Re: [問題] Netcat問題

[apple50189 ( apple)]

※ 引述《luxylu (     露西露     )》之銘言：
: 不好意思不知道該發在哪個版
: 想請教netcat的相關問題
: 最近在解一個CTF的題目
: 題目是nc xxx.xxx.xxx.xxx xxxx 之後會出現一個扔硬幣程式
: 只要連續猜對50次 就可以得到flag
: 目前我有扔硬幣的原始碼(xxx.c)跟另一個沒有副檔名的檔案(應該是shell之類）
: 我修改了xxx.c 並在我的電腦直行後 可以讓他cat flag(但我電腦沒flag)
: 我該如何利用nc 或其他的command
: 想辦法讓對方server去執行我修改過後的.c
: 或是有其它方法可以利用呢？？
: 感謝各位大大給點提示
: 先謝過了

你好

剛好看到回一下

看完原始碼可以很快地發現漏洞在 printf(name) 這一行

這個漏洞叫做 format string exploit

簡單介紹一下

你可以想想看

正常 printf 的時候 stack 會長什麼樣子


printf("%x%x%x",a,b,c);

high

    --------   -------------
    | arg4 |   |     c     |
    --------   -------------
    | arg3 |   |     b     |
    --------   -------------
    | arg2 |   |     a     |
    --------   -------------
    | arg1 |   | "%x%x%x"  |
    --------   -------------

low

現在 printf 裡面沒有參數會造成什麼問題

printf(name);

假設你輸入的 name = "%x%x%x%x%x%x%x%x%x%x%x%x";

high

    --------   ------------------------------
    | xxxx |   | local variable1(name[128]) |
    --------   ------------------------------
    | xxxx |   | local variable2(buf[2])    |
    --------   ------------------------------
    | xxxx |   | local variable3(seed)      |
    --------   ------------------------------
    | xxxx |   |           .....            |
    --------   ------------------------------
    | name |   | "%x%x%x%x%x%x%x%x%x%x%x%x" |
    --------   ------------------------------

low

註: stack 我畫的很簡陋中間有一些 alignment 和 function call 預留的位置

要看 server 的那隻程式是怎麼編譯的

這時候 printf 會把在 stack 上的值當作參數印出來

就可以 leak 在 stack 上的值

這之中就包含 seed 的值

要是拿到 seed 的值

就可以預測出接下來 50 次的硬幣正反面

exploit 撰寫部分

可以用 pwntools 和 ctypes

pwntools 是專門用來寫 exploit 的工具
ctypes 讓你可以模擬 srand(seed) 的行為

以下是範例

from ctypes import *
cdll.LoadLibrary("libc.so.6")
libc = CDLL("libc.so.6")
libc.srand(seed)
for i in range(50):
    print(libc.rand()%2)

自己動手樂趣多XD

加油!!!

seed 的位置可以用 objdump 看

或是用 gdb debug

如果還有疑問歡迎來信



--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.113.65.210
※ 文章網址: https://www.ptt.cc/bbs/Linux/M.1465793487.A.023.html
推 ddoomm: cool
→ hijkxyzuw: 強
推 filiaslayers: 跪了
推 scwuaptx: 已跪
推 tjjh89017: 朝聖推
推 winken2004: 跪
推 xatier: 朝聖
推 OrzOGC: 跪
推 Neisseria: 朝聖
推 Debian: 令人雙腳癱軟。
※ 編輯: apple50189 (140.113.65.210), 06/14/2016 02:01:58
→ apple50189: 樓上都大師QQ
推 WindSucker: 樓上是大師
推 luxylu: 已跪拜
推 silentazure: 朝聖
推 basslife: 完全看不懂QQ
推 pizzahut: 只看得懂一半QQ
推 a73126: 拜見大大
推 rickieyang: 推一下好了，要不然會被發現我看不懂...
推 freetsubasa: 朝聖推
推 iGene: 朝聖推，跪在地上起不來了
→ PkmX: 我比較想知道如果對方平台的rand實做跟你不一樣怎辦...?
→ apple50189: 其實我應該有可以不用知道rand實作的方法(我還沒寫cod
→ apple50189: e驗證)，只是通常CTF題目的意思會以正常邏輯想的出解
→ apple50189: 法的方向出題，像是有一定限度的測試和猜測是可以接
→ apple50189: 受的，但是要是偷偷換掉rand再叫你去猜rand的實作，
→ apple50189: 那就算不合理的了
推 L4ys: 不知道 rand 實做的話可以試試一次開 51 個 connection XD
→ apple50189: 樓上正解XD 如果GOT可寫應該可以把atoi改成system賭點
→ apple50189: 運氣輸sh看會不會爛掉(buf只有2 bytes最後沒有終止字
→ apple50189: 元)看可不可以拿shell
推 xaos: QQ 這個ip
推 nfsong: 已跪拜
推 rith22411: 這ip 似乎在我隔壁