2022 CISCN初赛 Satool

最新推荐文章于 2024-04-12 05:29:08 发布

Ayakaaaa

最新推荐文章于 2024-04-12 05:29:08 发布

阅读量554

点赞数 2

分类专栏： LLVM PASS pwn 文章标签： pwn 安全网络安全

本文链接：https://blog.csdn.net/weixin_46483787/article/details/125177862

版权

一个2022年国赛初赛的LLVM PASS类pwn题，当时还完全没有接触过，所以直接放弃掉了，初赛结束之后决定入门一下这方面知识，看这篇题解之前最好先看看之前写的这篇入门文章：
LLVM PASS类pwn题入门

然后我们正式开始这道题，首先从readme入手：
在这里插入图片描述

从这个readme我们可以得到的信息还是不少的，首先由于题目没给opt（这里必须大声谴责出题人，劳资换了三个虚拟机编译了不下五次llvm-12,编译出来的opt全都load不了这个mbaPass.so，后来发现原来直接apt install llvm-12就可以，可是我最常用的虚拟机是ubuntu18，它最高只支持到apt install llvm-10，搞得我以为12及以上必须自己用源码编译，我真的吐了啊）所以我们首先要知道用的是什么版本的opt，然后给了一个如何运行的命令，之后的内容告诉了我们这个PASS做了什么，显式的来看，其功能就是压缩优化IR指令，并且这个so限制了IR指令只能是add，sub或者ret

接下来把so文件拖进IDA中，首先肯定是找到runOnFunction:
在这里插入图片描述

可以看到首先是对函数里的参数和基本块数量做了限制，必须有且仅有一个参数和一个基本块，然后是通过handle函数对IR代码进行处理，处理后执行callcode，先来看callcode：
在这里插入图片描述
发现是直接执行this[4]，再回过头来看，发现this[4]首先通过mprotect开辟了一块可读可写的内存，然后调用handle，那这个函数必然是往这里写shellcode，然后再把这块内存变成可读可执行，然后用callcode去执行，所以关键就在于handle是如何把IR变成shellcode的，这个过程其实可以理解成是一种JIT（即时编译），所以this[4]就是一个用于JIT的缓冲区。