IO_FILE:2018 HCTF the_end

最新推荐文章于 2023-05-26 17:53:35 发布

Mira1127

最新推荐文章于 2023-05-26 17:53:35 发布

阅读量1.7k

点赞数 11

分类专栏： linux pwn

本文链接：https://blog.csdn.net/Mira_Hu/article/details/103736917

版权

本文详细分析了HCTF 2018 the_end挑战中利用glibc的三种方法：修改stdout函数表setbuf，修改stdout结构体中虚表的overflow函数指针，以及修改_dl_fini函数指针。通过在exit后遍历_IO_list_all，利用任意位置写5字节的漏洞，最终达到执行one gadget并获取shell的目的。

摘要由CSDN通过智能技术生成

kips: libc2.23

标准输入输出定义顺序

#define DEF_STDFILE(NAME, FD, CHAIN, FLAGS) \
  static _IO_lock_t _IO_stdfile_##FD##_lock = _IO_lock_initializer; \
  struct _IO_FILE_plus NAME \
    = {FILEBUF_LITERAL(CHAIN, FLAGS, FD, NULL), &_IO_old_file_jumps};

DEF_STDFILE(IO_2_1_stdin, 0, 0, _IO_NO_WRITES);
DEF_STDFILE(IO_2_1_stdout, 1, &IO_2_1_stdin, _IO_NO_READS);
DEF_STDFILE(IO_2_1_stderr, 2, &IO_2_1_stdout, _IO_NO_READS+_IO_UNBUFFERED);
、
全局标准 IO 在 libc 中的偏移

XREF[76]:  stderr
003c5700    addr  _IO_2_1_stderr_ = Entry Point(*), [more]
XREF[37]:  stdout
003c5708    addr  _IO_2_1_stdout_ = Entry Point(*), [more]
XREF[39]:  stdin
003c5710    addr  _IO_2_1_stdin_  = Entry Point(*), [more]
   
_IO_2_1_stdin_  0x003c48e0
_IO_2_1_stderr_ 0x003c5540
_IO_2_1_stdout_ 0x003c5620

_IO_list_all 	0x003c5520
XREF[18]:  _IO_list_all
003c5520 40 55 3c 00 00 00 00 00 addr  _IO_2_1_stderr_  = Entry Point(*),[more]

基本信息

mira@ubuntu:~/test/pwn/io_file/2018_hctf_the_end$ checksec ./the_end 
[*] '/home/mira/test/pwn/io_file/2018_hctf_the_end/the_end'
    Arch:     amd64-64-little
    RELRO:    Full RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      PIE enabled

void __fastcall __noreturn main(__int64 a1, char **a2, char **a3)
{
   
  signed int i; // [rsp+4h] [rbp-Ch]
  void *buf; // [rsp+8h] [rbp-8h]

  sleep(0);
  printf("here is a gift %p, good luck ;)\n", &sleep);
  fflush(_bss_start);
  close(1);
  close(2);
  for ( i = 0; i <= 4; ++i )
  {
   
    read(0, &buf, 8uLL);
    read(0, buf, 1uLL);
  }
  exit(1337);
}

分析题目，利用点和明确在main函数中，且：

除了canary 保护全开
libc 基地址和libc版本

能够任意位置写5字节

struct _IO_FILE_plus *_IO_list_all = &_IO_2_1_stderr_;

思路

利用的是在程序调用exit 后，会遍历 _IO_list_all ，调用 _IO_2_1_stdout 下的 vatable 中 _setbuf 函数。
可以先修改两个字节在当前 vtable 附近伪造一个 fake_vtable，然后使用 3 个字节修改 fake_vtable 中 _setbuf 的内容为 one_gadget.
我们先调试找出 IO_2_1_stdout 和 libc 的偏移，借助 ida 或者 libcsearch 工具找出 vtables 偏移 0x3C56F8 如下：

.data:00000000003C48E0                                         public _IO_2_1_stdin_
.data:00000000003C48E0 88 20 AD FB 00 00 00 00+_IO_2_1_stdin_  dq 0FBAD2088h, 0Eh dup(0), 0FFFFFFFFFFFFFFFFh, 0
.data:00000000003C4968 90 67 3C 00 00 00 00 00                 dq offset unk_3C6790
.data:00000000003C4970 FF FF FF FF FF FF FF FF+                dq 0FFFFFFFFFFFFFFFFh, 0
.data:00000000003C4980 C0 49 3C 00 00 00 00 00                 dq offset qword_3C49C0
.data:00000000003C4988 00 00 00 00 00 00 00 00+                dq 6 dup(0)
.data:00000000003C49B8 E0 36 3C 00 00 00 00 00                 dq offset _IO_file_jumps

.data:00000000003C5520                                         public _IO_list_all
.data:00000000003C5520 40 55 3C 00 00 00 00 00 _IO_list_all    dq offset _IO_2_1_stderr_
.data:00000000003C5528 00 00 00 00 00 00 00 00+                align 20h

.data:00000000003C5540                                         public _IO_2_1_stderr_
.data:00000000003C5540 86 20 AD FB 00 00 00 00+_IO_2_1_stderr_ dq 0FBAD2086h, 0Ch dup(0)
.data:00000000003C55A8 20 56 3C 00 00 00 00 00                 dq offset _IO_2_1_stdout_
.data:00000000003C55B0 02 00 00 00 00 00 00 00+                dq 2, 0FFFFFFFFFFFFFFFFh, 0
.data:00000000003C55C8 70 67 3C 00 00 00 00 00                 dq offset unk_3C6770
.data:00000000003C55D0 FF FF FF FF FF FF FF FF+                dq 0FFFFFFFFFFFFFFFFh, 0
.data:00000000003C55E0 60 46 3C 00 00 00 00 00                 dq offset unk_3C4660
.data:00000000003C55E8 00 00 00 00 00 00 00 00+                dq 6 dup(0)
.data:00000000003C5618 E0 36 3C 00 00 00 00 00                 dq offset _IO_file_jumps

.data:00000000003C5620                                         public _IO_2_1_stdout_
.data:00000000003C5620 84 20 AD FB 00 00 00 00+_IO_2_1_stdout_ dq 0FBAD2084h, 0Ch dup(0)
.data:00000000003C5688 E0 48 3C 00 00 00 00 00                 dq offset _IO_2_1_stdin_
.data:00000000003C5690 01 00 00 00 00 00 00 00+                dq 1, 0FFFFFFFFFFFFFFFFh, 0
.data:00000000003C56A8 80 67 3C 00 00 00 00 00                 dq offset unk_3C6780
.data:00000000003C56B0 FF FF FF FF FF FF FF FF+                dq 0FFFFFFFFFFFFFFFFh, 0
.data:00000000003C56C0 A0 47 3C 00 00 00 00 00                 dq offset unk_3C47A0
.data:00000000003C56C8 00 00 00 00 00 00 00 00+                dq 6 dup(0)
.data:00000000003C56F8 E0 36 3C 00 00 00 00 00                 dq offset _IO_file_jumps

.data:00000000003C5700                                         public stderr
.data:00000000003C5700 40 55 3C 00 00 00 00 00 stderr          dq offset _IO_2_1_stderr_

.data:00000000003C5708                                         public stdout
.data:00000000003C5708 20