SECCON Beginners CTF 2025 に TPC で参加しました。主に3人で取り組み、私は pwn をやっていました。 ![結果](https://images.ctfassets.net/8r7t8enhnx33/63gUK6P89X6DhpXKOzby9d/3cc6981d99213609873f53bd4d143e43/image.png) # pivot4b セキュリティ機構は以下の通りで、 ``` [*] '/root/workspace/chall_patched' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x3fe000) RUNPATH: b'.' Stripped: No ``` プログラムが以下の通りです。 ```c #include #include #include void gift_set_first_arg() { asm volatile("pop %rdi"); asm volatile("ret"); } void gift_call_system() { system("echo \"Here's your gift!\""); } int main() { char message[0x30]; printf("Welcome to the pivot game!\n"); printf("Here's the pointer to message: %p\n", message); printf("> "); read(0, message, sizeof(message) + 0x10); printf("Message: %s\n", message); return 0; } __attribute__((constructor)) void init() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); alarm(120); } ``` `main` 関数にサイズ `0x10` の BOF があります。これだと保存された `RBP` と `RIP` しか書き換えられないのでROPができません。よって、2回 BOF を起こします。1回目の BOF で ROP を配置と、RBP を少しずらすということをやりつつ RIP を書き換えて `main` に戻ります。2回目の BOF で書き込んでおいた ROP につながるように `ret;` などを書き込んで ROP をします。 `main` に戻るときに書き込んでおいたROPが他の操作で上書きされないように `read` の直前に飛んであげるとうまくいきます。 # pivot4b++ セキュリティ機構が以下の通りで ``` [*] '/root/workspace/chall_patched' Arch: amd64-64-little RELRO: Full RELRO Stack: No canary found NX: NX enabled PIE: PIE enabled RUNPATH: b'.' Stripped: No ``` プログラムが以下の通りです。 ```c #include #include int vuln() { char message[0x30]; printf("Welcome to the second pivot game!\n"); printf("> "); read(0, message, sizeof(message) + 0x10); printf("Message: %s\n", message); return 0; } int main() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); alarm(120); vuln(); } ``` `vuln` にサイズ `0x10` の BOF があります。一回の BOF で、保存された RBP とリターンアドレスを書き換えられます。また、`stdin` のバッファリングが無効なので `read` に対して改行なしでもデータを入力することができます。解法は、プログラムのアドレスリーク、libc リークをしてから one gadget を呼び出すというものになりました。 - 1回目のBOF: リターンアドレスの下1バイトの `0x2b` を `0x26` に書き換えて `main` の `vuln` を呼んでいる部分にリターンするようにします。このときに `message` に NULL が含まれないようにすることでリターンアドレスが文字列として `message` につながってくれるのでプログラムのアドレスをリークできます。 ``` 0x0000000000001226 <+74>: call 0x1179 0x000000000000122b <+79>: mov eax,0x0 ``` - 2回目のBOF: `vuln` の `ret` が実行されるときの `RDI` が libc のアドレスを指しているアドレスになっているので、`vuln` の `puts` が実行される直前に飛ばしてあげることで libc リークができます。1回目のBOFとは違って `vuln` のプロローグ処理が行われないので、RBP 書き込み可能な領域を設定してあげます。 - 3回目のBOF: libc リークができたので、適切な one gadget に飛ばしてあげることでシェルを起動できます。最初は one gadget なしでシェルを起動できていたのですが、リモート環境ではスタックピボット先の書き込み可能領域のサイズが小さすぎて RSP が書き込み不可能な領域を指してしまうなどして成功しませんでした。私は ubuntu 22.04 上で普段デバッグしているのですが、最近ではリモート環境は ubuntu 24.04 のことが多いのです。ubuntu 22.04 よりも ubuntu 24.04 のほうが .bss 領域が狭くこのような罠に何度かはまっているので、流石に環境を再構築しないとなと思いました。 # TimeOfControl カーネル問です。セキュリティ機構は、KASLRなし、PTIなしです。カーネルモジュールのソースコードは以下のとおりです。 `ctf4b.c` ```c #include "ctf4b.h" #include #include #include #include #include #include MODULE_LICENSE("GPL"); MODULE_AUTHOR("KuonRuri"); MODULE_DESCRIPTION("TimeOfControl: SECCON Beginners CTF 2025"); static int ctf4b_open(struct inode *inode, struct file *filp) { return 0; } static int ctf4b_release(struct inode *inode, struct file *filp) { return 0; } char global_msg[CTF4b_MSG_MAX_SIZE] = "Kernel Pwn is fun!"; long msg_offset = 0; bool is_offset_valid(long offset) { if (offset >= 0 && offset + 0x100 < CTF4b_MSG_MAX_SIZE) { return true; } return false; } static long ctf4b_ioctl(struct file *filp, unsigned int cmd, unsigned long arg) { struct ctf4b_request req; switch (cmd) { case CTF4b_IOCTL_READ: if (!is_offset_valid(msg_offset)) { return -EINVAL; } if (copy_from_user( &req, (struct ctf4b_request __user *)arg, sizeof(req))) { return -EFAULT; } if (copy_to_user( (char __user *)req.buf, &global_msg[msg_offset], req.size)) { return -EFAULT; } msg_offset += req.size; break; case CTF4b_IOCTL_WRITE: if (!is_offset_valid(msg_offset)) { return -EINVAL; } if (copy_from_user( &req, (struct ctf4b_request __user *)arg, sizeof(req))) { return -EFAULT; } if (copy_from_user( &global_msg[msg_offset], (char __user *)req.buf, req.size)) { return -EFAULT; } msg_offset += req.size; break; case CTF4b_IOCTL_SEEK: msg_offset = (long)arg; if (!is_offset_valid(msg_offset)) { return -EINVAL; } break; default: return -EINVAL; } return 0; } static struct file_operations module_fops = { .owner = THIS_MODULE, .unlocked_ioctl = ctf4b_ioctl, .open = ctf4b_open, .release = ctf4b_release, }; static dev_t dev_id; static struct cdev c_dev; static int __init ctf4b_init(void) { if (alloc_chrdev_region(&dev_id, 0, 1, CTF4b_DEV_NAME) < 0) { pr_err("Failed to allocate character device region\n"); return -1; } cdev_init(&c_dev, &module_fops); if (cdev_add(&c_dev, dev_id, 1) < 0) { pr_err("Failed to add character device\n"); unregister_chrdev_region(dev_id, 1); return -1; } return 0; } static void __exit ctf4b_exit(void) { cdev_del(&c_dev); unregister_chrdev_region(dev_id, 1); } module_init(ctf4b_init); m ``` `ctf4b.h` ```c #define CTF4b_IOCTL_SEEK 0x4b001 #define CTF4b_IOCTL_READ 0x4b010 #define CTF4b_IOCTL_WRITE 0x4b100 #define CTF4b_MSG_MAX_SIZE 0x1000 #define CTF4b_DEV_NAME "ctf4b" #define uint8_t unsigned char struct ctf4b_request { char *buf; uint8_t size; }; ``` `global_msg` というグローバル変数から、ユーザーが `SEEK` で指定したオフセット分離れた場所に対する `READ/WRITE` を提供するカーネルモジュールです。オフセットは `is_offset_valid` で検証されています。脆弱性は、可変なグローバル変数を扱っているのにロックを取ってアクセスしていないことで、race condition が発生します。まずオフセットが有効な状態で `READ/WRITE` を呼び出します。次に、`is_offset_valid` を通過してから実際に書き込みが行われるまでの間に、別スレッドで `SEEK` で任意のオフセットに書き換えます。このようにすることで AAR/AAW を実現できます。また、今回は unprivileged userfaultfd が有効なので race condition を確実に成功させることができます。 AAR/AAW を実現したら、あとは `modprobe_path` を、作成した任意の実行ファイルのパスへ書き換えることで、任意のプログラムを root 権限で実行できるようになります。

SECCON Beginners 2025 Writeup