搜索

[12425] 2018-03-04_Pwnable.tw刷题之Silverbullet破解过程分享

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-03-04_Pwnable.tw刷题之Silverbullet破解过程分享 P w n a b l e . t w 刷 题 之 S i l v e r b u l l e t 破 解 过 程 分 享 p u 1 1 1 p   F r e e B u f   2 0 1 8 - 0 3 - 0 4 0 x 0 0 背 景 介 绍 背 景 介 绍 之 前 加 了 学 校 的 之 前 加 了 学 校 的 c t f 社 团 之 后 开 始 学 习 社 团 之 后 开 始 学 习 b i n a r y 方 面 的 知 识 ， 跟 着 教 程 走 完 一 遍 之 后 学 长 推 荐 了 方 面 的 知 识 ， 跟 着 教 程 走 完 一 遍 之 后 学 长 推 荐 了 p w n a b l e 来 刷 题 ， 这 来 刷 题 ， 这 篇 文 章 就 是 篇 文 章 就 是 p w n a b l e 上 上 s i l v e r b u l l e t 的 详 细 破 解 过 程 。 的 详 细 破 解 过 程 。 0 x 0 1 程 序 分 析 程 序 分 析 1 .   m a i n   函 数 函 数
可 以 看 到 程 序 并 没 有 开 启 c a n a r y ,   所 以 就 考 虑 是 否 有 栈 溢 出 漏 洞 2 .   c r e a t e _ b u l l e t : 可 以 看 到 存 储 输 入 的 字 符 串 长 度 的 变 量 就 在 存 储 输 入 字 符 的 4 8 个 字 节 的 后 面 一 个 字 节 . 3 . p o w e r _ u p : c h a r   s t r n c a t ( c h a r   d e s t ,   c o n s t   c h a r * s r c ,   s i z e _ t   n ) ; D E S C R I P T I O N :   s t r n c a t 函 数 将 s r c 字 符 串 最 多 前 n 字 节 添 加 到 d e s t 字 符 串 的 末 尾 ( 从 d e s t 原 来 末 尾 的 ’ x 0 0 ’ 开 始 ) ,   并 在 添 加 结 束 后 在 末 尾 补 上 一 个 ’ x 0 0 ’ 经 过 上 面 的 分 析 ,   我 们 可 以 简 单 地 把 m a i n 函 数 的 栈 结 构 画 出 来 如 下 ,   方 便 后 面 分 析
0 x 0 2   漏 洞 分 析 漏 洞 分 析 如 果 我 们 先 用 c r e a t e _ b u l l e t 添 加 4 0 个 字 节 的 字 符 串 , 此 时 字 符 串 长 度 处 的 数 据 为   x 1 E x 0 0 x 0 0 x 0 0 ( 小 端 序 低 位 存 储 在 地 地 址 处 ) 再 用 p o w e r _ u p 添 加 8 个 字 节 的 字 符 串 ,   我 们 结 合 p o w e r _ u p 代 码 分 析 `   i f   (   ( ( _ D W O R D   ) d e s t   +   1 2 )   >   0 x 2 F u   )   # # 字 符 串 长 度 若 大 于 4 7 则 不 能 p o w e r _ u p r e t u r n   p u t s ( “ Y o u   c a n ’ t   p o w e r   u p   a n y   m o r e   ! ” ) ; 此 时 * ( ( _ D W O R D   * ) d e s t   +   1 2   等 于   4 0 ,   小 于 0 x 2 f ,   然 后 会 调 用 r e a d _ i n p u t 函 数 读 取 8 个 字 节 再 调 用 s t r n c a t 拼 接 两 个 字 符 串 漏 洞 就 发 生 了 ,   因 为 s t r n c a t ( ) 会 在 拼 接 完 的 字 符 串 后 面 添 加 一 个 ’ x 0 0 ’ ,   于 是 字 符 串 长 度 的 第 一 个 字 节 就 被 覆 盖 成 了 ’ x 0 0 ’ ,   字 符 串 长 度 就 变 成 了 0 `   v 3   =   s t r l e n ( & b u f )   +   ( ( _ D W O R D   ) d e s t   +   1 2 ) ;   # # 重 新 计 算 新 的 字 符 串 的 长 度 p r i n t f ( “ Y o u r   n e w   p o w e r   i s   :   % u n ” ,   v 3 ) ; ( ( _ D W O R D   ) d e s t   +   1 2 )   =   v 3 ;   # # 更 新 字 符 串 长 度 再 更 新 之 后 字 符 串 长 度 就 变 成 了 8 ,   于 是 我 们 可 以 在 此 使 用 p o w e r _ u p 函 数 了 ~ 这 次 最 多 可 以 添 加 4 0 个 字 节 的 数 据 ,   完 全 足 够 覆 盖 m a i n 函 数 的 r e t 地 址 了 . 于 是 现 在 的 思 路 就 是 通 过 栈 溢 出 泄 露 l i b c 中 某 个 函 数 的 地 址 ( 我 选 择 的 是 r e a d ( ) ) ,   然 后 根 据 题 目 提 供 的 l i b c 获 得 s y s t e m 和 ” / b i n / s h ” 的 地 址 ,   最 后 调 用 s y s t e m ( “ / b i n / s h ” ) ,   g e t _ s h e l l 之 后 就 拿 到 f l a g 啦 ~ 在 调 用 s t r n c a t 之 后 原 来 的 储 存 的 长 度 ( 4 0 ) 就 会 被 清 零 ,   而 函 数 结 束 后 会 变 成 8 ,   又 可 以 在 后 面 继 续 添 加 了 ,   于 是 就 可 以 利 用 栈 溢 出 覆 盖 r e t 地 址 而 得 到 l i b c 中 函 数 的 地 址 ,   进 而 通 过 提 供 的 l i b c 得 到 s y s t e m 的 地 址 和 ” / b i n / s h ” 的 地 址 ,   从 而 g e t   s h e l l 1 .   首 先 想 办 法 泄 露 首 先 想 办 法 泄 露 l i b c 地 址 地 址 r e a d _ i n p u t ( & b u f ,   4 8   -   * ( ( _ D W O R D   * ) d e s t   +   1 2 ) ) ; s t r n c a t ( d e s t ,   & b u f ,   4 8   -   * ( ( _ D W O R D   * ) d e s t   +   1 2 ) ) ;
我 通 过 栈 溢 出 将 m a i n 函 数 d e r e t 地 址 修 改 为 p u t s 的 p l t 地 址 调 用 ( ) p u t s 来 输 出 g o t 中 r e a d 的 地 址 ,   从 而 得 到 l i b c 中 r e a d 的 地 址 . 覆 盖 后 栈 空 间 大 致 如 下 而 p u t s ( ) 的 返 回 地 址 被 覆 盖 为 m a i n 函 数 的 初 始 地 址 ,   所 以 拿 到 l i b c 中 r e a d ( ) 的 地 址 后 又 会 重 新 运 行 m a i n 函 数 ,   这 次 就 可 以 利 用 的 到 的 l i b c 地 址 计 算 出 s y s t e m ( ) 和 ” / b i n / s h ” 的 真 实 地 址 再 次 覆 盖 返 回 地 址 调 用 s y s t e m ( “ / b i n / s h ” ) g e t   s h e l l 了 。 0 x 0 3   e x p e x p 如 下 如 下 :

0 x 0 4   收 获 收 获 1 .   本 机 调 试 的 时 候 l i b c 用 的 是 / l i b 3 2 / l i b c . s o . 6 2 .   寻 找 l i b c 中 的 ” / b i n / s h ” 时 先 是 用 i d a 中 的 s t r i n g ,   但 是 没 找 到 .   之 后 尝 试 了 一 下 R O P g a d g e t ,   发 现 很 强 大 ,   找 了 了 一 个 ” / b i n / s h ” 和 一 堆 ” s h ” 3 .   经 大 佬 提 醒 ,   不 一 定 非 要 ” / b i n / s h ” ,   “ s h ” 也 行 ,   而 且 还 有 $ 0 这 种 方 法 ,   可 能 类 似 格 式 化 字 符 串 ,   不 过 也 没 找 到 资 料 .   有 空 可 以 做 一 下 实 验 ,   学 习 了 . * 本 文 作 者 ： p u 1 1 1 p ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 R O P g a d g e t   - - b i n a r y   " . / l i b c . s o . 6 "   - - s t r i n g   " / b i n / s h "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理