2021_09_15_ciscn_2019_n_1

ciscn_2019_n_1

前言

每日一題pwn方向的第二題，也是初入漏洞利用的一道特別基礎的題，
大家都應該嘗試著做過了上一道，也就是test your nc，從解法來說其實那道題的難度真的只是半腳踩在入門的門坎上，就像wp中所說的那樣，目前pwn題的核心是通過漏洞挖掘與利用來提權，而nc這道題可以說是不需要任何漏洞的挖掘與利用，做出這道題并不代表你已經入門pwn了，
雖然如此，從ciscn_2019_n_1這道題開始，我們真正要開始嘗試邁過pwn題的那一道門檻，面對一些簡單的漏洞進行利用了，

準備作業

在做題之前，建議每一個同學在ubunut中安裝pwntools，
pwntools集成了做pwn題的很多模塊，具體可以看看https://zhuanlan.zhihu.com/p/83373740這篇文章
pwntools的安裝也并不困難，pwntools的github官方檔案上有安裝指令，如果跟著執行報錯的話可以到網上找一些文章參考一下 ，需要注意的是我默認大家的系統都是ubuntu18.04及以上，默認支持python3，所以相對應的pip也是pip3，而不是pip，
當遇見報錯，可以復制搜索一下，大概率會搜索到類似問題的解決方法，

做題流程

這里要提一個大致的流程，對于執行順序其實并沒有那么多硬性規定，只是對于萌新也許能少走一些彎路，
流程大致是這樣的：

1. 拿到題目附件，將它在對應的作業系統環境下打開（一般來說是ubuntu），先執行一下，了解一下程式的大致運行結果，
2. checksec命令，了解程式的保護方式，針對不同的保護方式，大致了解題目的難度等級，（萌萌新的題目應該大多是沒有任何保護的，但是之后的很多題都會附加很多復雜的保護）
3. 用ida打開題目，對題目進行一個程式邏輯的逆向，
4. 通過逆向找到程式的漏洞點，
5. 思考漏洞利用方式，并開始撰寫腳本（適當時動態除錯輔助腳本撰寫），
6. 腳本撰寫完成后，先在本地嘗試getshell，成功的話連接遠程拿flag，

整個流程最關鍵也是最難的就是第6步，在這個wp中，我會盡可能地詳細地將撰寫這個腳本的所有步驟和思路講出來，其他的步驟也會進行適當的解釋，

運行題目程式

這也是流程中的第一步，總的來說這一步并不是必要的，但是運行一下總歸能幫助大家提升對于程式邏輯的理解（尤其是逆向以及語言功底比較弱的同學）
現在我們將程式放進了ubuntu系統中，

可以看到這個檔案夾下的ciscn_2019_n_1檔案，
這時我們會碰到今天的第一個坑，
如果我們直接./ciscn_2019_n_1,
就會出現如圖的情況，
這是因為這個檔案雖然可執行，但是我們并沒有可執行權限，
這個情況直接利用chmod +x ciscn_2019_n_1來將檔案權限改成可執行就行，
具體的原理可以搜索一下chmod指令，

通過ls -l指令目，可以看到ciscn_2019_n_1檔案的權限是rwx，意味著它已經能夠被執行，這時候再./ciscn_2019_n_1，程式就成功被執行了，
執行的話可以看到程式要求我們猜數，
（我這個顏色有點詭異，這就調一下）

可以看到連續兩次程式都說，我們輸入的值要為11.28125，但是我們輸入了這個11.28125，程式還是沒有什么讓人提得起興趣的反映，這很奇怪，待會兒讓我們在ida中一探究竟（），

checksec查保護

比較簡單，如果需要安裝就按提示安裝或者搜索安裝方式就行，

程式邏輯分析

用ida64打開，
f5反編譯

出現了這樣一串代碼，
稍微分析一下，雙擊func（）進入函式內
我們
這個程式的代碼邏輯非常簡單，
定義了兩個變數，一個是整形的v1，另外一個是浮點型v2，
這里需要了解的一個知識點就是，當我們定義變數，計算機會為我們在記憶體中開辟一塊記憶體空間來存盤我們的變數的值，而且這個空間是連續的，開辟了v1以后再開辟v2，他們的記憶體塊是接在一起的，
如圖所示，

輸入數字，把數字存在v1這個記憶體快中，然后判斷v2記憶體塊是不是11.28125，如果是，就能拿到flag，不是就輸出"Its value should be 11.28125"
想要拿flag，需要使v2為11.28125.但是我們輸入的變數是存在v1，似乎并沒有任何方式能夠改變v2的值，
回想一下，剛剛我們說到v1和v2的記憶體空間是連續的，并且v1的記憶體空間是有限制的，比如說假如v1的記憶體空間大小是10，那么如果我們輸入了大小超過十的字串，那么資料依然會繼續輸入，不過是向下溢位到了v2的記憶體空間中了，這樣，如果我們知道v1的記憶體空間大小，再巧妙地構造我們輸入的字串，用任意字符將ｖ1填滿，再在后面加上11.28125，是不是v2的值就變成了我們想要的？
那么如何尋找v1的記憶體塊大小呢？
其實我們可以通過ida看到v1的大小，
這里提供兩種本質上都是一樣的方法，大家都看看，相互輔助理解吧，

1. 查看偽代碼中變數定義時與rbp的偏移
   
   如圖，大家可以把rbp暫且理解為一個基準線，或者0度線，把它當成0，前面的rsp暫且不用管，只看后面的rbp，[rbp-30h]的意思就是這個v1開始的地方與rbp的偏移是0x30（后面的h代表這是一個十六進制數），可以理解為它開始的地址就是rbp-30h的地方，

同理，下面的v2開始的地方是rbp-4h，z這樣就能算出v1的記憶體空間是0x30-0x4 = 0x2c，

借用一張很直觀的圖來幫助大家理解

2. 利用stack視窗查看，

在ida的偽代碼頁面，雙擊v1或者v2變，我們能較為直觀的看到兩個變數在記憶體中的大致排布，左邊標出了偏移量，
所以稍加計算便也能算出0x2c這個數，

腳本撰寫

我們直接略過漏洞點的尋找，開始撰寫腳本，
我們的目標很明確，當程式要我們輸入number的時候，我們給它發一大串字串，其中前0x2c個字符是任意的垃圾字符，之后是11.28125的16進制表示，
這里有一個坑，就是如何正確地找到11.28125在計算機記憶體中的表示，

完整的腳本如下，具體每一句都會有詳細的解釋，

from pwn import *#匯入pwntools模塊，python基礎知識，沒有pwntools的同學可以自行搜索安裝方式，
#p = process('./ciscn_n_1')#以本地運行的方式加載程式，一般來說先是本地測驗腳本，能打通再遠端連接，
p = remote('node3.buuoj.cn',27494)#以遠程連接的方式加載程式，                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                        

payload = b'a'*0x2c#這兩行放在外面重點講
payload += p64(0x41348000)#11.28125在記憶體中的十六進制表示

p.send(payload)#將payload發送

p.interactive()#與遠端程式互動

然后著重講一下

payload = b'a'*0x2c
payload += p64(0x41348000)

這兩句，就是構造字串的程序，payload就是0x2c個a加上0x4134800的機器碼，配合上后面的p.send(payload)，將payload發送給程式，
首先需要對payload這個東西有一個大致的理解，
payload并不是什么python的關鍵字，只是一個非常普通的變數，（你甚至可以給它取任何名字，只是處于習慣問題我們通常給它命名為payload）我們先把要輸的字串存進這個變數，再直接通過變數與程式互動，會使腳本看起來簡明干凈很多，
然后回歸正題，關于字串的構造，
第一句很簡單，就是垃圾字符的填充，
但是具體要填充多少，每道題可能都不太一樣，可以通過ida查看，
然后是下面那個11.28125在記憶體中的表示，
關于如何找到11.28125的記憶體表示，第一種方式是直接在ida中查看，第二種方式是直接進制轉化的方式，但是這個方法存在大小端序的問題，直接轉化的話是大端序表示，而記憶體中應當是小端序，萌萌新可能會被這個點坑很久（關于大小端序的問題可以自行搜索）
ida查看的話直接找到偽代碼對應匯編的比較ｖ2與11.28125的那一段，找到表示11.28125的字串，點進去，

稍微有點匯編基礎的同學應該能一眼看出來這個指令就是將浮點暫存器xmm0的值與dword_3007f4進行比較，所以很顯然dword_3007f4就是我們要的11.28125，

這樣我們就找了0x41348000
然后我們將它填進去，
可能會有同學疑惑為什么這里不是直接payload = 0x41348000
或者payload = b’0x41348000’

Payload不是直接payload = b’0x41348000’是怎么回事呢？Payload相信大家都很熟悉，但是Payload不是直接payload = b’0x41348000’是怎么回事呢，下面就讓小編帶大家一起了解吧，

Payload不是直接payload = b’0x41348000’，其實就是我們需要輸入的不是字串，大家可能會很驚訝Payload怎么會不是直接payload = b’0x41348000’呢？但事實就是這樣，小編也感到非常驚訝，

這就是關于Payload不是直接payload = b’0x41348000’的事情了，大家有什么想法呢，歡迎在評論區告訴小編一起討論哦！
（）

P64(0x41348000)指將整數進行64位格式的打包，其實就是把一串人能讀懂的數字轉換成機器碼，大概長這樣 ‘/x00/x80/x34/x41’

getshell

然后我們用這個腳本演示一下吧，

cat flag成功，
這一步驟也有很多要注意的點，
前文中我們一直說要寫python腳本，但是撰寫python腳本的工具，以及如何執行python腳本并沒有提及，
這里我推薦ubuntu上一個ui很好看，也很智能的代碼編輯器sublime text，
你甚至能直接在ubuntu的應用商店下載它，
然后輸入subl ciscn_2019_n_1.py指令，subl會自動為你創建一個帶有python格式高亮的名字為ciscn_2019_n_1.py的空檔案，
然后輸入腳本，ctrl+s保存，腳本就會存在你創建時所在的路徑中，
這個時候，保持你的題目和你的腳本處于同一路徑，然后python3 ciscn_2019_n_1.py，你就成功執行了這個py腳本，
（）