前段时间赛前准备把ciscn东北赛区、华南赛区、西南赛区半决赛的题都复现完了。

可惜遇到了华东北赛区的离谱平台和离谱pwn出题人：

今天把华中赛区的题目也都复现了一下，题目分布为1个简单堆、1个高版本堆、1个go和1个protobuf。

对比之下，华东北的题最烂。

签到堆题，2.31版本libc（tcache利用最简单的版本）。

题目没去除符号表，经典菜单题，逆向也不复杂。

拖入IDA分析：

经典的增删改查菜单，逐个分析。

可以申请最多1024个任意大小的chunk（小于0x1000）。

正常编辑功能，不存在溢出。

关键漏洞点，存在UAF漏洞。

正常打印输出chunk中的内容。

题目给的glibc2.31相对来说还是比较好利用的，没有fd指针也加密，malloc也不检查是否0x10对齐。

存在UAF漏洞，没有任何限制。打法有很多种，最简单的就是tcache poisoning打__free_hook -> system。

通过tcache泄露堆地址，通过unsorted bin泄露libc，然后修改tcache的fd指针指向free_hook。

修改free_hook为system，然后释放一个带有/bin/sh的chunk即可完成利用。

题目很简单，ret2libc。

难点在于交互时套了一层C++ Protobuf的壳。

Protobuf-C逆向可以参考《深入二进制安全：全面解析Protobuf》文章，近期会再更新一期关于C++中Protobuf结构体还原的方法。

发现程序运行时会打印puts函数地址，泄露libc。然后解析Protobuf结构体并调用真正的主函数。

使用pbtk工具：

得到结构体：

name和phoneNumber可选，没什么用。

buffer为字符串，size可自定义，调用memcpy时会存在栈溢出漏洞。

已知libc，可以考虑直接ret2libc。

（这里需要注意的是，经过编译后的Protobuf会在头部增加一个Message结构体，下标3开始才是我们的字段）

（而if里判断了下标为2的参数，这里猜测是判断结构体中name和phoneNumber字段是否为空）

Go语言静态编译的题目，IDA反编译不是很好，但是代码不复杂且漏洞点很好发现。

关键问题是没有libc，需要找一些ROP来调用静态编译的函数，方法可能不是最优解，但是很容易想到。

Go语言逆向，相比于C语言的区别如下：

main函数名为main_main（如果去除符号表，考虑通过bindiff还原）

参数依次通过寄存器传递：AX、BX、CX、DI、SI、R8、R9、R10、R11

对于Go语言逆向，IDA支持不是很好，我们需要结合汇编代码和动态调试来分析。

找到main_main函数：

好在不是很复杂，根据菜单发现有add、delete、edit和show功能，依次分析。

存在一个Notes结构体，存储len和array结构体数组。add函数会将id、content_len和content加入到array结构体数组中。

直接看变量有点复杂，结合gdb调试发现不存在UAF漏洞。

直接看变量有点复杂，结合gdb动态调试发现这里没有判断输入长度，存在溢出漏洞并能覆盖到返回地址。

看上去没有什么漏洞，直接打印内容。

结合动态调试，发现edit存在栈溢出漏洞，可以劫持程序的控制流程。

由于题目没有给出libc，也没办法泄露相关地址，我直接采用了ret2syscall。

题目是静态编译，搜索下syscall发现有如下函数：

我们的目的是执行execve("/bin/sh", 0, 0)。rax寄存器为系统调用号，rbx、rcx、rdi是系统调用的三个参数。

然后通过ROPgadget找到gadget：

找不到pop rcx和pop rdi指令，由于rcx和rdi都应该置0，所以可以找mov或者xor指令替代。

经过一番查找，发现一条mov rcx, 0指令可以把rcx寄存器置0。

并且，有一条xor edi, edi; add rsp, 0x10; pop rbp;指令，只要能够让edi置0即可，后面的指令相当于弹出栈上3个参数，填充即可。

现在距离拿下shell只差一步，题目没有/bin/sh字符串，需要我们想办法写入一个已知地址。

经过调试发现，add函数将内容写在了堆上，我们可以考虑利用一些gadget将字符串写到bss段上。

比如，可以通过下面的gadget：

然后正常的覆盖返回地址到rop gadget执行ret2syscall即可。

逆向起来比较费劲，涉及到了SSE指令，IDA反编译的有问题，并且结构体设置的比较复杂。

除了final和destroy函数都逆了下，但是没有找到漏洞点，有兴趣的师傅可以做一下。（听武汉大学的secsome师傅和V3rdant师傅说是start结构体的0x00偏移量位置的计数器没有+1，这里确实是一个漏洞点，但是不知道后续怎么利用。）

（secsome师傅说IDA把一堆32bytes的识别成xmm导致反编译的有问题）

这里给出一部分逆向分析过程。

查看main函数，发现是经典菜单题，选项多了点，逐个分析。

最多申请0x100个chunk。输入idx、size和content，申请0x60大小的chunk_a后申请指定size的chunk_b。

与常规题目不同的是：

这段代码很奇怪，反编译有问题。

前面将申请的0x60大小chunk_a的用户区域指针赋值给了rbp，chunk_b的用户区域指针赋值给了r12。

这里read内容到chunk_b后执行了一系列命令，可以看下汇编：

执行如下操作：

而对于punpcklqdq xmm0, xmm1指令，动态调试发现：

执行结果，xmm0为16字节。低8字节为&chunk_b，高8字节为&chunk_a + 0x38。

然后执行如下操作：

动态调试后结构如下所示：

输入chunk_a和chunk_b的下标，然后输入distance，会判断chunk+0x20的位置是否有数据，若不为0则代表已经finalize。

然后判断chunk+0x10的位置是不是小于0x100，猜测这里是代表当前结点的连接数量。

后面的部分看汇编代码：

申请0x30大小的chunk作为link结构体。它执行如下操作：

动态调试结果如下：

然后再次调用malloc申请一个0x30大小的chunk，执行如下操作：

动态调试结果如下：

根据输入的idx输出对应的Index、Data、LinkCount和Distance。

可以结合这个show函数还原部分结构：

大概可以知道，start存储了Index、data_len、data_ptr和Link_count，并且和这个start相关的link组成了一个双向链表。

对于每个start的link，存储distance、star_ptr、fd和bk，类似于链表实现邻接矩阵。

根据update函数，又能推断出一些信息：field_20和finalize有关。

然后可以正常edit数据区域，不存在溢出漏洞。

将field_0的值减1，如果field_0为0则进入清理操作。

将所有link删除，然后将star删除。

final函数用于构建graph。
后面实在不想分析了，看了会也没找到漏洞在哪。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)