KCTF2026: 第十题：卯时·曦光初现-CTF对抗-看雪安全社区

KCTF2026: 第十题：卯时·曦光初现

发表于: 2026-8-23 16:54 2677

KCTF2026: 第十题：卯时·曦光初现

Magic丶

2026-8-23 16:54

2677

# kctf10_1 — pwn 解题报告

**Flag：** `flag{ac2aec65-aeb5-4760-9d90-228064e4db4b}`

- 目标：`nc 127.0.0.1 10010` *(真实服务器地址已打码)*
- libc：`libc-2.27.so` — Ubuntu GLIBC **2.27-3ubuntu1.6**（build-id `f7307432…`）
- 保护：**Full RELRO · PIE · NX · Canary**，stripped C++（依赖 libstdc++）。

---

## 1. 信息收集

程序是一个小型 REPL。RTTI 残留了 `interpreter` 命名空间下的类名：值类
`Number` / `Object`，以及 AST 节点类 `AssignLit` / `GetField` / `SetField` /
`BinOp`。每行一条语句：

| 语法              | 节点       | 效果                                               |
|-------------------|------------|----------------------------------------------------|
| `$N=<num>`        | AssignLit  | `env[N] = num & 0xffffffffffff`                     |
| `$N=[a,b,…]`      | AssignLit  | `env[N] = 数组句柄`（元素可嵌套）                   |
| `$N=$M[i][j]…`    | GetField   | `env[N] = env[M]` 取下标（读）                      |
| `$N[i][j]…=$M`    | SetField   | 把 `env[M]` 写入 `env[N]` 的下标处（写）            |
| `$N op $M`        | BinOp      | `env[N] = env[N] op env[M]`，`op ∈ + - * / % ^ | &` |

空行会重新出提示符；非法语句打印 `invalid syntax!`；执行失败打印
`runtime error!`。**程序没有任何“打印数值”的功能** —— 唯一反馈就是成功/报错
（这一点很关键：它逼着我们把整条利用都在 env 内部算完）。

## 2. 值模型与内存模型

所有值以 **NaN-boxing** 方式存放在一个 256 槽的全局 `env[]` 里：

```
标量  ： value & 0xffffffffffff            (高 16 位 = 0x0000)
数组  ： 0x1337<<48 | arena_ptr
```

数组内容被**扁平化**存进一块固定的 `0x10000` 字节 bump 缓冲区 **arena**
（初始化时 `operator new[](0x10000)`）。每个存进去的字都会和一个启动时从
`/dev/urandom` 读取的 8 字节 key 做 XOR 混淆（放在 `.bss` 固定偏移）。一个数组
序列化后的布局：

```
[ key ^ (0xbeef<<48 | N) ]   <- 头部，N 个元素
[ key ^ elem0 ] [ key ^ elem1 ] … （嵌套数组递归内联展开）
```

`env[]`（256×8）紧挨在 arena 控制块之前；arena 本身是普通堆缓冲区，其后就是进程
的其余堆区。

## 3. 漏洞

`BinOp::execute` 计算 `env[dst] op env[src]` 后把结果写回，**既不截断到 48 位、
也不重新检查 tag**（只拒绝 `0x1337` 的*操作数*）。于是算术运算可以合成出**任意**
64 位字 —— 关键是构造出一个**伪数组头** `0xbeef<<48 | BIGLEN`。

用 `SetField` 把这个字写到某个已有元素上，该元素就变成了一个**长度任意的伪嵌套
数组**。再对它取下标（`GetField`/`SetField`）就会读/写
`arena_elem_base + 8 + k*8`（`k < BIGLEN`），即对 arena 及其后堆区的**越界读写**。
（下标遍历会逐字扫过中间内存，所以可达范围是“连续映射的堆” —— 已经足够。）

其余机制（256 槽上限、`0xbeef` 头校验、每层下标边界、XOR key）都是缓解措施；
唯一的裂缝就是 `BinOp` 未掩码的结果。

## 4. 泄漏 —— 全部在 env 内完成（有 XOR，无需 oracle 逐位外带）

```
$0=[0,1,2,3,4,5,6,7]           ; arena 起始处的数组
构造 $5 = 0xbeef<<48 | 0x4000  ; 伪头 (用 $5=hi; $s=1<<16; $5*$s; $5|lo)
$0[1]=$5                       ; element[1] 变成伪嵌套数组
$9 = $0[1][6]                 ; 读 arena+0x48（未写过=0）⇒ 0^key = KEY
$8 = $0[1][8204] ; ^ $9 ; -0x3ec680   ; arena+0x10078 = &_IO_2_1_stderr_ ⇒ LIBC 基址
$10= $0[1][8192] ; ^ $9 ; +0x11e60    ; arena+0x10018 = heap+0x10       ⇒ ARENA 基址
```

## 5. 写 → 劫持控制流（自改 vtable → one_gadget）

每个命令 AST 对象都是**带 vtable 的堆对象**；`main()` 会先调用
`obj->vtable[0](env)`（execute），**在 execute 返回之后**再调用
`obj->vtable[2]()`（析构，即 `call [rax+0x10]`，此时 `rdi=obj`）。而一个
`SetField` 对象会稳定地复用在 **`arena+0x10430`**（0x30 大小的 tcache 复用；该相对
偏移与 ASLR 无关）。

1. 在 arena 里布置一张伪 vtable：把 `libc+one_gadget(0x4f302)`（原始值）写到
   `arena+0x1000+0x10`（写入值 = `one_gadget ^ key`，因为存入的字会被 XOR）。
2. 在**最后一条** `SetField` 里，覆盖**它自己**对象的 vtable 指针
   （`arena+0x10430`）为 `arena+0x1000`（写入值 = `(arena+0x1000) ^ key`）。
3. execute 返回 1 → `main` 调用 `*(vtable+0x10)` = **one_gadget**。此刻
   `[rsp+0x40]==0` 且 `rsp&0xf==0`，满足约束，`execve("/bin/sh", …)` 触发 → **shell**。

全程无需把地址外带给自己：one_gadget 地址与 arena 指针都在 `env[]` 里算出，越界写
只负责把它们放到位。

稳定性≈100%（配合小重试循环）—— 唯一的失败来自约 0.2% 的概率：随机 key 恰好让某个
被*遍历到*的堆字解混淆后高 16 位等于 `0xbeef`（被误判成嵌套头）。本地 8/8，远程一
把即中。

## 6. 结果

```
$ python3 solve.py REMOTE
[+] shell …
$ cat flag
flag{ac2aec65-aeb5-4760-9d90-228064e4db4b}
```

## 7. 文件说明 / 运行方法

```
solve.py            利用脚本 —— 默认示例即本地：
                        python3 solve.py            # 用 glibc-2.27 加载器驱动 ./pwn
                        python3 solve.py REMOTE      # 远程（HOST/PORT 已注释）
pwn                 题目二进制
libc-2.27.so        题目 libc      (libc.so.6 -> libc-2.27.so)
ld-2.27.so          匹配的加载器   } 打包了 Ubuntu-18.04 运行时，使二进制能在本地
libstdc++.so.6      C++ 运行时     } 以正确的 glibc 版本运行
libgcc_s.so.1 / libm.so.6
```

本地运行直接用加载器（可移植，无需 patchelf）：
`./ld-2.27.so --library-path . ./pwn`。其中 `ld-2.27.so` / `libstdc++.so.6` /
`libgcc_s.so.1` / `libm.so.6` 取自官方 Ubuntu-18.04 软件包
（`libc6 2.27-3ubuntu1.6`、`gcc-8 …~18.04`）；libc 的 build-id 与题目所给
`libc-2.27.so` 完全一致。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

上传的附件：