布 KB500156X 累积更新，修复 Windows10打印

利用二进制文件安装etcd的教程详解

XSL简明教程(3)在客户端的实现

解决使用commit提交大文件无法推送到远程库问题及gi

【蓝桥杯2016JavaB】放格填数

随机推荐

Spring3.0配置多个事务管理器的方法

不使用XMLHttpRequest对象实现Ajax效果的

用Asp与XML实现交互的一个实例源码

PHP快速导出百万级数据到CSV或者EXCEL文

用Javascript实现发送短信验证码间隔功能

Flex3 DataGrid拖拽到ClumnChart动态显示

【2021-04-02】JS逆向之网易云音乐登入--

一文搞懂Undo Log版本链与ReadView机制如

如何检测字符串出现的次数？

企业 dns 服务器搭建

关于我们