搜索

[26743] 2021-07-08_BUUCTFPWNWRITEUP上

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-07-08_BUUCTFPWNWRITEUP上 B U U C T F   P W N   W R I T E U P 上 原 创   R a i l g u n   m o o n s e c   2 0 2 1 - 0 7 - 0 8 B U U C T F   P W N   W R I T E U P 上 上 1 T a b l e   o f C o n t e n t s w d b _ 2 0 1 8 _ 1 s t _ b a b y h e a p h g a m e 2 0 1 8 _ f l a g _ s e r v e r x m a n _ 2 0 1 9 _ f o r m a t P W N a c t f _ 2 0 1 9 _ m e s s a g e a r g v s c t f _ 2 0 1 9 _ e a s y _ h e a p l c t f 2 0 1 6 _ p w n 2 0 0 2 题 解 题 解 w d b _ 2 0 1 8 _ 1 s t _ b a b y h e a p U b u n t u 1 6 . 0 4 只 有 P I E 是 关 着 的 。 功 能 齐 全 ， a l l o c 、 d e l e t e 、 e d i t 、 f r e e 。 这 里 功 能 很 简 单 不 一 一 截 图 了 ， 前 面 有 个 s l e e p ( 5 ) ， 为 了 方 便 可 以 把 它 n o p 掉 。 a l l o c 就 是 要 求 输 入 下 标 ， 会 申 请 0 x 2 0 + 0 x 1 0 的 c h u n k 到 p t r 全 局 数 组 中 ， 然 后 r e a d _ c o n t e n t 倒 是 有 一 个 n u l l - b y - o n e 的 情 况 ， 但 是 好 像 没 什 么 可 以 利 用 的 。 d e l e t e 有 一 个 U A F 。 思 路 比 较 简 单 ， 先 思 路 比 较 简 单 ， 先 f a s t b i n 链 链 l e a k 出 出 h e a p 地 址 ， 然 后 在 一 个 地 址 ， 然 后 在 一 个 c h u n k 中 伪 造 一 个 中 伪 造 一 个 f a k e c h u n k ， 之 后 ， 之 后 U A F 修 改 修 改 f d 拿 到 这 块 拿 到 这 块 f a k e c h u n k 修 改 修 改 n e x t c h u n k 的 的 s i z e 完 成 完 成 l e a k l i b c 操 作 ， 然 后 因 为 操 作 ， 然 后 因 为 s i z e 的 原 因 ， 我 们 不 的 原 因 ， 我 们 不 能 能 f a s t b i n a t t a c k ， 要 提 前 构 造 好 ， 要 提 前 构 造 好 u n l i n k 。 。 值 得 提 一 句 的 是 ， e d i t 只 有 三 次 机 会 ， 并 且 因 为 U A F 的 原 因 我 们 只 能 申 请 1 0 个 c h u n k ) 堆 布 局 如 上 。 可 以 看 到 绕 过 u n l i n k 的 检 查 是 没 得 问 题 的 。
难 点 其 实 就 在 于 只 能 0 x 2 0 的 c h u n k ， 然 后 e d i t 只 有 三 次 ， 所 以 只 能 提 前 做 好 u n l i n k 的 布 局 ， 这 里 写 的 不 是 很 详 细 ， 我 在 另 一 篇 文 章 另 一 篇 文 章 中 有 详 细 的 解 析 。 h g a m e 2 0 1 8 _ f l a g _ s e r v e r 看 一 下 点 : 考 虑 变 量 覆 盖 ， 只 要 把 f l a g 覆 盖 成 1 ， 就 可 以 g e t f l a g 。 l e n g t h 写 成 - 1 即 可 。
x m a n _ 2 0 1 9 _ f o r m a t x 8 6 , 开 了 N X 可 以 看 到 是 不 在 栈 上 的 格 式 化 字 符 串 ， 也 有 后 门 。 没 开 P I E 就 好 ) ， 只 能 利 用 一 次 。 先 断 在 p r i n t f 上 。 我 们 需 要 找 个 栈 上 的 指 针 链 。 同 时 可 以 看 到 上 图 有 很 多 程 序 地 址 ， 修 改 为 后 门 即 可 。 可 以 通 过 上 图 修 改 0 x f f a d 6 5 3 8 的 内 容 指 向 0 x f f a d 6 5 5 c ， 然 后 再 通 过 修 改 0 x f f a d 6 5 5 8 的 内 容 指 向 后 门 。 找 到 对 应 偏 移 。 修 改 第 一 次 后 ， 接 着 修 改 第 二 次 。 这 里 存 在 一 个 爆 破 的 问 题 。 这 里 存 在 一 个 爆 破 的 问 题 。
情 况 1 情 况 2 上 面 三 图 是 成 功 的 情 况 。 上 图 是 不 成 功 的 情 况 。 可 以 看 到 ， 指 针 链 中 的 我 们 要 第 一 次 修 改 的 指 针 是 随 机 的 ， 只 有 低 一 字 节 的 高 位 是 拿 不 准 的 ， 所 以 理 论 有 可 以 看 到 ， 指 针 链 中 的 我 们 要 第 一 次 修 改 的 指 针 是 随 机 的 ， 只 有 低 一 字 节 的 高 位 是 拿 不 准 的 ， 所 以 理 论 有 1 / 1 6 的 可 能 ， 但 是 看 到 成 功 情 况 的 情 况 的 可 能 ， 但 是 看 到 成 功 情 况 的 情 况 1 其 实 并 不 是 我 们 预 期 修 改 的 地 址 ， 但 还 是 成 功 了 ， 是 其 实 并 不 是 我 们 预 期 修 改 的 地 址 ， 但 还 是 成 功 了 ， 是 因 为 该 位 置 刚 刚 好 也 有 程 序 的 地 址 并 且 是 后 面 要 执 行 的 。 因 为 该 位 置 刚 刚 好 也 有 程 序 的 地 址 并 且 是 后 面 要 执 行 的 。 P W N 声 明 一 下 这 个 不 是 b u u 上 面 的 题 ， 是 一 个 师 傅 过 来 问 我 也 不 知 道 是 哪 的 。 还 是 比 较 贴 心 的 ， 格 式 化 字 符 串 来 l e a k l i b c 和 c a n a r y ， 栈 溢 出 可 以 选 择 栈 迁 移 或 者 直 接 r e t 2 o n e _ g a d g e t 。
格 式 化 字 符 串 o f f s e t = 7 ， l i b c 则 为 1 6 。 上 图 为 c a n a r y ， 则 c a n a r y 的 o f f s e t 为 1 0 。 后 面 动 调 更 正 一 下 ， l i b c 和 c a n a r y 的 o f f s e t 分 别 为 9 和 1 5 . 当 然 ， s t a c k p i v o t 也 是 o k 的 。 后 面 尝 试 栈 迁 移 : 看 到 也 是 执 行 s y s t e m 了 ， r d i 也 是 / b i n / s h ， 但 是 无 法 g e t s h e l l 。
拿 o n e _ g a d g e t 测 试 可 以 看 到 栈 迁 移 是 成 功 的 。 a c t f _ 2 0 1 9 _ m e s s a g e l i b c 2 . 2 7 m a i n a d d 全 局 数 组 存 了 c h u n k 的 s i z e 和 地 址 ， 最 多 1 0 个 c h u n k ， 大 小 无 限 制 。 d e l e t e d e l e t e 有 问 题 ， 就 是 首 先 没 有 把 有 问 题 ， 就 是 首 先 没 有 把 l i s t 种 的 指 针 置 空 并 且 没 有 判 断 是 否 为 空 种 的 指 针 置 空 并 且 没 有 判 断 是 否 为 空 ( 可 可 d o u b l e f r e e ) 。 这 里 就 有 一 个 问 题 ， 因 为 没 有 清 空 指 针 ， 那 么 。 这 里 就 有 一 个 问 题 ， 因 为 没 有 清 空 指 针 ， 那 么 a d d 的 时 候 最 多 只 能 的 时 候 最 多 只 能 a d d 十 次 ， 每 次 申 请 都 写 入 一 个 指 针 但 十 次 ， 每 次 申 请 都 写 入 一 个 指 针 但 d e l e t e 都 都 没 删 除 。 没 删 除 。
e d i t 这 里 没 什 么 问 题 。 s h o w 看 起 来 也 没 什 么 问 题 。 因 为 没 有 限 制 因 为 没 有 限 制 s i z e ， 可 以 申 请 超 过 ， 可 以 申 请 超 过 0 x 4 0 0 的 的 c h u n k 进 入 进 入 u n s o r t e d b i n 再 再 m a l l o c 回 来 回 来 l e a k l i b c ， 然 后 申 请 两 个 ， 然 后 申 请 两 个 c h u n k ( d e l e t e 是 判 断 了 是 判 断 了 i d x ， 每 次 ， 每 次 d e l e t e 后 后 i d x 都 会 都 会 – ) ， ， d o u b l e f r e e 后 申 请 回 来 进 行 后 申 请 回 来 进 行 t c a c h e d u p ， 因 为 ， 因 为 是 是 2 . 2 7 所 以 建 议 直 接 所 以 建 议 直 接 s y s t e m 。 。 远 程 拿 不 到 s h e l l ， 不 知 道 为 什 么 。 a r g v e m m m 这 题 也 不 是 B U U 上 面 的 。 最 后 b u f 被 拼 接 进 了 全 局 变 量 s t 。
逻 辑 还 挺 简 单 的 ， 就 是 让 你 输 入 一 串 字 符 串 ， 然 后 调 用 l o a d 。 l o a d 就 是 根 据 传 进 来 的 n a m e 再 l i b c 中 找 对 应 的 函 数 然 后 返 回 地 址 。 调 用 完 l o a d 就 调 用 l o a d 返 回 的 地 址 ， 参 数 是 v 6 ， 小 河 里 检 测 了 a 1 的 值 。 看 似 我 们 不 能 控 制 n a m e 、 v 6 和 a 1 ， 其 实 是 有 变 量 覆 盖 的 : e m m m 唯 一 麻 烦 的 地 方 就 是 偏 移 有 点 麻 烦 ， 而 且 注 意 l o a d 它 加 载 的 不 是 / l i b 目 录 下 的 l i b c ， 因 此 本 地 调 试 要 用 L D _ P R E L O A D 加 载 它 打 开 的 l i b c 。 执 行 完 d l s y m ( ) 后 ， 返 回 值 E A X 确 实 变 成 了 s y s t e m v 5 ( v 6 ) 处 ， 注 意 这 里 要 写 地 址 ， 刚 好 b u f 被 拼 到 全 局 变 量 s t 上 ， 就 在 s t 开 头 写 s h 字 符 串 就 行 了 。 还 是 说 一 句 吧 ， 这 个 偏 移 有 点 麻 烦 … ， 要 计 算 好 不 然 拿 不 到 s h e l l 。 s c t f _ 2 0 1 9 _ e a s y _ h e a p U b u n t u 1 8 p a y l o a d =   ' / b i n / s h x 0 0 '   +   ' A '   *   ( 0 x 3 A   -   0 x 1 C   -   0 x 8 )   p a y l o a d + =   ' s y s t e m '   + ' x 0 0 '   *   ( 0 x 1 8   -   0 x 1 0   -   0 x 2 )   p a y l o a d + =   ' o k o k '   +   p 3 2 ( 0 x 0 8 0 4 A 0 A 0 ) p a y l o a d + =   ' A '   *   ( 0 x 8 + 0 x 8 )   +   p 3 2 ( 0 x d e a d b e e f )     s l a (
i n i t 初 始 化 工 作 。 看 到 有 A l l o c 、 D e l e t e 、 F i l l 三 个 功 能 。 A l l o c 可 以 看 到 最 多 有 1 6 个 c h u n k ， s i z e 最 大 为 0 x 1 0 0 0 + 0 x 1 0 ， 并 且 每 A l l o c 一 次 ， 全 局 变 量 n u m + + ， 全 局 数 组 存 放 了 c h u n k 地 址 以 及 s i z e 。 d e l e t e 常 规 d e l e t e ， 判 断 了 i d x 的 合 法 性 以 及 全 局 数 组 对 应 的 c h u n k 地 址 是 否 存 在 ， 并 将 地 址 和 s i z e 置 空 ， 每 d e l e t e 一 次 则 n u m – f i l l 修 改 。 r e a d
漏 洞 点 在 这 个 位 置 ， n u l l - b y - o n e 。 难 点 就 在 于 没 有 s h o w 功 能 。 利 用 0 x 4 0 0 以 上 的 c h u n k 以 及 堆 块 重 叠 让 m a i n _ a r e n a 进 入 t c a c h e ， 爆 破 s t d o u t 。 注 意 涉 及 到 n u l l - b y - o n e 的 c h u n k 一 定 要 0 x f 0 或 0 x f 8 类 似 的 ， 因 为 0 x f 8 ( 0 x 1 0 1 ) - > 0 x 1 0 0 ， 如 果 低 于 0 x f 8 会 直 接 盖 成 0 0 ， 又 因 为 要 进 入 m a i n _ a r e n a 只 能 0 x 4 f 0 了 。 还 要 注 意 第 一 个 c h u n k 也 要 进 入 u n s o r t e d b i n ， 不 然 i n u s e 标 志 位 不 会 置 0 . 可 以 看 到 只 有 低 二 字 节 的 高 位 不 同 ， 1 / 1 6 的 概 率 。 不 好 意 思 ， 上 面 的 s t d o u t 给 错 了 :       先 把 合 并 的 大 c h u n k 中 的 第 一 个 c h u n k 申 请 过 来 ， 使 m a i n _ a r e n a 落 入 t c a c h e ， 然 后 再 把 剩 下 的 大 块 申 请 出 来 覆 盖 低 位 ， 然 后 拿 到 s t d o u t 去 修 改 它 的 结 构 l e a k l i b c 。       之 后 就 是 进 行 类 似 的 操 作 ， 拿 到 f r e e h o o k ， 这 里 注 意 t c a c h e 中 0 x 7 0 的 链 已 经 坏 掉 了 ， 要 换 个 s i z e ， 这 里 选 择 了 0 x 2 8 。 s y s t e m 打 f r e e _ h o o k 远 程 又 打 不 通 … . 换 o n e _ g a d g e t 打 m a l l o c _ h o o k 都 没 用 。 连 着 两 个 本 地 通 远 程 不 通 就 很 迷 … B U U 是 不 是 换 规 则 了 ？ 原 本 是 原 本 是 2 . 2 3 环 境 下 的 ， 这 样 的 话 其 实 还 简 单 一 点 ， 但 是 换 到 环 境 下 的 ， 这 样 的 话 其 实 还 简 单 一 点 ， 但 是 换 到 2 . 2 7 后 要 考 虑 后 要 考 虑 t c a c h e 中 坏 掉 的 链 所 以 相 对 麻 烦 ， 还 有 另 一 种 打 法 就 是 它 开 辟 了 中 坏 掉 的 链 所 以 相 对 麻 烦 ， 还 有 另 一 种 打 法 就 是 它 开 辟 了 R W X 内 存 段 ， 可 以 拿 到 它 然 后 写 内 存 段 ， 可 以 拿 到 它 然 后 写 s h e l l c o d e 再 打 再 打 m a l l o c _ h o o k ， 这 ， 这 里 暂 时 不 赘 述 了 。 里 暂 时 不 赘 述 了 。 l c t f 2 0 1 6 _ p w n 2 0 0 U b u n t u 1 6 ， 没 有 开 什 么 保 护 并 且 有 R W X 段 。 # # # c h u n k o v e r l a p p i n g # # #   a d d ( 0 x 4 1 0 ) # 0   a d d ( 0 x 6 8 ) # 1   a d d ( 0 x 4 f 0 ) # 2   a d d ( 0 x 6 0 ) # 3   d e l e t e ( 0 )     p a y l o a d   =   ' A '   *   0 x 6 0   +   p 6 4 ( 0 x 4 2 0 + 0 x 7 0 )   f i l l ( 1 , p a y l o a d )   d e l e t e ( 2 )   d e l e t e ( 1 )     a d d ( 0 x 4 1 0 ) # 0 # # # l e a k l i b c # # #           a d d ( 0 x 4 1 0 ) # 0           a d d ( 0 x 6 8 + 0 x 4 f 0 ) # 1           p a y l o a d   =   ' x 6 0 '   + ' x 0 7 '           f i l l ( 1 , p a y l o a d , 1 )             a d d ( 0 x 6 0 ) # 3           a d d ( 0 x 6 0 ) # 4           p a y l o a d   =   p 6 4 ( 0 x f b a d 1 8 8 7 )   +   p 6 4 ( # # # f a s t b i n a t t a c k # # #           f r e e _ h o o k   =   l i b c _ b a s e   +   l i b c . s y m b o l s [ ' _ _ f r e e _ h o o k ' ]         s y s t e m   =   l i b c _ b a s e   +   l i b c . s y m b o l s [ ' s y s t e m ' ]             a d d ( 0 x 5 1 0 ) # 5         a d d ( 0 x 2 8 ) # 6           a d d ( 0 x 5 f 0 ) # 7           a d d (
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理