【Pwn総まとめ編】実戦シナリオとチートシートで完走する｜CTF思考フレームワーク #66

こんにちは、アンペンです！

今回はPwn章の最終回、実戦シナリオとチートシートでこれまでの全技術を統合します。#58のアセンブリ基礎から、#59 BoF、#60 ROP、#61 FSB/GOT、#62-#64 Heap三部作、#65 保護機構と続いた一連の知識を、『CTF本番で問題を開いた瞬間にどう動くか』の定型ルーチンに落とし込みます。

Pwn問題は『時間勝負』。バイナリの種類・保護状況・配布ファイル(libc.so.6の同梱有無)から、最初の3分で攻略方針が決まれば後は実装作業に集中できます。チートシートをそばに置けば、本番でも手が止まりません。

総まとめ回でいちばん伝えたいのは、『Pwnは才能ではなく“型”だ』ということです。問題を開いて固まってしまうのは、知識が足りないからではなく、“最初に何を見るか”の手順が決まっていないから。逆に、見る順番さえ体に入れば、初見の問題でも淡々と前に進めます。今日はその“型”を、チートシートとテンプレという形で持ち帰ってください。

Pwn問題を開いたら、まず何を見ればいい？

(1)checksec、(2)file/strings、(3)Ghidra/IDAでmain読み、(4)libcバージョン特定、(5)脆弱性候補リストアップ。この5ステップで作戦が決まる。あとは脆弱性タイプ別の決め技を当てはめるだけ。

Pwn問題の定型ルーチン5ステップ

• ①checksec：4項目(Canary/NX/PIE/RELRO)の状態 → 必要なリーク経路と防御の壁が見える(#65参照)
• ②file/strings/Ghidra：動的リンクか静的か、strippedか、main関数の所在、補助関数(win等)の存在、文字列リソースから機能推定
• ③libc特定：配布されたlibc.so.6があればそれを直接使う。なければリーク値1〜2個からlibc-databaseで照合(./find puts 0xXXXXXX)
• ④脆弱性分類：main関数を読みながらBoF/UAF/Double Free/FSB/Off-by-one/Race/整数オーバーフローのどれかを当てる。複数共存もある
• ⑤突破口決定：分類に応じてリーク経路・計算式・ペイロード構造を決定。あとは実装するだけ

この5ステップは、料理でいう“下ごしらえ”のようなものです。いきなり炒め始める（exploitを書き始める）前に、まず食材を確認し（checksec）、レシピを読み（Ghidra）、調味料をそろえる（libc特定）。下ごしらえが済んでいれば、あとの調理は迷いません。逆にここを飛ばすと、途中で『あれが無い、これが違う』と手が止まる。急がば回れ、の典型ですね。

脆弱性タイプ別 決め技チートシート

• BoF (canary off): ret2win(win関数あれば)→ret2libc(なければ)。x64はret-gadgetでmovaps対策
• BoF (canary on): canary leak経路(FSB/部分書込/fork brute-force)を探す→canaryを再現してret書換
• UAF / Double Free: 同サイズ malloc/free操作で再利用誘導→vtable hijack or tcache poisoning→__free_hook(glibc < 2.34) or _IO_FILE系
• FSB: %p列挙でstack位置特定→libc/canaryリーク→fmtstr_payload(off, {got: target})でGOT書換
• Off-by-one: 上位/下位1バイト改竄→隣接チャンクのsize書換→overlapping chunksを作成→好きな場所にmalloc誘導
• Race condition: マルチスレッド/シグナルで競合→TOCTOU(check-time-of-use-time)で前提を覆す
• 整数オーバーフロー: 巨大なsize計算で結果が小さくなる→小さいbufに大量書込が成立→BoFやheap-bofに連鎖
• Type confusion(C++/V8等): 型キャストエラーで構造体メンバが別解釈→任意R/Wプリミティブへ

このチートシートは、丸暗記するより“引ける状態”にしておくのが正解です。本番でやることは、①で見た保護状況と④で分けた脆弱性タイプを、この表に突き合わせるだけ。『canary無しBoF＝ret2win/ret2libc』『UAF＝vtable乗っ取り』と、対応が一目で引ければ、悩む時間がゼロになります。最初は表を見ながらでOK。何度も引くうちに、自然と手が覚えていきます。

pwntoolsテンプレート(3段構造)

• 初期化部: context.binary = elf = ELF('./vuln') / libc = ELF('./libc.so.6') / p = process(...) if args.LOCAL else remote(host, port)
• リーク部: p.recvuntil(b'> ') → p.sendline(payload_leak) → leak = u64(p.recv(8))
• 計算部: libc.address = leak - libc.symbols['puts'] → log.info(f'libc base: {hex(libc.address)}')
• 送信部: 2回目のpayload送信 → p.interactive()

テンプレ運用のコツは、『毎回ゼロから書かない』こと。リーク→計算→送信の3段は、どの問題でもほぼ同じ骨格です。だから一度きれいに書いたものを template.py として保存し、問題ごとに“ペイロードを組む部分だけ”差し替える。これだけで、つまらないタイプミスや初期化忘れが激減し、頭を本質（脆弱性をどう突くか）に集中させられます。

CTFでやってみよう：テンプレで2問連続攻略

守る側：『すべてON+メモリ安全言語+監視』の総まとめ

『定型ルーチン+チートシート』でPwnが楽しめるようになるね！

これでPwn章完結。次回からは新章OSINT編。公開情報だけで世界を読み解く思考を扱うよ。

まとめ：『定型5ステップ+チートシート+テンプレ』で完走

ここまで来たあなたは、もうアセンブリの読み方からヒープの最新攻撃、そして守りの全保護機構までを一周しました。#58から始まったPwnの旅は、これでひと区切りです。大切なのは“完璧に覚える”ことではなく、“型と地図を持って、迷わず手を動かせる”こと。あとは実戦で場数を踏むほど、この型は鋭くなっていきます。お疲れさまでした——Pwn章、完走です！

次回からはOSINT章。公開情報だけで世界を読み解く思考を扱います。Pwnとは違うベクトルですが、攻撃者の発想を理解するためには必須です。

次に読みたい記事

参考資料