搜索

[26744] 2021-07-09_BUUCTFPWNWRITEU下

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-07-09_BUUCTFPWNWRITEU下 B U U C T F   P W N   W R I T E U 下 原 创   R a i l g u n   m o o n s e c   2 0 2 1 - 0 7 - 0 9 收 录 于 话 题   # 渗 透 测 试   , 1 8 个 B U U C T F   P W N   W R I T E U 下 下 1 T a b l e o f C o n t e n t s 1 .   s u c t f _ 2 0 1 8 _ s t a c k 2 .   r o o t e r s c t f _ 2 0 1 9 _ b a b y p w n 3 .   p i c o c t f _ 2 0 1 8 _ e c h o o o 4 .   c i s c n _ 2 0 1 9 _ c _ 3 5 .   s t a r c t f _ 2 0 1 9 _ g i r l f r i e n d 6 .   w d b _ 2 0 1 8 _ 3 r d _ s o E a s y 7 .   q c t f 2 0 1 8 _ s t a c k 2 8 .   w d b _ 2 0 1 8 _ 3 r d _ p e s p s u c t f _ 2 0 1 8 _ s t a c k p w n d b g > p / x   $ r s p   +   0 x 4 0   $ 1   =   0 x 7 f f f a b 0 1 8 d 4 8 去 调 整 了 栈 对 齐 也 没 能 g e t s h e l l 。 跳 到 这 里 。 r o o t e r s c t f _ 2 0 1 9 _ b a b y p w n
简 单 栈 溢 出 ， 不 过 这 里 需 要 考 虑 栈 对 齐 的 问 题 。 p i c o c t f _ 2 0 1 8 _ e c h o o o 可 以 看 到 存 放 f l a g 的 地 址 偏 移 为 8 因 此 % 8 $ s 即 可 。 c i s c n _ 2 0 1 9 _ c _ 3 U b u n t u 1 8 增 删 查 功 能 还 有 一 个 b a c k d o o r 。
只 能 有 三 种 大 小 的 c h u n k ， 最 多 9 个 c h u n k 。 正 常 的 输 出 U A F 。 感 觉 这 个 花 里 胡 哨 的 没 看 到 什 么 用 处 … 因 为 有 因 为 有 U A F 就 方 便 很 多 了 。 。 这 里 需 要 注 意 ， 因 为 就 方 便 很 多 了 。 。 这 里 需 要 注 意 ， 因 为 U A F 的 存 在 ， 使 得 我 们 就 能 申 请 的 存 在 ， 使 得 我 们 就 能 申 请 8 个 个 c h u n k ， 因 此 ， 因 此 l e a k l i b c 的 时 候 不 能 申 请 的 时 候 不 能 申 请 8 个 ， 这 样 后 面 就 无 法 进 行 了 ， 可 以 申 个 ， 这 样 后 面 就 无 法 进 行 了 ， 可 以 申 请 两 个 然 后 请 两 个 然 后 f r e e 前 面 一 个 前 面 一 个 8 次 进 入 次 进 入 u n s o r t e d b i n 。 。 后 面 发 现 即 使 c r e a t e 也 无 法 修 改 f d 域 。 这 是 b a c k d o o r 的 效 果 ， 我 们 再 来 仔 细 看 一 下 这 个 函 数 : # # # l e a k l i b c # # #   c r e a t e ( 0 x 1 0 0 , ' l e a k   l i b c ' ) # 0   c r e a t e ( 0 x 6 0 , ' m a k e   a   f a k e c h u n k ' ) # 1   c r e a t e ( 0 x 6 0 , ' / b i n / s h x 0 0 ' ) # 2     f o r   i   i n   r a n g e ( 8 ) :         d e l e t e ( 0 )     s h o w ( 0 )   r u ( ' a t t a c k _ t i m e s :   ' )   l i b c _ b a s e   =  
要 求 要 求 i d x - 1 > v 1 的 时 候 才 会 使 的 时 候 才 会 使 f d 自 加 自 加 1 ， 因 为 ， 因 为 i d x 的 原 因 我 们 让 的 原 因 我 们 让 i d x 为 为 2 的 的 c h u n k 执 行 执 行 0 x 2 0 次 次 b a c k d o o r 即 可 加 即 可 加 0 x 2 0 ( f r e e 两 个 形 成 链 后 即 指 向 另 一 两 个 形 成 链 后 即 指 向 另 一 c h u n k 下 面 下 面 0 x 2 0 的 位 置 的 位 置 ) ， 伪 ， 伪 造 一 个 造 一 个 c h u n k ， 指 向 ， 指 向 0 x 2 0 是 因 为 是 因 为 t c a c h e 是 以 用 户 区 为 指 针 返 回 的 。 是 以 用 户 区 为 指 针 返 回 的 。 首 先 前 面 创 建 的 三 个 首 先 前 面 创 建 的 三 个 c h u n k ， ， f r e e 掉 掉 c h u n k 1 ， 再 ， 再 a d d 回 来 伪 造 回 来 伪 造 c h u n k 头 头 ( 不 伪 造 应 该 也 是 可 以 的 不 伪 造 应 该 也 是 可 以 的 ) 以 及 以 及 f d 为 为 f r e e h o o k ， 再 ， 再 f r e e 掉 ， 再 掉 ， 再 f r e e c h u n k 2 ， 让 ， 让 c h u n k 2 的 的 f d 自 自 增 增 0 x 2 0 即 指 向 了 即 指 向 了 f r e e h o o k 。 。 这 里 忘 记 了 f d 不 可 控 不 是 s h 字 符 串 ， 还 是 用 o n e _ g a d g e t 打 m a l l o c h o o k 吧 。 本 地 打 了 m a l l o c h o o k ， 但 远 程 不 同 ， 打 f r e e h o o k 即 可 。 其 实 就 是 利 用 其 实 就 是 利 用 b a c k d o o r 使 使 f d 指 向 指 向 f a k e c h u n k 的 位 置 ， 并 提 前 在 此 伪 造 好 的 位 置 ， 并 提 前 在 此 伪 造 好 f d 。 。 s t a r c t f _ 2 0 1 9 _ g i r l f r i e n d u b u n t u 1 6 保 护 全 开 。 其 实 只 有 增 删 查 这 三 个 功 能 # # # t c a c h e d u p # # #   f r e e _ h o o k   =   l i b c _ b a s e   +   l i b c . s y m b o l s [ ' _ _ f r e e _ h o o k ' ]   s y s t e m   = l i b c _ b a s e   +   l i b c . s y m b o l s [ ' s y s t e m ' ]   o n e _ g a d g e t   =   l i b c _ b a s e   +   0 x 4 f 3 2 2   d e l e t e ( 1 )   c r e a t e ( 0 x 6 0 , p 6 4 ( 0 ) + p 6 4 (
a d d 可 以 看 到 最 多 有 1 0 0 个 g i r l f r i e n d ， 会 有 一 个 0 x 1 8 + 0 x 1 0 的 c h u n k 来 存 放 g i r l f r i e n d 的 c a l l 以 及 g i r l f r i e n d c h u n k 的 地 址 。 而 g i r l f r i e n d c h u n k 的 大 小 可 以 自 定 义 。 s h o w 常 规 输 出 。 c a l l 其 实 是 一 个 f r e e 的 功 能 ， 存 在 U A F ， 后 面 的 随 机 同 不 同 意 无 关 紧 要 。 U A F   l e a k l i b c   +   d o u b l e   f r e e ， 当 然 也 可 以 去 利 用 U A F 控 制 结 构 体 实 现 任 意 地 址 读 写 。 w d b _ 2 0 1 8 _ 3 r d _ s o E a s y 基 本 没 什 么 保 护 溢 出 的 大 小 基 本 是 不 够 去 l e a k 完 后 再 返 回 到 m a i n 的 ， 考 虑 一 下 栈 迁 移 。 s o r r y 忘 记 了 这 是 x 8 6 的 ， 应 该 是 够 用 。 3 2 位 的 传 参 差 点 忘 了 。 q c t f 2 0 1 8 _ s t a c k 2
注 意 看 c h a n g e N u m b e r s 这 个 功 能 ， 对 于 n u m b e r s _ a r r a y 的 下 标 n u m b e r s 并 没 有 检 查 造 成 数 组 下 标 越 界 。 其 中 n u m b e r s _ a r r a y 距 离 e b p 为 0 x 7 0 。 发 现 从 0 x 7 4 开 始 写 并 不 能 g e t s h e l l ， 怀 疑 是 不 是 r e t 不 在 0 x 7 0 + 0 x 4 的 位 置 上 。 下 断 点 在 c h a n g e N u m b e r 的 s c a n f 上 ， 发 现 写 入 地 址 为 0 x f f f f a 8 8 8 ， 运 行 至 r e t 处 : p w n d b g > d i s t a n c e   0 x f f f f a 8 8 8   0 x f f f f a 9 0 c   0 x f f f f a 8 8 8 - > 0 x f f f f a 9 0 c   i s   0 x 8 4 b y t e s   ( 0 x 2 1   w o r d s ) 主 要 是 r e t 不 在 e b p + 0 x 4 的 位 置 ， 需 要 调 试 一 下 。 w d b _ 2 0 1 8 _ 3 r d _ p e s p 2 2 3 的 环 境 ， 没 开 R E L O 和 P I E 。 看 到 一 开 始 申 请 了 个 c h u n k 把 两 个 函 数 指 针 放 了 进 去 ， 暂 时 还 不 知 道 用 不 用 的 上 。 s h o w 和 r e m o v e 就 很 常 规 ， 没 有 什 么 点 ， 看 一 下 a d d 和 c h a n g e :
首 先 数 量 很 充 足 并 且 s i z e 无 限 制 ， 要 注 意 读 入 长 度 + 1 的 那 个 字 节 置 0 . 可 以 重 新 输 入 长 度 造 成 堆 溢 出 ， 同 样 注 意 置 0 的 情 况 。 似 乎 暂 时 看 不 到 什 么 作 用 。 这 种 情 况 我 一 般 会 选 择 构 造 这 种 情 况 我 一 般 会 选 择 构 造 o v e r l a p p i n g ， 当 然 也 可 以 选 择 ， 当 然 也 可 以 选 择 u n l i n k 来 做 。 来 做 。 先 说 先 说 o v e r l a p p i n g ， 这 里 注 意 有 了 ， 这 里 注 意 有 了 x 0 0 截 断 ， 不 能 套 路 的 去 释 放 再 申 请 覆 盖 然 后 截 断 ， 不 能 套 路 的 去 释 放 再 申 请 覆 盖 然 后 l e a k ， 要 只 释 放 大 块 ， 再 申 请 一 个 然 后 会 有 两 个 ， 要 只 释 放 大 块 ， 再 申 请 一 个 然 后 会 有 两 个 c h u n k 都 有 都 有 m a i n _ a r e n a ， 其 中 一 个 申 ， 其 中 一 个 申 请 的 时 候 被 截 断 ， 另 一 个 还 不 是 请 的 时 候 被 截 断 ， 另 一 个 还 不 是 f r e e 状 态 可 以 状 态 可 以 s h o w 。 。 然 后 堆 溢 出 一 波 带 走 : 再 接 着 说 说 再 接 着 说 说 u n l i n k ， 也 很 简 单 ， 在 一 个 ， 也 很 简 单 ， 在 一 个 c h u n k 中 伪 造 一 个 中 伪 造 一 个 f a k e c h u n k ， 然 后 通 过 溢 出 修 改 ， 然 后 通 过 溢 出 修 改 n e x t c h u n k 的 的 p r e v _ s i z e 即 可 。 即 可 。 # # # 一 般 套 路 # # #   # # # l e a k   l i b c # # #   a d d ( 0 x 1 0 , ' a a a a ' ) # 0   a d d ( 0 x 6 0 , ' b b b b ' ) # 1 a d d ( 0 x 6 0 , ' c c c c ' ) # 2   a d d ( 0 x 6 0 , ' d d d d ' ) # 3   a d d ( 0 x 1 0 , ' e e e e ' ) # 4       f a k e _ s i z e =   0 x 6 0 + 0 x 6 0 + 0 x 6 0 + 0 x 1 0 + 0 x 1 0 + 0 x 1 0 + 0 x 1   p a y l o a d   =   # # # i n i t # # # p t r   =   0 x 6 0 2 0 C 8   +   0 x 1 0   f a k e _ F D   =   p t r   -   0 x 1 8   f a k e _ B K   =   p t r   -   0 x 1 0   # # # u n l i n k # # #     a d d ( 0 x 1 0 , ' a a a a ' ) # 0   a d d ( 0 x 6 0 , ' a a a a ' ) # 1 a d d ( 0 x 8 0 , ' b b b b ' ) # 2   a d d ( 0 x 1 0 , ' g a p ' ) # 3     p a y l o a d   =   p 6 4 (
r e m o v e ( 2 ) 后 : l i s t 已 经 有 指 针 指 向 l i s t ， 接 下 来 不 用 多 说 ， 就 是 修 改 l i s t 中 的 c h u n k 指 针 l e a k 以 及 g e t s h e l l 。 2 关 于 公 众 号 关 于 公 众 号 公 众 号 不 定 期 更 新 安 全 类 文 章 和 视 频 欢 迎 前 来 关 注 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理