[原创]解决Pwn题中glibc版本及调试符号、源码问题-Pwn-看雪安全社区

[原创]解决Pwn题中glibc版本及调试符号、源码问题

发表于: 2024-8-31 13:28 18172

[原创]解决Pwn题中glibc版本及调试符号、源码问题

GeekCmore

2024-8-31 13:28

18172

## 前言
由于pwn题中经常会遇到glibc版本与本地环境不一致，需要patch的问题，遇到流行的版本，本地有对应的文件的情况还比较方便，但是一旦遇到小众版本，尤其是清华镜像站或者<a href="elink@a53K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0j5i4c8J5K9i4R3I4x3o6l9I4i4K6u0r3k6$3I4A6j5X3y4Q4x3X3c8S2L8r3I4Q4x3X3c8A6L8W2)9J5k6r3!0F1k6b7`.`.">glibc-all-in-one</a>找不到的版本时，patch就成了一大问题。同时，下载的glibc如果不包含调试信息，在某些手法的学习或者利用过程中会很不舒服。而且patch题目文件，修改exp对应的文件地址是每次上手pwn题之前必不可少的步骤，因此结合<a href="elink@ca4K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6A6L8K6p5J5i4K6u0r3M7s2N6F1K9h3&6A6N6l9`.`.">pwninit</a>的功能，利用python实现了一个脚本，可以自动解决这些问题，并在此基础上，提供调试时显示glibc源码的功能，原理参考<a href="elink@ad9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6L8%4g2J5j5$3g2%4j5i4u0W2i4K6u0W2L8%4u0Y4i4K6u0r3k6$3c8T1i4K6u0r3j5%4g2J5M7X3g2F1N6q4)9J5c8X3!0F1L8r3W2F1k6h3c8G2j5%4y4Q4x3V1k6Y4k6r3u0Q4x3X3g2Z5N6r3#2D9i4K6u0r3f1$3g2H3j5i4u0S2N6r3g2Q4x3X3c8p5k6h3u0#2k6#2)9J5k6p5k6A6L8r3g2K6i4K6u0W2K9s2c8E0L8q4)9J5x3#2y4W2M7r3q4J5j5i4c8W2i4K6u0V1c8r3g2T1N6h3N6Q4x3X3c8r3K9h3I4W2M7H3`.`.">gdb文档</a>。本文将简要介绍脚本的功能及用法。

项目地址：<a href="elink@0a8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6s2k6h3g2C8b7$3#2G2M7X3g2Q4x3V1k6U0M7s2N6F1i4K6u0r3">cpwn</a>。

## 功能特性
安装步骤在项目首页已经作了详细介绍，不再赘述，此处主要通过图文的方式展示实现的功能效果。
### 获取主流版本的glibc
在<mark class="encrypted">2d2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9j5i4g2F1j5$3S2H3j5h3c8Q4x3X3g2F1k6i4c8Q4x3V1k6#2j5Y4g2F1N6s2g2Q4x3V1k6Q4x3V1u0K6L8%4g2J5j5$3g2Q4x3V1k6Y4L8r3W2T1j5#2)9J5c8R3`.`.</mark> 上列举了Ubuntu LTS发行版使用的glibc，使用`cpwn fetch`命令会自动下载这些glibc版本在amd64和i386架构的libc，debug-symbol，source。
![](upload/attach/202409/950404_FJHMDJTTQH9JW6Y.png)

### 初始化利用环境
在目录下运行`cpnw init`，如果当前目录不存在glibc则会提示用户选择cpwn包含的glibc版本：
![](upload/attach/202409/950404_S5SJ7KKWBU87FSH.png)
如果目录下存在glibc，但是cpwn没有下载过这个版本的glibc，则会向远程拉取对应版本的glibc：
![](upload/attach/202409/950404_XGBP3QH97PG2F28.png)
确定好版本之后会将`pwn`文件patch，生成`pwn_patched`，**注意被patch的文件必须是没有使用`[--set-rpath RPATH]`选项patch过的文件**：
```sh
$ ldd ./pwn_patched 
    linux-vdso.so.1 (0x00007ffe238a2000)
    /home/geekcmore/.config/cpwn/pkgs/2.35-0ubuntu3.7/amd64/libc6_2.35-0ubuntu3.7_amd64/lib/x86_64-linux-gnu/libc.so.6 (0x00007fddbd1c4000)
    /home/geekcmore/.config/cpwn/pkgs/2.35-0ubuntu3.7/amd64/libc6_2.35-0ubuntu3.7_amd64/lib/x86_64-linux-gnu/ld-linux-x86-64.so.2 => /lib64/ld-linux-x86-64.so.2 (0x00007fddbd3f9000)
```
并根据对应的glibc版本生成初始化的exp：
```py
#!/usr/bin/python3
from pwn import *

filename = "pwn_patched"
libcname = "/home/geekcmore/.config/cpwn/pkgs/2.35-0ubuntu3.8/libc6_2.35-0ubuntu3.8_amd64/lib/x86_64-linux-gnu/libc.so.6"
host = "127.0.0.1"
port = 1337
elf = context.binary = ELF(filename)
context.terminal = ['tmux', 'neww']
if libcname:
    libc = ELF(libcname)
gs = '''
b main
set debug-file-directory /home/geekcmore/.config/cpwn/pkgs/2.35-0ubuntu3.8/libc6-dbg_2.35-0ubuntu3.8_amd64/usr/lib/debug
set directories /home/geekcmore/.config/cpwn/pkgs/2.35-0ubuntu3.8/glibc-source_2.35-0ubuntu3.8_all/usr/src/glibc/glibc-2.35
'''

def start():
    if args.GDB:
        return gdb.debug(elf.path, gdbscript = gs)
    elif args.REMOTE:
        return remote(host, port)
    else:
        return process(elf.path)

p = start()

# Your exploit here

p.interactive()
```
在当前目录下运行`python ./exp.py GDB`可以弹出gdb调试界面，并显示调试符号：
![](upload/attach/202409/950404_Q3TYX4MP5W6WZYY.png)
源码：
![](upload/attach/202409/950404_BK343ARQFDXUX3Q.png)

### 配置文件
配置文件默认保存在`~/.config/cpwn`，对应的目录树为：
```
$ tree ~/.config/cpwn/ -L 1
/home/geekcmore/.config/cpwn/
├── config.json
├── exp_template.py
├── pkgs
└── template.py
```
需要修改模板时可以直接编辑此处的`template.py`或者修改配置文件中的`template`的路径:
```
{
    "author": "GeekCmore",
    "template": "~/.config/cpwn/exp_template.py",
    "script_name": "exp.py",
    "file_path": "~/.config/cpwn/pkgs",
    "mirror": "",
    "archs": [
        "amd64",
        "i386"
    ],
    "pkgs": [
        "libc6",
        "libc6-dbg",
        "glibc-source"
    ],
    "threads": 10,
    "force": false
}
```
其他配置项也可以按需修改，如果网络情况不好，或者无需下载调试符号，源码，可以修改`archs`和`pkgs`，仅仅下载`amd64`的`libc6`。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-8-31 13:48 被GeekCmore编辑，原因：未选择主题

收藏・8

点赞・7

打赏

最新回复 (13)
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 2 楼后续计划添加对libseccomp.so等不在libc6包内的库提供patch支持，另外对于其他功能，有想法的师傅欢迎评论区交流。 2024-8-31 13:37 0
mb_zjktbyux 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_zjktbyux 3 楼感谢分享，终于能调符号了 2024-10-28 19:46 0
mb_eneyoyay 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_eneyoyay 4 楼试了下这东西，bug不少：对于有些二进制文件编译成了application/x-sharedlib格式而不是appliaction/x-executable的可执行文件，程序找不到要patch的二进制文件(cpwn.py的detect函数(206-241行)通过mime来类型为application/*-excutable是可执行文件)。修正这句后，后面subprocess报错提示多了一个参数text=true,注释掉后面又一堆。。。不清楚这个工具用的python3哪个版本，我在18.04、python3.6下测的，暂时放弃了，自己手动patchelf吧 2024-12-2 16:04 0
mb_dowwiawp 雪币： 21 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 5 粉丝 0 关注私信	mb_dowwiawp 5 楼好像有点问题，运行cpnw init的时候，程序报错 File "/usr/bin/cpwn", line 498 content = f"target remote :1234\nfile vmlinux\nadd-symbol-file {os.path.join("./extracted", os.path.basename(kpm))}" ^ SyntaxError: f-string: unmatched '(' 2024-12-2 22:34 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 6 楼 mb_eneyoyay 试了下这东西，bug不少：对于有些二进制文件编译成了application/x-sharedlib格式而不是appliaction/x-executable的可执行文件，程序找不到要patch的二 ... 师傅你好，对lib的支持暂时没添加进来，后续添加。测试过Ubuntu22.04和24.04版本下的默认python版本，对低版本还没有充分测试，近期进行测试。 2024-12-3 08:52 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 7 楼 mb_dowwiawp 好像有点问题，运行cpnw init的时候，程序报错 File "/usr/bin/cpwn", line 498 content = f"target ... 这个貌似也是python版本的问题，我去修一下。 2024-12-3 08:53 0
mb_eneyoyay 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_eneyoyay 8 楼 GeekCmore 师傅你好，对lib的支持暂时没添加进来，后续添加。测试过Ubuntu22.04和24.04版本下的默认python版本，对低版本还没有充分测试，近期进行测试。没想到大佬亲自回复了。当时在18.04下装的初衷是，栈溢出环境主要还是16.04、18.04，有劳大佬在再辛苦一下。 2024-12-3 09:33 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 9 楼 mb_eneyoyay 没想到大佬亲自回复了。当时在18.04下装的初衷是，栈溢出环境主要还是16.04、18.04，有劳大佬在再辛苦一下。感觉一般是用较高版本做主力机，碰到低版本程序patch 2024-12-3 16:41 0
z2zccc 雪币： 387 活跃值： (801) 能力值： ( LV3，RANK：33 ) 在线值：发帖 7 回帖 13 粉丝 9 关注私信	z2zccc 10 楼这调试就直接能直接有源码嘛？还是需要gdb加载呀 2024-12-28 17:02 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 11 楼 z2zccc 这调试就直接能直接有源码嘛？还是需要gdb加载呀调试glibc可以直接有源码 2024-12-29 14:22 0
衣昂扬雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	衣昂扬 12 楼大佬厉害 2025-2-19 19:46 0
mb_lfqwsomb 雪币： 204 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_lfqwsomb 13 楼 GeekCmore 师傅你好，对lib的支持暂时没添加进来，后续添加。测试过Ubuntu22.04和24.04版本下的默认python版本，对低版本还没有充分测试，近期进行测试。师傅这个可以就是让用户指定输入程序名，然后后续搜索的时候忽略用户输入的程序名来避免重复搜索，来规避这个问题吗，然后ld和libc自动搜索最后于 2025-2-27 01:59 被mb_lfqwsomb编辑，原因：补充说明 2025-2-27 01:51 0
0x4A 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	0x4A 14 楼大佬，为什么cpwn init之后运行生成的exp.py GDB，但是还是没有符号？比如p/x (struct _IO_FILE_plus)stdout的时候就显示No struct type named _IO_FILE_plus这种 2025-10-1 13:43 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

GeekCmore

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (13)
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 2 楼后续计划添加对libseccomp.so等不在libc6包内的库提供patch支持，另外对于其他功能，有想法的师傅欢迎评论区交流。 2024-8-31 13:37 0
mb_zjktbyux 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_zjktbyux 3 楼感谢分享，终于能调符号了 2024-10-28 19:46 0
mb_eneyoyay 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_eneyoyay 4 楼试了下这东西，bug不少：对于有些二进制文件编译成了application/x-sharedlib格式而不是appliaction/x-executable的可执行文件，程序找不到要patch的二进制文件(cpwn.py的detect函数(206-241行)通过mime来类型为application/*-excutable是可执行文件)。修正这句后，后面subprocess报错提示多了一个参数text=true,注释掉后面又一堆。。。不清楚这个工具用的python3哪个版本，我在18.04、python3.6下测的，暂时放弃了，自己手动patchelf吧 2024-12-2 16:04 0
mb_dowwiawp 雪币： 21 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 5 粉丝 0 关注私信	mb_dowwiawp 5 楼好像有点问题，运行cpnw init的时候，程序报错 File "/usr/bin/cpwn", line 498 content = f"target remote :1234\nfile vmlinux\nadd-symbol-file {os.path.join("./extracted", os.path.basename(kpm))}" ^ SyntaxError: f-string: unmatched '(' 2024-12-2 22:34 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 6 楼 mb_eneyoyay 试了下这东西，bug不少：对于有些二进制文件编译成了application/x-sharedlib格式而不是appliaction/x-executable的可执行文件，程序找不到要patch的二 ... 师傅你好，对lib的支持暂时没添加进来，后续添加。测试过Ubuntu22.04和24.04版本下的默认python版本，对低版本还没有充分测试，近期进行测试。 2024-12-3 08:52 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 7 楼 mb_dowwiawp 好像有点问题，运行cpnw init的时候，程序报错 File "/usr/bin/cpwn", line 498 content = f"target ... 这个貌似也是python版本的问题，我去修一下。 2024-12-3 08:53 0
mb_eneyoyay 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_eneyoyay 8 楼 GeekCmore 师傅你好，对lib的支持暂时没添加进来，后续添加。测试过Ubuntu22.04和24.04版本下的默认python版本，对低版本还没有充分测试，近期进行测试。没想到大佬亲自回复了。当时在18.04下装的初衷是，栈溢出环境主要还是16.04、18.04，有劳大佬在再辛苦一下。 2024-12-3 09:33 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 9 楼 mb_eneyoyay 没想到大佬亲自回复了。当时在18.04下装的初衷是，栈溢出环境主要还是16.04、18.04，有劳大佬在再辛苦一下。感觉一般是用较高版本做主力机，碰到低版本程序patch 2024-12-3 16:41 0
z2zccc 雪币： 387 活跃值： (801) 能力值： ( LV3，RANK：33 ) 在线值：发帖 7 回帖 13 粉丝 9 关注私信	z2zccc 10 楼这调试就直接能直接有源码嘛？还是需要gdb加载呀 2024-12-28 17:02 0
GeekCmore 雪币： 1299 活跃值： (1203) 能力值： ( LV5，RANK：60 ) 在线值：发帖 4 回帖 9 粉丝 14 关注私信	GeekCmore 1 11 楼 z2zccc 这调试就直接能直接有源码嘛？还是需要gdb加载呀调试glibc可以直接有源码 2024-12-29 14:22 0
衣昂扬雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	衣昂扬 12 楼大佬厉害 2025-2-19 19:46 0
mb_lfqwsomb 雪币： 204 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_lfqwsomb 13 楼 GeekCmore 师傅你好，对lib的支持暂时没添加进来，后续添加。测试过Ubuntu22.04和24.04版本下的默认python版本，对低版本还没有充分测试，近期进行测试。师傅这个可以就是让用户指定输入程序名，然后后续搜索的时候忽略用户输入的程序名来避免重复搜索，来规避这个问题吗，然后ld和libc自动搜索最后于 2025-2-27 01:59 被mb_lfqwsomb编辑，原因：补充说明 2025-2-27 01:51 0
0x4A 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	0x4A 14 楼大佬，为什么cpwn init之后运行生成的exp.py GDB，但是还是没有符号？比如p/x (struct _IO_FILE_plus)stdout的时候就显示No struct type named _IO_FILE_plus这种 2025-10-1 13:43 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复