pwn-chain

ACTION REQUIRED（读完后立刻execute）

1. NOW: read ../field-journal/precedent-reverse.md — 确认本 skill 的operation是已authorization的常规operation
2. NOW: 确认当前task是否hit本 skill 的适用scope
3. NEXT: read ../tool-index.md，checksumtoolavailable性和实际path
4. NEXT: 缺tool时调用 bootstrap，不要猜path
5. ACT: 进入"工作流"第一步并execute，不要停在确认status

从vulnerability点到 Working Exploit (Pwn Chain)

适用scope

当task属于以下scenario时使用本 skill：

1. 拿到二进制 + 已知vulnerability点 — 静态/审计/fuzz 已经找到溢出/UAF/double free，需要从触发到拿 shell
2. CTF 题已经本地通了，远程打不通 — 远端environment差异导致script失效，需要稳定化
3. 真实target的二进制利用 — SRC / red teamscenario下，已经识别到memory损坏vulnerability，需要构造 RCE
4. Linux kerneldriver的 ioctl bug — 用户态触发，target是privilege escalation到 root

前提：你已经知道"哪里炸了"。本 skill 不负责findingvulnerability（那是 fuzzing / 审计），只负责"从vulnerability点写出 exploit"。

与其他 skill 的分工

scenario	用什么
识别 custom VM / anti-debug / 复杂 obfuscation	reverse-engineering/
从零打开二进制做static analysis	ida-reverse/ 或 radare2/
有vulnerability点，写 exploit 打通远程	本 skill
把 pwn 拿到的 shell 整合进完整attack chain	attack-chain/（下游）

reverse-engineering/ 关注"理解程序在干什么"（模式识别、protocol还原、解 CTF 题里的奇怪机制）；本 skill 关注"把已经看懂的vulnerability变成可execute的攻击"。两者经常配套使用，但分工清晰。

核心工作流

Step 1: 确认vulnerability类型 + 保护机制
   ├─ checksec ./vuln（NX / Canary / PIE / RELRO / Fortify）
   ├─ file ./vuln  + readelf -d ./vuln
   ├─ vulnerability分类：栈溢出 / 格式化字符串 / heap (UAF/DF/OF) / 整数 / 竞态 / kernel
   └─ → 决定走哪个 references/

Step 2: 选择利用policy
   ├─ NX 关 + 无 ASLR → 直接 shellcode
   ├─ NX 开 + 给 libc → ret2libc / one_gadget
   ├─ NX 开 + 不给 libc → leak 后 libc-database 反查
   ├─ heap → 按 glibc version对应技术 (tcache/fastbin/unsorted/large)
   └─ kernel → commit_creds / modprobe_path / core_pattern

Step 3: 准备 libc + gadget
   ├─ libc-database：./find puts 0x6f0
   ├─ ROPgadget --binary ./libc.so.6 --only "pop|ret"
   ├─ one_gadget ./libc.so.6
   └─ 计算 base：leak_addr - libc.sym['puts']

Step 4: 写 pwntools template（本地 process）
   ├─ context.binary = ELF('./vuln')
   ├─ p = process('./vuln')  /  p = gdb.debug('./vuln','b *main+xx')
   ├─ payload = cyclic(N) + p64(ret) + ...
   └─ p.interactive()

Step 5: 本地通
   ├─ 反复 attach + 看寄存器 + 调 offset
   ├─ 用 pwndbg/GEF 的 vmmap / heap / bins / telescope
   └─ 跑通后切 remote()

Step 6: 远程稳定化
   ├─ libc 偏移：用 leak 反查 libc-database，不要拍脑袋
   ├─ 栈对齐：16-byte 不对齐 → movaps 崩 → 加一个 ret gadget
   ├─ 远程network延迟 → recvuntil 精确锚字符串，禁用模糊 sleep
   ├─ 远程缓冲：sendlineafter 比 sendline 更稳
   ├─ heap喷success率：放大 spray 数量 + 留 padding chunk 防合并
   └─ 多次跑：写 while True 验证success率 ≥ 95%