Binary Exploitation (II): Solución Reto picoCTF 2018 "buffer overflow 1"

En el post anterior puse la solución a un reto de la categoría 'Binary Exploitation' en la que expliqué brevemente cómo explotar la vulnerabilidad de desbordamiento de 'buffer' (en inglés, 'buffer overflow') para sobrescribir el valor de una variable con el objetivo de que al ejecutarse el programa vulnerable éste muestre la 'flag'. Pues bien, en este post doy un paso más para ilustrar cómo se puede explotar dicha vulnerabilidad para tomar el control del flujo de un programa vulnerable y conseguir que éste ejecute lo que lo que nosotros queramos.

Para ello utilizo uno de los retos de la plataforma picoCTF 2018.

El desafío en cuestión, que lleva el título "buffer overflow 1", presenta un nivel de dificultad medio (★★★☆☆).

- buffer overflow 1 - Points: 200:

Su enunciado dice lo siguiente: 'Okay now you're cooking! This time can you overflow the buffer and return to the flag function in this program? You can find it in /problems/buffer-overflow-1_4_9d46ad1b74894db5d4831b91e19ee709 on the shell server. Source'.

Se proporcionan dos archivos: un ejecutable (vuln) y un fichero con el código fuente (vuln.c).

Y como pistas ('Hints') se nos dan las siguientes:

- 'This time you're actually going to have to control that return address!'.
- 'Make sure you consider Big Endian vs Little Endian'.

Solución: como en el post anterior al que he hecho referencia, lo primero que hago es ejecutar el programa; se me pide que introduzca una cadena, incluyo 'A' y se muestra un mensaje en el que se indica una dirección a la que bifurca o salta el programa.

Echo ahora un vistazo al código fuente (vuln.c):

#include < stdio.h>
#include < stdlib.h>
#include < string.h>
#include < unistd.h>
#include < sys/types.h>
#include "asm.h"

#define BUFSIZE 32
#define FLAGSIZE 64

void win() {
  char buf[FLAGSIZE];
  FILE *f = fopen("flag.txt","r");
  if (f == NULL) {
    printf("Flag File is Missing. Problem is Misconfigured, please contact an Admin if you are running this on the shell server.\n");
    exit(0);
  }

  fgets(buf,FLAGSIZE,f);
  printf(buf);
}

void vuln(){
  char buf[BUFSIZE];
  gets(buf);

  printf("Okay, time to return... Fingers Crossed... Jumping to 0x%x\n", get_return_address());
}

int main(int argc, char **argv){

  setvbuf(stdout, NULL, _IONBF, 0);

  gid_t gid = getegid();
  setresgid(gid, gid, gid);

  puts("Please enter your string: ");
  vuln();
  return 0;
}

La dirección que se indica tras introducir la cadena es la dirección de retorno a la que el programa salta tras finalizar la ejecución de la función vuln. Por tanto, si mediante un desbordamiento de 'buffer' sobrescribo esa dirección puedo controlar el flujo del programa y, por consiguiente, decidir dónde salta tras ejecutarse dicha función, pudiendo hacer que bifurque, por ejemplo, al inicio de la función win, lo que mostraría la 'flag'.

Lo primero que debo hacer es calcular la diferencia o desplazamiento que existe entre la posición de inicio del 'buffer', que tiene 32 bytes de tamaño asignado, y la de inicio de la dirección de retorno, ya que ese será el tamaño en bytes del "relleno" de la cadena a introducir antes de incluir como parte final de dicha cadena la dirección de inicio de la función win.

Para calcular el "relleno" indicado en el párrafo anterior ejecuto el programa e introduzco una cadena que me pueda indicar que parte de la misma sobrescribe la dirección de retorno y obtener así el desplazamiento que necesito, por ejemplo: 32 caracteres 'A' (tamaño del 'buffer') + '111122223333...'.

Y veo que la dirección de retorno se ha sobrescrito con cuatro bytes: 0x34343434 (valores hexadecimales que se corresponden en ASCII con '4444'), con lo que el desplazamiento es de 32 + 12 bytes y, por tanto, el "relleno" de la cadena a introducir antes de incluir como parte final de dicha cadena la dirección de inicio de la función win es de 44 bytes.

Lo segundo que debo hacer es obtener la dirección de inicio de la función win. Para ello utilizo los comandos objdump y grep, de la siguiente manera:

Con lo que para ver la 'flag' la dirección a la que debo forzar que bifurque el programa cuando finalice la ejecución de la función vuln es 0x080485cb.

Y, finalmente, mediante una pequeña línea codificada en python (hay que tener en cuenta que el formato de almacenamiento en memoria es 'little-endian', es decir, del byte menos significativo al más significativo): python -c "print 'A' * 44 + '\xcb\x85\x04\x08'" | ./vuln, obtengo lo siguiente:

Con lo que la 'flag' es: picoCTF{addr3ss3s_ar3_3asyd69e032d}