搜索

[19510] 2019-07-25_CTF必备技能丨LinuxPwn入门教程——格式化字符串漏洞

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-07-25_CTF必备技能丨LinuxPwn入门教程——格式化字符串漏洞 C T F 必 备 技 能 丨 L i n u x   P w n 入 门 教 程 — — 格 式 化 字 符 串 漏 洞 i 春 秋   2 0 1 9 - 0 7 - 2 5 L i n u x   P w n 入 门 教 程 系 列 分 享 如 约 而 至 ， 本 套 课 程 是 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 今 天 i 春 秋 与 大 家 分 享 的 是 L i n u x   P w n 入 门 教 程 第 七 章 ： 格 式 化 字 符 串 漏 洞 ， 阅 读 用 时 约 1 2 分 钟 。 p r i n t f 函 数 中 的 漏 洞 函 数 中 的 漏 洞 p r i n t f 函 数 族 是 一 个 在 C 编 程 中 比 较 常 用 的 函 数 族 。 通 常 来 说 ， 我 们 会 使 用 p r i n t f ( [ 格 式 化 字 符 串 ] ， 参 数 ) 的 形 式 来 进 行 调 用 ， 例 如 ： 然 而 ， 有 时 为 了 省 事 也 会 写 成 ： 事 实 上 ， 这 是 一 种 非 常 危 险 的 写 法 。 由 于 p r i n t f 函 数 族 的 设 计 缺 陷 ， 当 其 第 一 个 参 数 可 被 控 制 时 ， 攻 击 者 将 有 机 会 对 任 意 内 存 地 址 进 行 读 写 操 作 。 利 用 格 式 化 字 符 串 漏 洞 实 现 任 意 地 址 读 利 用 格 式 化 字 符 串 漏 洞 实 现 任 意 地 址 读 首 先 我 们 来 看 一 个 自 己 写 的 简 单 例 子 ~ / f o r m a t _ x 8 6 / f o r m a t _ x 8 6 c h a r   s [ 2 0 ]   =   “ H e l l o   w o r l d ! n ” ; p r i n t f ( “ % s ” ,   s ) ; c h a r   s [ 2 0 ]   =   “ H e l l o   w o r l d ! n ” ; p r i n t f ( s ) ;
这 是 一 个 代 码 很 简 单 的 程 序 ， 为 了 留 后 门 ， 我 调 用 s y s t e m 函 数 写 了 一 个 s h o w V e r s i o n (   ) ， 剩 下 的 就 是 一 个 无 线 循 环 的 读 写 ， 并 使 用 有 问 题 的 方 式 调 用 了 p r i n t f (   ) ， 正 常 来 说 ， 我 们 输 入 什 么 都 会 被 原 样 输 出 。 但 是 当 我 们 输 入 一 些 特 定 的 字 符 时 ， 输 出 出 现 了 变 化 。 可 以 看 到 ， 当 我 们 输 入 p r i n t f 可 识 别 的 格 式 化 字 符 串 时 ， p r i n t f 会 将 其 作 为 格 式 化 字 符 串 进 行 解 析 并 输 出 。 原 理 很 简 单 ， 形 如 p r i n t f ( “ % s ” ,   “ H e l l o   w o r l d ” ) 的 使 用 形 式 会 把 第 一 个 参 数 % s 作 为 格 式 化 字 符 串 参 数 进 行 解 析 ， 在 这 里 由 于 我 们 直 接 用 p r i n t f 输 出 一 个 变 量 ， 当 变 量 也 正 好 是 格 式 化 字 符 串 时 ， 自 然 就 会 被 p r i n t f 解 析 。 那 么 后 面 输 出 的 内 容 又 是 什 么 呢 ？ 我 们 继 续 做 实 验 ， 直 接 在 c a l l   _ p r i n t f 一 行 下 断 点 然 后 以 调 试 方 式 启 动 程 序 ， 然 后 输 入 一 大 串 % x . ， 输 出 结 果 如 图 ： 此 时 的 栈 情 况 如 图 ：
我 们 很 容 易 发 现 输 出 的 内 容 正 好 是 e s p - 4 开 始 往 下 的 一 连 串 数 据 。 所 以 理 论 上 我 们 可 以 通 过 叠 加 % x 来 获 取 有 限 范 围 内 的 栈 数 据 。 那 么 我 们 有 可 能 泄 露 其 他 数 据 吗 ？ 我 们 知 道 格 式 化 字 符 串 里 有 % s ， 用 于 输 出 字 符 。 其 本 质 上 是 读 取 对 应 的 参 数 ， 并 作 为 指 针 解 析 ， 获 取 到 对 应 地 址 的 字 符 串 输 出 。 我 们 先 输 入 一 个 % s 观 察 结 果 。 我 们 看 到 输 出 了 % s 后 还 接 了 一 个 换 行 ， 对 应 的 栈 和 数 据 如 下 ： 栈 顶 是 第 一 个 参 数 ， 也 就 是 我 们 输 入 的 % s ， 第 二 个 参 数 的 地 址 和 第 一 个 参 数 一 样 ， 作 为 地 址 解 析 指 向 的 还 是 % s 和 回 车 0 x 0 A 。 由 于 此 时 我 们 可 以 通 过 输 入 来 操 控 栈 ， 我 们 可 以 输 入 一 个 地 址 ， 再 让 % s 正 好 对 应 到 这 个 地 址 ， 从 而 输 出 地 址 指 向 的 字 符 串 ， 实 现 任 意 地 址 读 。 通 过 刚 刚 的 调 试 我 们 可 以 发 现 ， 我 们 的 输 入 从 第 六 个 参 数 开 始 ( 上 图 从 栈 顶 往 下 数 第 六 个 ‘ 0 0 0 A 7 3 2 5 ’   =   % s n x 0 0 ) 。 所 以 我 们 可 以 构 造 字 符 串 “ x 0 1 x 8 0 x 0 4 x 0 8 % x . % x . % x . % x . % s ” 。 这 里 前 面 的 地 址 是 E L F 文 件 加 载 的 地 址 0 8 0 4 8 0 0 0 + 1 ， 为 什 么 不 是 0 8 0 4 8 0 0 0 后 面 再 说 ， 有 兴 趣 的 可 以 自 己 试 验 一 下 。 由 于 字 符 串 里 包 括 了 不 可 写 字 符 ， 我 们 没 办 法 直 接 输 入 ， 这 回 我 们 用 p w n t o o l s + I D A 附 加 的 方 式 进 行 调 试 。
我 们 成 功 地 泄 露 出 了 地 址 0 x 0 8 0 4 8 0 0 1 内 的 内 容 。 经 过 刚 刚 的 试 验 ， 我 们 用 来 泄 露 指 定 地 址 的 p a y l o a d 对 读 者 来 说 应 该 还 是 能 够 理 解 的 。 由 于 我 们 的 输 入 本 体 恰 好 在 p r i n t f 读 取 参 数 的 第 六 个 参 数 的 位 置 ， 所 以 我 们 把 地 址 布 置 在 开 头 ， 使 其 被 p r i n t f 当 做 第 六 个 参 数 。 接 下 来 是 格 式 化 字 符 串 ， 使 用 % x 处 理 掉 第 二 到 第 五 个 参 数 ( 我 们 的 输 入 所 在 地 址 是 第 一 个 参 数 ) ， 使 用 % s 将 第 六 个 参 数 作 为 地 址 解 析 。 但 是 如 果 输 入 长 度 有 限 制 ， 而 且 我 们 的 输 入 位 于 p r i n t f 的 第 几 十 个 参 数 之 外 要 怎 么 办 呢 ？ 叠 加 % x 显 然 不 现 实 。 因 此 我 们 需 要 用 到 格 式 化 字 符 串 的 另 一 个 特 性 。 格 式 化 字 符 串 可 以 使 用 一 种 特 殊 的 表 示 形 式 来 指 定 处 理 第 n 个 参 数 ， 如 输 出 第 五 个 参 数 可 以 写 为 % 4 $ s ， 第 六 个 为 % 5 $ s ， 需 要 输 出 第 n 个 参 数 就 是 % ( n - 1 ) $ [ 格 式 化 控 制 符 ] 。 因 此 我 们 的 p a y l o a d 可 以 简 化 为 “ x 0 1 x 8 0 x 0 4 x 0 8 % 5 $ s ” 使 用 格 式 化 字 符 串 漏 洞 任 意 写 使 用 格 式 化 字 符 串 漏 洞 任 意 写 虽 然 我 们 可 以 利 用 格 式 化 字 符 串 漏 洞 达 到 任 意 地 址 读 ， 但 是 我 们 并 不 能 直 接 通 过 读 取 来 利 用 漏 洞 g e t s h e l l ， 我 们 需 要 任 意 地 址 写 。 因 此 我 们 在 本 节 要 介 绍 格 式 化 字 符 串 的 另 一 个 特 性 — — 使 用 p r i n t f 进 行 写 入 。 p r i n t f 有 一 个 特 殊 的 格 式 化 控 制 符 % n ， 和 其 他 控 制 输 出 格 式 和 内 容 的 格 式 化 字 符 不 同 的 是 ， 这 个 格 式 化 字 符 会 将 已 输 出 的 字 符 数 写 入 到 对 应 参 数 的 内 存 中 。 我 们 将 p a y l o a d 改 成 “ x 8 c x 9 7 x 0 4 x 0 8 % 5 $ n ” ， 其 中 0 8 0 4 9 7 8 c 是 . b s s 段 的 首 地 址 ， 一 个 可 写 地 址 ， 执 行 前 该 地 址 中 的 内 容 是 0 。 p r i n t f 执 行 完 之 后 该 地 址 中 的 内 容 变 成 了 4 ， 查 看 输 出 发 现 输 出 了 四 个 字 符 “ x 8 c x 9 7 x 0 4 x 0 8 ” ， 回 车 没 有 被 计 算 在 内 。
我 们 再 次 修 改 p a y l o a d 为 “ x 8 c x 9 7 x 0 4 x 0 8 % 2 0 4 8 c % 5 $ n ” ， 成 功 把 0 8 0 4 9 7 8 c 里 的 内 容 修 改 成 0 x 8 0 4 。 现 在 我 们 已 经 验 证 了 任 意 地 址 读 写 ， 接 下 来 可 以 构 造 e x p 拿 s h e l l 了 。 由 于 我 们 可 以 任 意 地 址 写 ， 且 程 序 里 有 s y s t e m 函 数 ， 因 此 我 们 在 这 里 可 以 直 接 选 择 劫 持 一 个 函 数 的 g o t 表 项 为 s y s t e m 的 p l t 表 项 ， 从 而 执 行 s y s t e m ( “ / b i n / s h ” ) 。 劫 持 哪 一 项 呢 ？ 我 们 发 现 在 g o t 表 中 只 有 四 个 函 数 ， 且 p r i n t f 函 数 可 以 单 参 数 调 用 ， 参 数 又 正 好 是 我 们 输 入 的 。 因 此 我 们 可 以 劫 持 p r i n t f 为 s y s t e m ， 然 后 再 次 通 过 r e a d 读 取 “ / b i n / s h ” ， 此 时 p r i n t f ( “ / b i n / s h ” ) 将 会 变 成 s y s t e m ( “ / b i n / s h ” ) 。 根 据 之 前 的 任 意 地 址 写 实 验 ， 我 们 很 容 易 构 造 p a y l o a d 如 下 ： p 3 2 ( p r i n t f _ g o t ) 占 了 占 了 4 字 节 ， 所 以 字 节 ， 所 以 s y s t e m _ p l t 要 减 去 要 减 去 4 将 p a y l o a d 发 送 过 去 ， 可 以 发 现 此 时 g o t 表 中 的 p r i n t f 项 已 经 被 劫 持 。 此 时 再 次 发 送 “ / b i n / s h ” 就 可 以 拿 s h e l l 了 。 但 是 这 里 还 有 一 个 问 题 ， 如 果 读 者 真 的 自 己 调 试 了 一 遍 就 会 发 现 单 步 执 行 时 c a l l   _ p r i n t f 一 行 执 行 时 间 额 外 的 久 ， 且 最 后 i o . i n t e r a c t i v e (   ) 时 屏 幕 上 的 光 标 会 不 停 闪 烁 很 长 一 段 时 间 ， 输 出 大 量 的 空 字 符 。 使 用 i o . r e c v a l l (   ) 读 取 这 些 字 符 发 现 数 据 量 高 达 1 2 8 . 2 8 M B ， 这 是 因 为 我 们 的 p a y l o a d 中 会 输 出 多 达 1 3 4 5 1 3 4 3 6 个 字 符 。 由 于 我 们 所 有 的 试 验 都 是 在 本 机 / 虚 拟 机 和 d o c k e r 之 间 进 行 ， 所 以 不 会 受 到 网 络 环 境 的 影 响 。 而 在 实 际 的 比 赛 和 漏 洞 利 用 环 境 中 ， 一 次 性 传 输 如 此 大 量 的 数 据 可 能 会 导 致 网 络 卡 顿 甚 至 中 断 连 接 。 因 此 ， 我 们 必 须 换 一 种 写 e x p 的 方 法 。 p r i n t f _ g o t   =   0 x 0 8 0 4 9 7 7 8 s y s t e m _ p l t   =   0 x 0 8 0 4 8 3 2 0 p a y l o a d   =   p 3 2 ( p r i n t f _ g o t ) + ” % ” + s t r ( s y s t e m _ p l t - 4 ) + ” c % 5 $ n ”
我 们 知 道 ， 在 6 4 位 下 有 % l l d ,   % l l x 等 方 式 来 表 示 四 字 ( q w o r d ) 长 度 的 数 据 ， 而 对 称 地 ， 我 们 也 可 以 使 用 % h d ,   % h h x 这 样 的 方 式 来 表 示 字 ( w o r d ) 和 字 节 ( b y t e ) 长 度 的 数 据 ， 对 应 到 % n 上 就 是 % h n ,   % h h n 。 为 了 防 止 修 改 的 地 址 有 误 导 致 程 序 崩 溃 ， 我 们 仍 然 需 要 一 次 性 把 g o t 表 中 的 p r i n t f 项 改 掉 ， 因 此 使 用 % h h n 时 我 们 就 必 须 一 次 修 改 四 个 字 节 。 那 么 我 们 就 得 重 新 构 造 一 下 p a y l o a d ， 首 先 我 们 给 p a y l o a d 加 上 四 个 要 修 改 的 字 节 。 然 后 我 们 来 修 改 第 一 位 ， 由 于 x 8 6 和 x 8 6 - 6 4 都 是 大 端 序 ， p r i n t f _ g o t 对 应 的 应 该 是 地 址 后 两 位 0 x 2 0 。 这 时 候 我 们 已 经 修 改 了 0 x 0 8 0 4 9 7 7 8 处 的 数 据 为 0 x 2 0 ， 接 下 来 我 们 需 要 修 改 0 x 0 8 0 4 9 7 7 8 + 2 处 的 数 据 为 0 x 8 3 。 由 于 我 们 已 经 输 出 了 0 x 2 0 个 字 节 ( 1 6 个 字 节 的 地 址 + 0 x 2 0 - 1 6 个 % c ) ， 因 此 我 们 还 需 要 输 出 0 x 8 3 - 0 x 2 0 个 字 节 。 继 续 修 改 0 x 0 8 0 4 9 7 7 8 + 4 ， 需 要 修 改 为 0 x 0 4 ， 然 而 我 们 前 面 已 经 输 出 了 0 x 8 3 个 字 节 ， 因 此 我 们 需 要 输 出 到 0 x 0 4 + 0 x 1 0 0 = 0 x 1 0 4 字 节 ， 截 断 后 变 成 0 x 0 4 。 修 改 0 x 0 8 0 4 9 7 7 8 + 6 p r i n t f _ g o t   =   0 x 0 8 0 4 9 7 7 8 s y s t e m _ p l t   =   0 x 0 8 0 4 8 3 2 0 p a y l o a d   =   p 3 2 ( p r i n t f _ g o t ) p a y l o a d   + =   p 3 2 ( p r i n t f _ g o t + 1 ) p a y l o a d   + =   p 3 2 ( p r i n t f _ g o t + 2 ) p a y l o a d   + =   p 3 2 ( p r i n t f _ g o t + 3 ) p a y l o a d   + =   “ % ” p a y l o a d   + =   s t r ( 0 x 2 0 - 1 6 ) p a y l o a d   + =   “ c % 5 $ h h n ” p a y l o a d   + =   “ % ” p a y l o a d   + =   s t r ( 0 x 8 3 - 0 x 2 0 ) p a y l o a d   + =   “ c % 6 $ h h n ” p a y l o a d   + =   “ % ” p a y l o a d   + =   s t r ( 0 x 1 0 4 - 0 x 8 3 ) p a y l o a d   + =   “ c % 7 $ h h n ” p a y l o a d   + =   “ % ” p a y l o a d   + =   s t r ( 0 x 0 8 - 0 x 0 4 ) p a y l o a d   + =   “ c % 8 $ h h n ”
最 后 的 p a y l o a d 为 ： ' x 7 8 x 9 7 x 0 4 x 0 8 x 7 9 x 9 7 x 0 4 x 0 8 x 7 a x 9 7 x 0 4 x 0 8 x 7 b x 9 7 x 0 4 x 0 8 % 1 6 c % 5 $ h h n % 9 9 c % 6 $ h h n % 1 2 9 c % 7 $ h h n % 4 c % 8 $ h h n ' 当 然 ， 对 于 格 式 化 字 符 串 p a y l o a d ， p w n t o o l s 也 提 供 了 一 个 可 以 直 接 使 用 的 类 F m t s t r ， 具 体 文 档 见 h t t p : / / d o c s . p w n t o o l s . c o m / e n / s t a b l e / f m t s t r . h t m l   ， 我 们 较 常 使 用 的 功 能 是 f m t s t r _ p a y l o a d ( o f f s e t ,   { a d d r e s s : d a t a } ,   n u m b w r i t t e n = 0 , w r i t e _ s i z e = ’ b y t e ’ ) 。 第 一 个 参 数 o f f s e t 是 第 一 个 可 控 的 栈 偏 移 ( 不 包 含 格 式 化 字 符 串 参 数 ) ， 代 入 我 们 的 例 子 就 是 第 六 个 参 数 ， 所 以 是 5 。 第 二 个 字 典 看 名 字 就 可 以 理 解 ， n u m b w r i t t e n 是 指 p r i n t f 在 格 式 化 字 符 串 之 前 输 出 的 数 据 ， 比 如 p r i n t f ( “ H e l l o   [ v a r ] ” ) ， 此 时 在 可 控 变 量 之 前 已 经 输 出 了 “ H e l l o   ” 共 计 六 个 字 符 ， 应 该 设 置 参 数 值 为 6 。 第 四 个 选 择 用   % h h n ( b y t e ) ,   % h n ( w o r d ) 还 是 % n ( d w o r d ) . 在 我 们 的 例 子 里 就 可 以 写 成 f m t s t r _ p a y l o a d ( 5 ,   { p r i n t f _ g o t : s y s t e m _ p l t } ) 获 取 本 例 子 s h e l l 的 脚 本 见 于 附 件 ， 此 处 不 再 赘 述 。 6 4 位 下 的 格 式 化 字 符 串 漏 洞 利 用 位 下 的 格 式 化 字 符 串 漏 洞 利 用 学 习 完 3 2 位 下 的 格 式 化 字 符 串 漏 洞 利 用 ， 我 们 继 续 来 看 现 在 已 经 变 成 主 流 的 6 4 位 程 序 。 我 们 打 开 例 子 ~ / f o r m a t _ x 8 6 - 6 4 / f o r m a t _ x 8 6 - 6 4 。 事 实 上 ， 这 个 程 序 和 上 一 节 中 使 用 的 例 子 是 同 一 个 代 码 文 件 ， 只 不 过 编 译 成 了 6 4 位 的 形 式 ， 和 上 一 个 例 子 一 样 ， 我 们 首 先 看 一 下 可 控 制 的 栈 地 址 偏 移 。
根 据 上 个 例 子 ， 我 们 的 输 入 位 于 栈 顶 ， 所 以 是 第 一 个 参 数 ， 偏 移 应 该 是 0 . 但 是 问 题 来 了 ， 栈 顶 不 应 该 是 字 符 串 地 址 吗 ？ 别 忘 了 6 4 位 的 传 参 顺 序 是 r d i ,   r s i ,   r d x ,   r c x ,   r 8 ,   r 9 ， 接 下 来 才 是 栈 ， 所 以 这 里 的 偏 移 应 该 是 6 . 我 们 可 以 用 一 串 % l l x . 来 证 明 这 一 点 。 有 了 偏 移 ， g o t 表 中 的 p r i n t f 和 p l t 表 中 的 s y s t e m 也 可 以 直 接 从 程 序 中 获 取 ， 我 们 就 可 以 使 用 f m t s t r _ p a y l o a d 来 生 成 p a y l o a d 了 。 然 而 我 们 会 发 现 这 个 p a y l o a d 无 法 修 改 g o t 表 中 的 p r i n t f 项 为 p l t 的 s y s t e m 。 然 而 查 看 内 存 ， 发 现 p a y l o a d 并 没 有 问 题 。
那 么 问 题 出 在 哪 呢 ？ 我 们 看 一 下 p r i n t f 的 输 出 可 以 看 到 我 们 第 一 次 输 入 的 p a y l o a d 只 剩 下 空 格 ( x 2 0 ) ， x 1 0 和 ` ( x 6 0 ) 三 个 字 符 。 这 是 为 什 么 呢 ？ 我 们 回 头 看 看 p a y l o a d ， 很 容 易 发 现 紧 接 在 x 2 0 x 1 0 x 6 0 三 个 字 符 后 面 的 是 x 0 0 ， 而 x 0 0 正 是 字 符 串 结 束 符 号 ， 这 就 是 为 什 么 我 们 在 上 一 节 中 选 择 0 x 0 8 0 4 8 0 0 1 而 不 是 0 x 0 8 0 4 8 0 0 0 测 试 读 取 。 由 于 6 4 位 下 用 户 可 见 的 内 存 地 址 高 位 都 带 有 x 0 0 ( 6 4 位 地 址 共 1 6 个 1 6 进 制 数 ) ， 所 以 使 用 之 前 构 造 p a y l o a d 的 方 法 显 然 不 可 行 ， 因 此 我 们 需 要 调 整 一 下 p a y l o a d ， 把 地 址 放 到 p a y l o a d 的 最 后 。 由 于 地 址 中 带 有 x 0 0 ， 所 以 这 回 就 不 能 用 % h h n 分 段 写 了 ， 因 此 我 们 的 p a y l o a d 构 造 如 下 ： 这 个 p a y l o a d 看 起 来 好 像 没 什 么 问 题 ， 不 过 如 果 拿 去 测 试 ， 你 就 会 发 现 用 i o . r e c v a l l (   ) 读 完 输 出 后 程 序 马 上 就 会 崩 溃 。 o f f s e t   =   6 p r i n t f _ g o t   =   0 x 0 0 6 0 1 0 2 0 s y s t e m _ p l t   =   0 x 0 0 4 0 0 4 6 0 p a y l o a d   =   “ % ”   +   s t r ( s y s t e m _ p l t )   +   “ c % 6 $ l l n ”   +   p 6 4 ( p r i n t f _ g o t )
这 是 为 什 么 呢 ？ 如 果 你 仔 细 看 右 下 角 的 栈 ， 你 就 会 发 现 构 造 好 的 地 址 错 位 了 。 因 此 我 们 还 需 要 调 整 一 下 p a y l o a d ， 使 地 址 前 面 的 数 据 恰 好 为 地 址 长 度 的 倍 数 。 当 然 ， 地 址 所 在 o f f s e t 也 得 调 整 。 调 整 后 的 结 果 如 下 ： 这 回 就 可 以 了 。 使 用 格 式 化 字 符 串 漏 洞 使 程 序 无 限 循 环 使 用 格 式 化 字 符 串 漏 洞 使 程 序 无 限 循 环 从 上 面 的 两 个 例 子 我 们 可 以 发 现 ， 之 所 以 能 成 功 利 用 格 式 化 字 符 串 漏 洞 g e t s h e l l ， 很 多 时 候 都 是 因 为 程 序 中 存 在 循 环 。 如 果 程 序 中 不 存 在 循 环 呢 ？ 之 前 我 们 试 过 使 用 R O P 技 术 劫 持 函 数 返 回 地 址 到 s t a r t ， 这 回 我 们 将 使 用 格 式 化 字 符 串 漏 洞 做 到 这 一 点 。 我 们 打 开 例 子 ~ / M M A   C T F   2 n d   2 0 1 6 - g r e e t i n g / g r e e t i n g o f f s e t   =   8 p r i n t f _ g o t   =   0 x 0 0 6 0 1 0 2 0 s y s t e m _ p l t   =   0 x 0 0 4 0 0 4 6 0 p a y l o a d   =   “ a % ”   +   s t r ( s y s t e m _ p l t - 1 )   +   “ c % 6 $ l l n ”   +   p 6 4 ( p r i n t f _ g o t )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理