开新坑，随手做一做。

welcome

二话不说，掏出IDA

很明显，需要把*address地址改成0，则可以获取flag。

这时候，看伪代码其实不好看，得看汇编

看到这一行，rdx是可控的，也就是我们输入的size，在伪代码中可以看到。我们要做的只要把rbp设置为0.

rbp也就是v5，由malloc赋值，怎么设置为0？malloc返回为NULL(0)就行。

开头程序会print address的地址的值，那么长的地址输入进去，malloc应该会返回NULL吧。

试了下果不其然。

所以我们用计算机，构造开头address地址+1，malloc返回NULL，size值-1则是address地址。

成功拿到flag

sub

送分题，不多说，看题目。

看到这个第一反应原本是溢出，但是看到<=，emmmm，直接4918 -1，解决。

减去负数就是加desu。

add

看题。

很明显，addr可以数组越界溢出栈。直接覆盖ret的esp返回值就行。

内置了一个函数，要求就是覆盖rip到这里。

因为地址 是静态，所以直接看ida的地址，400822，然而这个是16进制，16转10就是4196386.

之后，我们查找rip地址，本来可以直接用ida pro远程调试的，但是我这边ida pro+wsl出各种问题没调试成功。

没办法只好gdb了。 设置printf断点，在第二个断点用x/30x $sp打印esp信息

本来以为是红框处那里，但是试了一下，结果发现是下面那个白框处。不知道为什么，疑惑。要是有ida就好了。

最后试了下，试出来第三个参数是13,也就是越界的下标。

之后我们运行，在input:后输入 0 4196386 13 (前面两个无所谓，只要相加之和等于4196386即可

运行后会回到input:状态，这时候我们按下ctrl+D发送EOF，即可得到flag

未完待续，咕咕咕ing

内网漫游时，正好发现了一个奇怪的页面。同时又突发奇想心血来潮闲的蛋疼balabala的想试试远古的工具包实际效果，于是就开始了我们的测试啦,因为这个站非常没有技术含量and早就废弃不用了，所以我就拿出来氵一篇文章了，不然博客都长草了

目标是这个

第一步信息收集，怎么做呢？肯定是先御剑走起啊。

御剑扫的同时，先看看页面整么做的。

看了一下，发现是一个asp页面下面加上好几个html页面，然后用ajax请求。看到这瞬间知道没什么希望了

但是天无绝人之路，御剑发现目录下有个BOOK.MDB，直接走起下载。读取查看，

看样子确实是动态的

我们看看有没有什么密码

现在用户名密码有了，问题来了，找不到登陆的地点。

各种尝试过后，失败.jpg

换去扫端口，nmap走起。

发现除了开启88端口外，80端口还有一个站点。

同时还有开放1723，1433，1025，1026，3389等一些服务，

其中1723和1025，1026这几个应该是没啥办法的了，这分别是某服务也windows rpc服务。

我们转到80站点看看

感觉有戏！先看看站点。

试了下登陆，没有回显。再看看题目那里sql注入


看样子似乎可以注入，但是并不是个注入点的样子。

继续掏出御剑，走起

神奇的发现，目录是可读的。

尝试下载。失败

这时候我们发现了个Upfile

上传个文件试试

emmm果不其然失败了

但是我们看这个路径upfile.asp?jpgname=

立刻掏出我们的Fiddle，构造一个上传请求，asp马，上传.jpg

成功拿下。

发现服务器是windows 2003的，站点是IIS6.0

但是我们发现我们的服务很死。

windows甚至没有执行权限，cmd命令都无法执行，我们上传个cmd，执行试试。也不行。

然后想起了站点时IIS6.0，从工具包里找个pr.exe。

pr原理大概就是已NETWORK SERVICE权限运行的用户可以试着提权到SYSTEM权限。

抱着试一试的心态上传了这个exploit，执行

emmmm卧槽？真的成了？？？

然后就连上去了doge。。

开头

现在是音乐系的学生了！

设备也到了，

开个新贴，整理些这部分的心得。

mixo-Lydian

适合中世纪，异族风情

走向是I-VII-IV

Lydian

未知，但又明亮。适合让人探索的感觉

重点强调I IV和III V这几个音。和弦一般用I II都行，还可以插入个VII