0

Я студент и в одном из заданий практикума надо воспользоваться уязвимостью в бинарнике.

Декомпилировав бинарник, я выяснил, что программа после запуска считывает строку со стандартного ввода и копирует её в буфер. Буфер этот - часть структуры, в которой есть флаг, после проверки которого на равенство нулю запускается шелл уже с новым euid, с которым я могу прочитать защищённый файл.

Если дать после запуска программы ей на чтение последовательность символов нужной длины (64 байта), то флаг затрётся нулём (из-за использования strncat в программе), и программа запустит шелл с нужным eiud и я смогу ввести например cat flag_1.txt для прочтения его содержимого, чего бы я не смог сделать в нормальных условиях.

Вручную всё получается хорошо, но мне нужно написать эксплойт либо в виде башскрипта, либо скрипта на питоне.

Используя баш, я создал файл с таким содержимым:

#!/bin/sh

echo aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa | ./task_1

при запуске этого скрипта, программа получает на вход нужную строку, флаг забивается 0, и доступ я получаю (т.к. программа ещё и пишет Access granted, так что в том, что доступ я получил, я уверен) Однако, воспользоваться шеллом я не успеваю, так как вижу сообщение stack smashing detected или Abort (core dumped)

На питоне пытался пользоваться subprocess.call или subprocess.popen, но это тоже ничего не дало, т.к. я так понимаю, что у меня на данный момент не получается НЕ дождаться выполнения процесса, а значит и воспользоваться шеллом с новым euid я не могу, хотя Access granted тоже выводится, т.е. в нужную секцию кода я попадаю.

Почему не работает башскрипт вообще не понимаю.

Опыта у меня совсем мало, нам по сути просто дали задание без каких-либо объяснений. Подскажите пожалуйста, как написать эксплойт, или даже скорее в целом скрипт, который бы выполнял следующие действия: 1) запускал программу 2) подавал ей на чтение (не в качестве параметра командной строки, а на стандартный ввод) строку 3) позволял воспользоваться запущенным из этой программы новым шеллом для чтения сожержимого некоторого текстового файла

1
  • То, что питон тут ни при чём, я прекрасно понимаю и шелл запустить из него не пытаюсь, только саму программу запускаю. Проблема в том, что я не могу ничего подать на вход дочернему шеллу, чтобы файл прочитать, т.к. программа завершает работу, как я понимаю. 3 дек 2016 в 13:55

1 ответ 1

2

Достаточно просто немного изменить Ваш sh-скрипт.
Вводите данные для запускаемого в ./task_1 shell второй командой echo, соединяя stdout обеих команд echo с паузой между ними:

#!/bin/sh

(echo aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa; sleep 0; echo cat  flag_1.txt) | ./task_1

(возможно Вам потребуется sleep 1 (у меня в Ubuntu из bash экспериментальная программа работает с 0), но боюсь тут по месту смотреть надо)

Дело тут в том, что в Вашем скрипте программа считывает все данные, выводимые echo и shell сразу получает EOF.
Когда же Вы вводите данные руками, то stdin (/dev/tty), читаемый программой, остается открытым и shell успешно читает вторую вводимую строку.

2
  • Спасибо Вам огромное, скрипт заработал. Я не знаком с работой с sh-скриптами и без Вашей помощи долго бы разбирался. 3 дек 2016 в 14:07
  • Это не только скрипты, это так unix работает.
    – avp
    3 дек 2016 в 14:20

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.