攻防世界PWN之calc2题解

最新推荐文章于 2023-05-06 00:08:28 发布

ha1vk

最新推荐文章于 2023-05-06 00:08:28 发布

阅读量1.1k

点赞数

分类专栏： pwn CTF 二进制漏洞文章标签： PWN CTF 二进制漏洞缓冲区溢出逆向工程

本文链接：https://blog.csdn.net/seaaseesa/article/details/103517704

版权

pwn 同时被 3 个专栏收录

161 篇文章 26 订阅

订阅专栏

CTF

161 篇文章 11 订阅

订阅专栏

二进制漏洞

161 篇文章 11 订阅

订阅专栏

calc2

首先，检查一下程序的保护机制

然后，我们用IDA分析一下，发现libc被静态编译进了程序中，又由于没有开启PIE,，所以，我们就直接可以获得需要的函数的地址。然而，我们发现，system、execve这些函数都没有，有没有one_gadget，那么我们只能通过系统调用来构造ROP执行/bin/sh来getshell

发现，该程序是一个四则运算表达式计算程序

其中，我们需要重点关注的就是a2[v4+1] = v9这句代码，可能造成下标越界。

我们仔细分析程序，然后用C语言还原这个计算过程

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
//栈
struct Stack {
int top;
int data[100];
};
void eval(Stack *num_stack,char op) {
switch (op) {
case '+':
num_stack->data[num_stack->top - 1] += num_stack->data[num_stack->top];
break;
case '-':
num_stack->data[num_stack->top - 1] -= num_stack->data[num_stack->top];
break;
case '*':
num_stack->data[num_stack->top - 1] *= num_stack->data[num_stack->top];
break;
case '/':
num_stack->data[num_stack->top - 1] /= num_stack->data[num_stack->top];
break;
}
//出栈一个无用数据
num_stack->top--;
}
int parse_expr(char *in,Stack *num_stack) {
//存放运算符的栈
Stack op_stack;
memset(&op_stack,0,sizeof(Stack));
char *p = in;
for (int i=0;; ++i) {
char ch = in[i];
//遇到非数字，判定为运算符
if ( unsigned(ch - '0') > 9) {
int len = i + in - p;
char *tmp = (char *)malloc(len+1);
memcpy(tmp,p,len);
tmp[len] = '\0';
if ( !strcmp(tmp, "0") ) {
puts("prevent division by zero");
fflush(stdout);
return 0;
}
int x = atoi(tmp);
//操作数入栈
if (x > 0) {
num_stack->top++;
num_stack->data[num_stack->top] = x;
}
//表达式错误，不能有连续的多个运算符
if (ch && in[i+1] - '0' > 9) {
puts("expression error!");
fflush(stdout);
return 0;
}
p = in + i + 1;
//查看栈顶运算符
char op = op_stack.data[op_stack.top];
if (op) {
//与当前运算符做比较
switch (ch) {
case '%':
case '*':
case '/':
if ( op != '+' && op != '-' ) {
eval(num_stack, op);
op_stack.data[op_stack.top] = ch;
} else {
op_stack.data[++op_stack.top] = ch;
}
break;
case '+':
case '-':
eval(num_stack, op);
op_stack.data[op_stack.top] = ch;
break;
default:
eval(num_stack, op_stack.data[op_stack.top--]);
break;
}
} else {
op_stack.data[op_stack.top] = ch;
}
if (!ch) {
break;
}
}
}
while (op_stack.top >= 0) {
eval(num_stack, op_stack.data[op_stack.top--]);
}
return 1;
}
int main() {
//存放操作数的栈
Stack num_stack;
num_stack.top = -1;
memset(num_stack.data,0,sizeof(int) * 100);
char expr[0x400] = {0};
while (true) {
scanf("%s",expr);
if (parse_expr(expr,&num_stack)) {
printf("%d\n",num_stack.data[num_stack.top]);
fflush(stdout);
}
}
}

再对比IDA，中，我们要是能修改到a2，也就是top指针，那么就能实现任意地址写

再看看这个程序的逻辑，结合我们还原的源代码，能够修改到top的值的关键地方在eval函数

结合源代码，我们看看

如果当num_stack->top为0时，就可以造成data数据下标越界，什么时候num_stack->top为0呢？不就是num_stack里只有一个操作数的时候吗。如果，我们输入的表达式为+123，那么,由于该程序判断时的缺陷，表达式的结尾的\0也被当做符号处理，因此，程序先是遇到+号,+号入运算符栈，然后程序遇到123，入num_stack，接下来，程序遇到\0结尾符，于是会调用eval函数，而此时num_stack->top = 0,导致了num_stack->data[-1] += num_stack[num_stack->top]，使得num_stack的top变成了123 + 1 = 124，接下来，结尾处又执行了，综上,+123这个表达式使得num_stack的top变成了123。为了便于观察，我们可以加入这样的代码

然后，我们输入+123+456

由此，我们可以用IDA调试，找到calc函数的返回地址的栈位置，便可以修改calc的返回地址，构造ROP链。为了构造ROP，我们需要一些gadget，我们可以使用ROPgadgets工具来查找ROPgadget --binary calc2 --only 'pop|ret' | grep 'eax'