记一道PWN题的解题思路 – 作者:野火研习社1

0x00前言

一直以来都在搞逆向，没事破解点小程序，打打CTF。但是CTF上的逆向题也是越来越难了，各种套路让人防不胜防。都说漏洞利用是门艺术，于是就决定来学学pwn。

作为一名初学pwn的新人，在经过一段时间的“闭关”学习后，觉得是时候“出关”了，于是就从pwnable.tw上找来了一道200分的题applestore，由于比较“膨胀”，直接来200的，所以最后……但是pwnable.tw上的题还是不错的，有兴趣可以去尝试一下。

pwnable.tw不上外放高分题目的write up，但是我觉得200分也不算高分，还是可以分享下解题思路的，有什么不足之处欢迎批评指教。

0x01题目解析

这道pwn题给出了程序applestore与libc库文件。

运行程序可知这是个Apple商店，程序类似于一些note类型的题目，有添加、删除、查看、结算等功能。

使用checksec检查程序的执行保护，可见该程序开启了NX（堆栈不可执行）和Stack（也可叫CANNARY，栈溢出保护）。

0x02逆向分析

main函数

使用IDA打开程序进行逆向分析，首先来到main函数中。

.text:08048CA6                 push    ebp
.text:08048CA7                 mov     ebp, esp
.text:08048CA9                 and     esp, 0FFFFFFF0h
.text:08048CAC                 sub     esp, 10h
.text:08048CAF                 mov     dword ptr [esp+4], offset timeout ; handler
.text:08048CB7                 mov     dword ptr [esp], 0Eh ; sig
.text:08048CBE                 call    _signal
.text:08048CC3                 mov     dword ptr [esp], 3Ch ; seconds
.text:08048CCA                 call    _alarm
.text:08048CCF                 mov     dword ptr [esp+8], 10h ; n
.text:08048CD7                 mov     dword ptr [esp+4], 0 ; c
.text:08048CDF                 mov     dword ptr [esp], offset myCart ; s
.text:08048CE6                 call    _memset
.text:08048CEB                 call    menu
.text:08048CF0                 call    handler
.text:08048CF5                 leave
.text:08048CF6                 retn

在main函数中，memset函数为全局变量初始化了一块大小为16个字节的空间，地址为0x804B068。

menu函数为显示的菜单，handler函数是程序的主要内容。

0x02逆向分析

main函数

使用IDA打开程序进行逆向分析，首先来到main函数中。

.text:08048CA6                 push    ebp
.text:08048CA7                 mov     ebp, esp
.text:08048CA9                 and     esp, 0FFFFFFF0h
.text:08048CAC                 sub     esp, 10h
.text:08048CAF                 mov     dword ptr [esp+4], offset timeout ; handler
.text:08048CB7                 mov     dword ptr [esp], 0Eh ; sig
.text:08048CBE                 call    _signal
.text:08048CC3                 mov     dword ptr [esp], 3Ch ; seconds
.text:08048CCA                 call    _alarm
.text:08048CCF                 mov     dword ptr [esp+8], 10h ; n
.text:08048CD7                 mov     dword ptr [esp+4], 0 ; c
.text:08048CDF                 mov     dword ptr [esp], offset myCart ; s
.text:08048CE6                 call    _memset
.text:08048CEB                 call    menu
.text:08048CF0                 call    handler
.text:08048CF5                 leave
.text:08048CF6                 retn

在main函数中，memset函数为全局变量初始化了一块大小为16个字节的空间，地址为0x804B068。

menu函数为显示的菜单，handler函数是程序的主要内容。

handler函数

接下来看下handler函数

函数中通过my_read()接收输入，my_read函数中主要调用了read函数来接受输入。然后使用atoi()将接收到的字符串转换为整型。atoi这个函数有个特点，就是遇上数字或正负符号才开始做转换，而在遇到非数字或字符串结束时(‘\0’)才结束转换（这是关键），并将结果返回，后面需要利用到这个关键的函数。然后进入一个switch条件判断中，通过对输入进行判断来决定使用那个功能。

switch中分了五个函数和一个return，这五个函数分别为list()、add()、delete()、cart()和checkout()。通过函数名以及在menu函数中显示的主菜单可以了解到这几个函数的功能。

list函数的功能是显示商品列表

add函数的功能是添加商品、delete函数函数的功能是删除商品、cart函数函数的功能是购物车清单、checkout函数函数的功能是结账。下面会详细分析下这几个函数。

add函数

看下add函数的内容

add函数和handler函数的结构类似，同样使用my_read函数接收输入，并且用atoi函数做转换，之后进入switch中。

这里面有create()和insert()两个函数，先来看下create函数

char **__cdecl create(int name, char *price)
{
  char **v2; // eax
  char **v3; // ST1C_4

  v2 = malloc(0x10u);
  v3 = v2;
  v2[1] = price;
  asprintf(v2, "%s", name);
  v3[2] = 0;
  v3[3] = 0;
  return v3;
}

调用create函数会传入两个参数，一个为商品名称，一个为商品价格。在create函数中，首先用malloc函数申请一块堆空间，大小为0x10，然后会将商品名称的地址和商品价格放入堆空间中的低8位，并将高8位置为0。

此时堆中的结构可以看做数组，这里Device1表示添加的第一个设备

Device1[0] = &name
Device1[1] = price
Device1[2] = 0
Device1[3] = 0

最后返回这块堆空间的首地址并作为参数传入insert函数中。

下面看下insert函数的内容

int __cdecl insert(int a1)
{
  int result; // eax
  _DWORD *i; // [esp+Ch] [ebp-4h]

  for ( i = &myCart; i[2]; i = i[2] )
    ;
  i[2] = a1;
  result = a1;
  *(a1 + 12) = i;
  return result;
}

insert函数中有个for循环，for循环中首先将全局变量myCart地址赋值给i，然后判断i[2]是否为0，如果i[2]==0，那么跳出循环。如果i[2] != 0，那么会将i[2]赋值给i，继续循环判断，直到i[2] == 0为止。

那么这个i[2]是什么呢？首先先来看下myCart的内容

从图中可以看到，将myCart的16个字节分成的4个块，每块4个字节，若是将myCart看作是个数组，那么可将图中的内容解释为：

myCart[0] == 0
myCart[1] == 0
myCart[2] == 0
myCart[3] == 0

那么上面的i[2]就很好理解了，在初始化i = &myCart时，i[2] == myCart[2] == 0，此时i[2]为0，那么直接跳出循环。

上面说过，insert函数的参数a1是从create函数中得到的堆地址，那么下面就是将这个地址放入i[2]也就是myCart[2]中，然后将i的值放入*（a1+12）中，也就等同于将i的值放入上面所说的Device1[3]中。

到这里，可以看到这里其实相当于一个链表，myCart则为链表的头部。

每个商品的高8位存放着上个商品的起始地址和下个商品的起始地址。第一个商品的last指向链表头（myCart），最后一个商品的next为0。

那么我们来总结下insert函数所做的功能：

insert函数就是判断从myCart开始的每个块的next处是否为0，如果为0，表示当前块处于链表末尾，那么会将新块的首地址放入，并且将当前块的首地址放入新块的last处，目的就是构建成一个“双向链表”。

delete函数

下面看下delete函数的内容

在delete函数中，会通过设备id来删除商品。但是在删除这里，并没用与malloc函数所对应的free函数释放空间，而是通过改变每个商品的next和last，将需要删除的商品从商品链表中“拿掉”。

next = v2[2];
last = v2[3];
if ( last )
    *(last + 8) = next;
if ( next )
    *(next + 12) = last;

这里就有了可利用之处。(具体如何利用，后面会详细说明)

cart函数

在cart函数中，通过循环遍历链表，取得商品的价格，输出并且累加。

    for ( i = dword_804B070; i; i = i[2] )
    {
      v0 = v2++;
      printf("%d: %s - $%d\n", v0, *i, i[1]);
      v3 += i[1];
    }

循环结束后，将总价返回。

checkout函数

这个函数很有意思

首先会调用cart函数获取商品总价，然后会判断总价是不是7174，如果是，则会以$1的价格购得iPhone 8。

这里会通过insert函数将这个商品添加到商品链表中，按照前面来看，insert的参数是一个堆结构的地址，但是这里并没有申请堆空间，而是以栈空间中的v2作为参数加到前面的商品链表中。

这里就造成了栈空间的泄露。

0x03漏洞分析

通过上面对每个函数的详细分析，可知主要漏洞的就在iphone 8上。

iphone 8商品的结构位于栈上，并且距离ebp并不远。如果能通过栈溢出覆盖iphone 8结构的next和last，那么就可以构造payload来修改ebp，进而通过修改GOT表来获取shell。

GOT表

说到GOT表，就不得不说说PTL表

在IDA中可以看到这两块区域

其中可以看到第一张图是PTL表，第二张图是GOT表。

我们可以随便找个函数，点进去查看下它的内容

首先找个call atoi的地方，点进去会来到2（这里是PTL表），一个jmp跳转，跟进跳转地址会来到3（这里就是GOT表）。

那么简单的来说，PTL表中存放着与之对应的GOT表，而GOT表中存放着函数的真实地址。而函数的真是地址需要在程序运行中获得。

如果想要详细了解GOT表和PTL表，推荐文章《Linux中的GOT和PLT到底是个啥？》

0x04漏洞利用

上面说了漏洞iphone 8上，那么第一步就是得到iphone 8。所以首先需要添加商品，将总价凑到7174。这里我用的是20个iphone 6和6个iphone 6 plus（总价刚好7174，不要问我怎么得到的，都是泪）

for i in range(6):
    add("1")
for i in range(20):
    add("2")

想要获取shell，就需要执行system("/bin/sh");命令，那么首先就需要获得system函数的真实地址。

这里我们就可以利用上面说到的atoi的特点来泄露函数地址。这里我们来泄露puts函数的真实地址。

首先需要获得puts函数got表的地址，然后构造payload，通过cart函数来泄露puts函数的真实地址。

puts_addr = cart("y\x00" + p32(puts_got) + p32(0)*4)

在这段payload中，开头的“y\x00”占前四字节，为了让程序在判断（y/n）时继续运行下去，后四字节则是puts_got的地址，而这里刚好覆盖了iphone8->name的地址。最后的四个字节补0是为了覆盖iphone8->next的地址，使iphone8->next地址中的内容为0，这样可以保证这次循环之后可以正常退出循环。如果iphone8->next地址中的内容不为0的话，会再次进行循环，则会导致程序崩溃。（大家在调试的时候可以随便输入点别的，观察内存变化！！！）

在后续打印iphone->name时，则会打印puts_got地址中的内容，也就是puts函数的真实地址。这样puts函数的真实地址也就被获取到。

可能有人会想利用别的函数来泄露地址，比如read、printf、exit等，这当然是可以的，不一定必须用puts。不过在这里需要注意一点，我们这里泄露地址是通过printf的，printf有个特点，就是在输出字符串的时候，遇到\x00会截断，比如某个函数的真实地址是0xf75ea00，那么printf在读到\x00的时候会截断，导致输出的内容不完整，也就获取不到完整的真实地址。如果遇到类似情况，一定要亲自调试。（我是被坑过的，在这里纠结了好久。。。。）

接下来可以通过libc库来获得puts和system函数的偏移地址

注意：本地调试的话，不要用题目所给的libc库，要用本地的libc库，因为在本地调试中，系统调用会默认使用本地的libc库，而本地的libc库和题目所给的libc库中的函数偏移会有所不同。本地libc库文件一般在根目录下的lib32文件夹中

libc = ELF('/lib32/libc-2.24.so')
puts_offset = libc.symbols["puts"]
system_offset = libc.symbols["system"]

有了puts函数的真实地址，有了puts函数的偏移，那么通过计算便可得出基地址，然后通过基地址与system函数的偏移来获得system函数的真实地址。

base_addr = puts_addr - puts_offset
system_addr = base_addr + system_offset

有了system函数的地址，接下来就需要控制ebp了。那么如何获得ebp的地址呢？

经过一番资料搜查，发现了一个环境变量指针environ。这个指针指向的就是栈空间。通过调试来看下这个环境变量指针指向的栈地址与当前ebp有什么关系。

从图中可以明显看到，environ确实处于栈空间上，而且与ebp相差0x104。（这个差值不同程序可能会不同，需要调试）

接下来通过environ的偏移地址计算environ的真实地址，然后通过environ的真实地址使用cart函数来泄露当前栈地址。

environ_offset = libc.symbols["environ"]
environ_addr = base_addr + environ_offset
stack_addr = cart("y\x00" + p32(environ_addr) + p32(0)*3)

有了environ指向的栈地址，减去刚才计算的差值，得到当前ebp的地址。

OK，现在ebp的地址也有了，那么就可以构造payload，通过delete函数来修改ebp。

如何构造这个payload呢？

先来分析下这个payload的内容，这个payload的主要功能是来修改ebp，修改ebp的目的是为的控制栈空间，在这里我们控制栈空间的目的是为了后面修改函数的got地址。我们需要将这个函数的got地址覆盖到ebp上，便于我们后面进行篡改。

修改ebp为函数got表地址的方式就是通过delete中的这段代码实现。

if ( last )
    *(last + 8) = next;
//可表示为 iphone->last + 8 = next

如果将iphone8->next覆盖为某个函数的got表地址，iphone8->last覆盖为ebp-8，那么这段代码就可表示为

ebp - 8 + 8 = xxx_got = ebp

这样就成功的将ebp修改为我们想要的got表地址。那么应该修改那个函数的got表呢？

经过一番分析，发现了一个可以利用并且比较方便的函数——atoi（后面会发现它为什么方便）。

在执行完delete函数后，程序会返回到handler函数中，通过IDA来到handler函数中，返回后接着执行的就是my_read函数和atoi函数。如果修改了atoi函数的got表中的内容，那么在执行到atoi函数的时候，就可以通过输入的system地址，劫持程序到system函数中。当然，这里还有个接收输入的关键参数—–nptr，位置在ebp-0x22处。我们需要利用这个参数接收我们输入的system地址以及所用到的参数。

那么这个payload的内容就比较明确了。下面是构造好的一个payload：

payload1 = '27' + p32(atoi_got) + p32(0xAAAAAAAA) + p32(atoi_got + 0x22) + p32(stack_ebp - 8)

这个payload中，开头的’27’即为iphone8的id，后面的内容则是修改了iphone8的结构体。

这里iphone8->name和iphone8->price中的数据看似对我们的利用没什么影响，但是在调试过程中发现，这两个值是不能空着不管的，在后面printf的时候会用到iphone8->name，如果将iphone8->name改为任意值，那么printf到一个不可读的地方就会崩溃，因此这里将iphone8->name的值改为了一个可读的地址。而后面iphone8->price的值虽然没什么影响，但还是不要空着好。

为了让atoi_got配合前面所说的参数nptr，因此这里iphone8->next的值就改成了atoi_got + 0x22

nptr = ebp - 0x22 = atoi_got + 0x22 - 0x22 = atoi_got

这样nptr的地址就会被改为atoi_got的地址，那么在执行my_read函数接收输入的时候，就会将我们输入的数据写入atoi_got中，达到修改got表的目的。

下面是执行handler函数中的my_read函数前，栈空间的内容。可见，栈空间已经被覆盖成了atoi_got表的地址。

在执行完my_read函数后，可见atoi_got的内容也有原来atoi的真实地址改成了system函数的真实地址。

劫持到了system函数地址，那么再配合参数/bin/sh，那么最后执行的命令就是system("/bin/sh");

p.send(p32(system_addr) + ';/bin/sh\x00')

最终运行exp，获取shell

0x05总结

通过这道题，学到了很多，比如对堆和栈的理解、对read和atoi函数的利用、如何泄露函数的真实地址、如何篡改GOT表以及解决遇到的各种坑。。。。。。学习的过程虽然艰辛，但是pwn题真的很有意思，当你找到漏洞、绕过各种防护、最后拿到shell的时候，还是很激动的。

这里就不放exp了，感兴趣的朋友可以参考我的解题思路进行分析调试，一定能写出更完美的exp。

最后分享一个链接，学习二进制安全的好去处

*本文作者：野火研习社1，转载请注明FreeBuf.COM

来源：freebuf.com 2018-01-02 10:00:16 by: 野火研习社1