From 571cc031ebd5551ff6518fe34059472f930dd12a Mon Sep 17 00:00:00 2001 From: firmianay Date: Sun, 3 Dec 2017 22:11:11 +0800 Subject: [PATCH] fix --- doc/5.3_angr.md | 3 ++ doc/6.2.1_re_xhpctf2017_dont_panic.md | 4 ++ doc/6.2.3_re_codegate2017_angrybird.md | 50 ++++++++++++++---- .../angrybird_mod | Bin 26840 -> 26840 bytes .../6.2.3_re_codegate2017_angrybird/exp.py | 4 +- 5 files changed, 49 insertions(+), 12 deletions(-) diff --git a/doc/5.3_angr.md b/doc/5.3_angr.md index c3a886e..8dc7971 100644 --- a/doc/5.3_angr.md +++ b/doc/5.3_angr.md @@ -256,6 +256,9 @@ Bingo!!! ``` $ python2 exp_angr.py FLAG SHOULD BE: Code_Talkers +$ ./entry_language +Enter the password: Code_Talkers +Nice! ``` diff --git a/doc/6.2.1_re_xhpctf2017_dont_panic.md b/doc/6.2.1_re_xhpctf2017_dont_panic.md index d79211c..4e75ec4 100644 --- a/doc/6.2.1_re_xhpctf2017_dont_panic.md +++ b/doc/6.2.1_re_xhpctf2017_dont_panic.md @@ -386,6 +386,10 @@ while count != 42: ``` hxp{k3eP_C4lM_AnD_D0n't_P4n1c__G0_i5_S4F3} ``` +``` +$ ./dont_panic "hxp{k3eP_C4lM_AnD_D0n't_P4n1c__G0_i5_S4F3}" +Seems like you got a flag... +``` 参考资料里的 gdb 脚本就快得多： ```Python diff --git a/doc/6.2.3_re_codegate2017_angrybird.md b/doc/6.2.3_re_codegate2017_angrybird.md index 26c1100..cb88793 100644 --- a/doc/6.2.3_re_codegate2017_angrybird.md +++ b/doc/6.2.3_re_codegate2017_angrybird.md @@ -7,11 +7,11 @@ ## 题目解析 看题目就知道，这是一个会让我们抓狂的程序，事实也确实如此。 ``` -$ file angrybird +$ file angrybird_org angrybird: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=089c3a14bcd7ffb08e94645cea46f1162b171445, stripped ``` ``` -$ ./angrybird +$ ./angrybird_org $ ``` 一运行就退出，应该是需要程序流上有问题。 @@ -47,7 +47,7 @@ $ | 0x004007d0 89ce mov esi, ecx ; esi = 21 | 0x004007d2 4889c7 mov rdi, rax | 0x004007d5 e8f6fdffff call sym.imp.fgets ; char *fgets(char *s, int size, FILE *stream) ; patch 成功后就能调用 fgets -| 0x004007da 0fb655b0 movzx edx, byte [local_50h] ; 读入的第一个字符 ; fgets 的下一个地址 +| 0x004007da 0fb655b0 movzx edx, byte [local_50h] ; 读入的第一个字符 | 0x004007de 0fb645b1 movzx eax, byte [local_4fh] ; 读入的第二个字符 | 0x004007e2 31d0 xor eax, edx | 0x004007e4 8845d0 mov byte [local_30h], al @@ -119,6 +119,15 @@ $ - offset - 0 1 2 3 4 5 6 7 8 9 A B C D E F 0123456789ABCDEF 0x00606060 1500 0000 0000 0000 0000 0000 0000 0000 ................ ``` +另外该函数结尾处指令是 `pop rbp`，而不是正确情况下的 `leave`，我们把它改过来： +``` +[0x00606060]> s 0x0040070a +[0x0040070a]> pd 1 +| 0x0040070a 5d pop rbp +[0x0040070a]> wx c9 +[0x0040070a]> pd 1 +| 0x0040070a c9 leave +``` 第三处 patch，将调用 `sub.stack_check_70c` 的指令直接 `nop` 掉： ``` [0x00606060]> pdf @ sub.stack_check_70c @@ -171,12 +180,22 @@ $ | 0x0040075f c9 leave \ 0x00400760 c3 ret ``` +总的来说就是修改了下面几个地方： +``` +$ radiff2 angrybird_org angrybird_mod +0x0000070a 5d => c9 0x0000070a +0x00000722 85 => 84 0x00000722 +0x00000752 74 => 75 0x00000752 +0x0000077c 84 => 85 0x0000077c +0x000007b3 e854ffffff => 9090909090 0x000007b3 +0x00006060 01 => 15 0x00006060 +``` 这样程序的运行就正常了，它从标准输入读入字符，进行一系列的判断，由于程序执行流非常长，我们不可能一个一个地去 patch。radare2 里输入命令 `VV @ main` 可以看到下面的东西： ![](../pic/6.2.3_graph.png) -使用 angr 来解决它，指定好目标地址，让它运行到那儿，在大多数情况下，这种方法都是有效的。 +不如使用 angr 来解决它，指定好目标地址，让它运行到那儿，在大多数情况下，这种方法都是有效的。 ``` [0x00400761]> pd -20 @ main+18555 | 0x00404f8e d00f ror byte [rdi], 1 @@ -193,28 +212,30 @@ $ | 0x00404fb2 bf9b504000 mov edi, str.you_typed_:__s_n ; 0x40509b ; "you typed : %s\n" | 0x00404fb7 b800000000 mov eax, 0 | 0x00404fbc e8efb5ffff call sym.imp.printf ; int printf(const char *format) -| 0x00404fc1 b800000000 mov eax, 0 ; 选择一个目标地址 +| 0x00404fc1 b800000000 mov eax, 0 | 0x00404fc6 488b4df8 mov rcx, qword [local_8h] | 0x00404fca 6448330c2528. xor rcx, qword fs:[0x28] | ,=< 0x00404fd3 7405 je 0x404fda | | 0x00404fd5 e8c6b5ffff call sym.imp.__stack_chk_fail ; void __stack_chk_fail(void) | | ; JMP XREF from 0x00404fd3 (main) -| `-> 0x00404fda c9 leave +| `-> 0x00404fda c9 leave ; 选择一个目标地址 \ 0x00404fdb c3 ret ``` +因为每次错误退出之前，都会调用 `puts` 函数，所以应该避免其出现，将地址设置为参数 avoid。 ``` [0x00400600]> is~puts vaddr=0x00400590 paddr=0x00000590 ord=002 fwd=NONE sz=16 bind=GLOBAL type=FUNC name=imp.puts ``` -完整的 exp 如下： + +对于使用 angr 来说，上面的 patch 完全没有必要，只要选择一个合适的初始化地址，如 `0x004007da`，也就是 `fget` 函数的下一条指令，就可以跑出结果： ```python import angr main = 0x004007da -find = 0x00404fc1 +find = 0x00404fda # leave;ret avoid = 0x00400590 # puts@plt -p = angr.Project('./angrybird_mod') +p = angr.Project('./angrybird_org') init = p.factory.blank_state(addr=main) pg = p.factory.simgr(init, threads=4) ex = pg.explore(find=find, avoid=avoid) @@ -232,7 +253,16 @@ WARNING | 2017-12-03 17:33:58,544 | angr.state_plugins.symbolic_memory | Concret Flag: you typed : Im_so_cute&pretty_:)� ``` -其他文件在 [github](../src/writeup/6.2.3_re_codegate2017_angrybird) 相应文件夹中。 +然后用我们 patch 过的程序来验证 flag： +``` +$ ./angrybird_mod +you should return 21 not 1 :( +Im_so_cute&pretty_:) +you typed : Im_so_cute&pretty_:) +``` +同样需要一定的运气才能通过，祝好运:) + +所有文件在 [github](../src/writeup/6.2.3_re_codegate2017_angrybird) 相应文件夹中。 ## 参考资料 diff --git a/src/writeup/6.2.3_re_codegate2017_angrybird/angrybird_mod b/src/writeup/6.2.3_re_codegate2017_angrybird/angrybird_mod index c317783db20c177b45de127c67f6736b21e547e8..862590353e1ddf54014c1ae693f382d225911a89 100755 GIT binary patch delta 16 Ycmca{k@3bw#tmHTj3+m9v!6`_06>-o(*OVf delta 16 Ycmca{k@3bw#tmHTjIo=!+0P~d06q=|X8-^I diff --git a/src/writeup/6.2.3_re_codegate2017_angrybird/exp.py b/src/writeup/6.2.3_re_codegate2017_angrybird/exp.py index 83f0aab..b5a8968 100644 --- a/src/writeup/6.2.3_re_codegate2017_angrybird/exp.py +++ b/src/writeup/6.2.3_re_codegate2017_angrybird/exp.py @@ -1,10 +1,10 @@ import angr main = 0x004007da -find = 0x00404fc1 +find = 0x00404fda # leave;ret avoid = 0x00400590 # puts@plt -p = angr.Project('./angrybird_mod') +p = angr.Project('./angrybird_org') init = p.factory.blank_state(addr=main) pg = p.factory.simgr(init, threads=4) ex = pg.explore(find=find, avoid=avoid)