春暖花开，万物复苏，又到了交配的季节，空气中充满着荷尔蒙的气味，然而，在广阔无垠的亚欧大陆上却生存着一个数量庞大的哺乳动物——单身狗。
第四题的团队发起了《拯救单身狗》的行动，拯救单身狗，势在必行。你脱单了吗？
此题围观人数达到了3144人，这道题目同样有44支战队破解出来。
出题团队
战队成员：sixty的梦想
个人主页：https://bbs.pediy.com/user-770523.htm
个人简介：云南大学大四学生，目前于360代码安全实验室实习安全研究员，pwn手一枚，喜好堆类型及内核类型题目，实习研究方向：IoT。漏洞挖掘路上的一枚菜鸡2333。
看雪CTF crownless 评委 点评
《拯救单身狗》的设计包含了任意地址写以及堆数据泄漏，要求参赛者理清攻击思路，并具有逆向、编写pwn脚本的基本能力。
题目设计思路
1. 设计灵感来自于CVE-2018-5002，类型混淆。漏洞样本是通过vb脚本自定义两个相似对象，通过漏洞函数使两个对象的类型发生了混淆，实现了任意地址读写。
题目提前定义了两个对象类型，并设计一个漏洞函数（漏洞为数组越界）。
通过漏洞函数导致b对象进入了a对象的数组。导致对a对象name的写影响了实际为b对象的结构指针A。导致了任意地址写。
2. 程序开启了全保护，有了任意地址写后需要掌握写的地址。题目第二部分为信息泄露部分。在对a对象进行写入后会有一次输出内存的机会用来泄露堆里的数据。
流程为：泄露堆地址->任意地址写chunk size->泄露libc地址
解题思路
第一步，通过tchche指针得到堆的地址。由于free堆块采用的rand的方式从数组里随机释放。得到的heap地址需要/0x1000*0x1000+0x660(libc-2.27)
第二步，需要创造出能分配进入unsorted_bin链表的堆块。由于tcache的限制，需要释放大小大于0x408的堆块才能进入unsorted_bin，或者多次释放small chunk填充tcache链表。
题目malloc大小固定为0x20，需要通过任意地址写+堆地址写入某一堆块size，配合save函数中的free，free的堆块地址可以由类型混淆控制。
我选择写入的大小为0x30*22=0x420.得到libc中main_arena地址。之前可以尝试摸索发现程序存在tcache机制可以判断libc版本为2.26或2.27（故libc未给出，不然就太简单了）。分别尝试可得到libc地址。
第三步，任意地址写写入free_hook为system完成利用
解题思路
本题解题思路由ODPan 提供
查看保护
网友评论