pwn题ZJCTF2019 login的分析
2023-1-4 18:8:51 Author: 看雪学苑(查看原文) 阅读量:9 收藏


本文为看雪论坛优秀文章

看雪论坛作者ID：N1co5in3

由于对汇编了解甚少，本不复杂的一题让我学到了很多。

题目复现

文件一开始需要登录，需要用户名和密码。

先checksec，存在canary。

主函数如下，一眼可以得到密码，下面会慢慢分析。

首先是16行的Admin的构造函数，调用了User的构造函数。

User构建的结构体，包含0x401170处的get_password函数的指针，传入的用户名与密码，它们的上限大小都是0x50。
Admin结构体与User的区别在于指针改为了0x401150，但还是get_password指针。
感觉这个Admin结构体意义不明，但数据结构的构思和我们关系不大就是了
后续可能存在函数指针的利用。


接着看主函数25行的User::read_name，读取输入的0x49个字符，然后赋值给bss段的login+1处，login是一个全局User结构体，实现了名字读入。


接着到了本题的重点，指针v3(实际只被寄存器暂存)存储函数指针main::{lambda(void)#1}::operator,然后经过password_checker得到二级指针v7。


查看password_checker,3*8的数组v2中，在v2处存储了a1(主函数的v3）指针。

看汇编语言更为直观，rax存储了[rbp-0x18]处的地址。

接着是read_password函数，与read_name函数基本一致。

get_password函数很简单。

在看最后的password_checker()前，我们用正确密码测试文件，显示段错误。

查看password_checker,login与admin的密码比较后，来了个奇葩的有毒打印，接着前面的二级函数终于被调用了。

我们需要知道报错原因，gdb调试发现正好是二级指针调用出错。



此外题目中有现成后门。

因此这题的漏洞基本算是送到脸上了，但对汇编不了解的我硬是做了两天。

利用思路

经过上面的初步分析，我们知道程序在password_checker中调用一个二级指针失败而段错误终止，考虑到canary的存在，srop不可能短期实现。即使我们无法利用这个二级指针getshell，它的存在也会让程序终止。由于存在后门函数，只要能改变这个二级指针，这题就getshell了。

调试过程

在网上多位师傅博客的参考下，我学会了用汇编溯源的技巧。c语言代码虽然易懂，但最硬核与直接的还是汇编。
调试前我们要明白一个概念：对于一个函数内调用的函数，他们的栈是平行的：由于push rbp; mov rbp, rsp;sub rsp, x子函数的ebp相同，esp根据位移不同而不同。
因此，子函数的栈空间会存在反复利用的情况；如果父函数中出现了子函数栈空间的指针变量，下一次调用子函数时，这个指针变量指向的值就有可能改变！
回到调试，我们观察main函数的汇编，指针存于[rbp-0x130]，它来自于password_checker的rax。

此处与我们初步调试的结果相同，rax的来源是[rbp-0x18]的地址（我原来不明白lea的意思……想了很久）。在最终二级指针调用时，会获得rbp-0x18的值，再获得[rbp-0x18]内的地址。我们可以覆盖后面子函数中[rbp-0x18]的值。

payload

from pwn import *context.log_level = 'debug' io = process('./login')#io = remote('node4.buuoj.cn',25895)#pause()#gdb.attach(io, 'b *0x400b42') io.sendlineafter('username: ', 'admin')payload = b'2jctf_pa5sw0rd\x00'.ljust(0x48, b'\x61') + p64(0x400e88)io.sendafter('password', payload)io.interactive()

总结

1、通过本题，熟悉了ida中根据汇编进行调试的过程，不再局限于c语言代码获取信息。

2、对二级指针，函数传参选择地址还是数据的理解加深。

3、若测试题目时出现段错误，务必追踪段错误的原因，很可能就是解题关键。

看雪ID：N1co5in3

https://bbs.pediy.com/user-home-945391.htm

*本文由看雪论坛 N1co5in3 原创，转载请注明来自看雪社区

# 往期推荐

1.CVE-2022-21882提权漏洞学习笔记

2.wibu证书 - 初探

3.win10 1909逆向之APIC中断和实验

4.EMET下EAF机制分析以及模拟实现

5.sql注入学习分享

6.V8 Array.prototype.concat函数出现过的issues和他们的POC们

球分享

球点赞

球在看

点击“阅读原文”，了解更多！


文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NTc2MDYxMw==&mid=2458490684&idx=1&sn=9419d6bdf08c3fb7e97c39e80ea83b28&chksm=b18ea7b686f92ea09c4b4c21166b2a3901d5f68a986119e3e43eb850c6e9ee3bcbccf7958351#rd
如有侵权请联系:admin#unsafe.sh