已有二进制和漏洞点时，写稳定打通的远程 Pwn…

拿到二进制 + 已知漏洞点 + 目标环境，需要写出能稳定打通远程的 exploit（栈溢出/堆利用/内核 pwn）。

适用场景

解决思路

1. 执行前置检查：读取 `../field-journal/precedent-reverse.md` 确认操作已授权；确认任务命中适用范围；读取 `../tool-index.md` 校验工具可用性和实际路径；缺工具时调用 bootstrap，不猜路径；随后进入工作流第一步。
2. Step 1 确认漏洞类型 + 保护机制：用 `checksec ./vuln` 检查 NX / Canary / PIE / RELRO / Fortify；用 `file ./vuln` 和 `readelf -d ./vuln` 补充信息；将漏洞分类为栈溢出 / 格式化字符串 / 堆 (UAF/DF/OF) / 整数 / 竞态 / 内核；据此决定走哪个 `references/`。
3. Step 2 选择利用策略：NX 关 + 无 ASLR → 直接 shellcode；NX 开 + 给 libc → ret2libc / one_gadget；NX 开 + 不给 libc → leak 后 libc-database 反查；堆 → 按 glibc 版本对应技术 (tcache/fastbin/unsorted/large)；内核 → commit_creds / modprobe_path / core_pattern。
4. Step 3 准备 libc + gadget：用 `libc-database` 执行 `./find puts 0x6f0`；用 `ROPgadget --binary ./libc.so.6 --only "pop|ret"` 搜索 gadget；用 `one_gadget ./libc.so.6` 查找 magic gadget；计算 base：`leak_addr - libc.sym['puts']`。
5. Step 4 写 pwntools 模板（本地 process）：设置 `context.binary = ELF('./vuln')`；启动 `p = process('./vuln')` 或 `p = gdb.debug('./vuln','b *main+xx')`；构造 payload 如 `payload = cyclic(N) + p64(ret) + ...`；调用 `p.interactive()`。
6. Step 5 本地通：反复 attach + 看寄存器 + 调 offset；使用 pwndbg/GEF 的 `vmmap` / `heap` / `bins` / `telescope`；跑通后切换 `remote()`。
7. Step 6 远程稳定化：用 leak 反查 libc-database 确认 libc 偏移，不要拍脑袋；栈对齐 16-byte 不对齐导致 `movaps` 崩时加一个 `ret` gadget；远程网络延迟时用 `recvuntil` 精确锚字符串，禁用模糊 `sleep`；远程缓冲场景用 `sendlineafter` 比 `sendline` 更稳；堆喷成功率优化：放大 spray 数量 + 留 padding chunk 防合并；写 `while True` 多次跑验证成功率 ≥ 95%。
8. 场景 1 远程 64 位二进制 (NX+PIE+canary, 给了 libc)：先 leak canary（栈/格式化字符串/部分读）；再 leak 一个 libc 函数地址（`puts@got`）；用 `libc.address = leaked - libc.sym['puts']` 算 libc base；用 `one_gadget ./libc.so.6` 选一个约束能满足的 magic gadget；构造 `payload = padding + canary + saved_rbp + (pop_rdi + bin_sh + system)` 或直接 one_gadget；加一个 `ret` gadget 修栈对齐。
9. 场景 2 Linux 内核驱动 ioctl 越界写 → 拿 root：改 init 脚本拿到 root shell（CTF）或先 leak KASLR base 再继续（真实）；通过 `/proc/kallsyms`（可能限权）或未初始化堆喷 leak 内核基址；在 kmalloc-64 slab 里喷 `tty_struct` / `msg_msg` / `pipe_buffer`；覆盖 vtable 指针指向用户态（SMEP 下不可行），改走 stack pivot + 内核 ROP；ROP 链：`prepare_kernel_cred(0)` → `commit_creds` → `swapgs+iretq` → 用户态 `execve("/bin/sh")`；或覆盖 `modprobe_path` 为 `/tmp/x`，写一个 `/tmp/x`，然后触发 modprobe。
10. 工具依赖与自举：按需安装：`pip install pwntools`；`git clone https://github.com/bata24/gef`；`git clone https://github.com/pwndbg/pwndbg && ./setup.sh`；`pip install ropgadget`；`pip install ropper`；`gem install one_gadget`（需 ruby）；`git clone https://github.com/niklasb/libc-database && ./get`；`apt install qemu-system-x86`；`apt install binwalk cpio`；`apt install patchelf`。使用 Bootstrap 检查脚本安装核心工具：对 `pwntools ropgadget ropper` 循环 `pip show` 不存在则 `pip install`；`one_gadget` 不存在则 `gem install one_gadget`；`libc-database` 不存在则 `git clone` 并 `./get ubuntu debian`；`pwndbg` 不存在则 `git clone` 并 `./setup.sh`。同一工具自动安装失败 2 次后停止重试，输出结构化手动安装步骤（pip 源 / gem 源 / git 国内镜像 / apt 源）让用户确认。
11. 注意事项中的操作：不在本地跑通就交差，必须在 remote 模式下连续跑 20 次以上验证稳定性；libc 版本必须用 leak + libc-database 反查确认；64 位栈对齐问题加空 `ret` gadget；堆利用注意 glibc 版本差异（tcache 2.27 引入，safe-linking 2.32 引入，2.34 移除 hooks）；内核 pwn 先确认 qemu 启动参数中的 cpu 标志（+smep +smap +pku）决定 ROP 链；KASLR leak 一次就够，拿到一个内核地址后所有地址都算偏移。
12. 任务完成自检：执行工作流每一步（不是只阅读）；基于 `tool-index` 使用真实工具路径；产出可复现证据（命令/脚本/截图/报告）；完成并回写 RULES 要求的 Checklist 项。

适用边界 · 注意事项

• 尚未定位到具体漏洞点，需要先做 fuzzing 或代码审计时。
• 还没看懂二进制在干什么，需要先做逆向工程（reverse-engineering/ida-reverse/radare2）时。
• 只需要本地复现 POC，不要求远程稳定打通时不必走完整远程稳定化流程。