审题首先看题目连上服务器看一下这次的代码#include stdio.h #include stdlib.h void login(){ int passcode1; int passcode2; printf(enter passcode1 : ); scanf(%d, passcode1); fflush(stdin); // ha! mommy told me that 32bit is vulnerable to bruteforcing :) printf(enter passcode2 : ); scanf(%d, passcode2); printf(checking...\n); if(passcode1338150 passcode213371337){ printf(Login OK!\n); system(/bin/cat flag); } else{ printf(Login Failed!\n); exit(0); } } void welcome(){ char name[100]; printf(enter you name : ); scanf(%100s, name); printf(Welcome %s!\n, name); } int main(){ printf(Toddlers Secure Login System 1.0 beta.\n); welcome(); login(); // something after login... printf(Now I can safely trust you that you have credential :)\n); return 0; }这段代码并不难理解表面上看只要满足passcode1338150且passcode213371337就可以了。但是仔细观察会发现login函数里的两个scanf语句有问题都没有加““因此运行的时候直接赋值就会报错。找到了这段代码的问题感觉这里就是题目的关键该怎么利用这个漏洞呢 下面进入知识点时间scanf不加的后果scanf函数在为变量赋值的时候除了字符串和数组以外变量名前都要加这是因为编译时系统会为变量分配一个地址加就是为了将输入的值存入这个预先分配好的地址中。如果变量前不加的话在赋值的时候就不是把输入的值存在预先分配的地址而是从栈中取四个字节32位情况下作为地址进行赋值这个值是不固定的因此就会出现各种问题。scanf不加之所以会变成安全漏洞是因为可以利用其从栈中取地址的特性构造GOT表覆盖从而侵入系统这道题就是使用GOT表覆盖来获得flag。那么GOT表覆盖是啥呢PLT表和GOT表要了解GOT表覆盖首先要了解要覆盖的这个GOT表是啥。在程序中如果一个函数想调用printf、scanf等等这种系统函数时要通过两个表来实现一个是PLT表一个是GOT表。为啥要用这两个表呢是因为这些系统函数并不像自定义的函数那样在程序中存在固定的位置而是在程序运行的时候根据需要动态加载的这样可以避免一次性加载大量不必要的函数。但这样造成的问题就是不同的程序中系统函数所在位置不同每次调用的时候都要重新定位系统函数的位置。为了避免重复定位就引入了PLT表和GOT表。在一个程序刚开始运行的时候系统会把程序需要的系统函数加载到内存中然后把这些函数所在的地址一条一条的存放在GOT表中然后PLT表项跟GOT表项一一对应程序调用系统函数的话会访问PLT表的对应表项然后再通过其中的jmp指令跳转到对应的GOT表项获取函数真正所在的位置。以printf函数为例流程如下程序调用printf函数--访问PLT表对应表项printfplt--跳转到对应的GOT表项printfgot.plt获得prinf函数地址就好像PLT表负责抛头露面GOT表才是幕后黑手这种关系。这里需要注意的是可以看出GOT表具有两个特征一个是可写因为要往里写函数地址一个是表项中存的地址会直接跳转执行。这两个特征就决定了可以把GOT表中的地址修改成任意代码的地址来运行这段代码。这种改写GOT表项中内容的方法就叫做GOT表覆盖。那scanf的漏洞跟GOT表覆盖有啥关系呢也就是这道题的解题思路了首先找到被scanf当作赋值地址的是栈里哪四个字节然后选取一个函数对栈进行构造使那四个字节变成该函数对应的GOT表项的地址最后运行scanf函数输入的值为所需运行代码的地址即可完成GOT表的覆盖这里需要注意的是选取函数的时候一定要选后面会调用到的函数不然忙活大半天没被调用也是白搭。解解题思路有了就按照思路来一步一步走吧。但在开始的时候碰到了一点问题。可能是编译器版本不同的原因同样的代码在本地编译出来的ELF文件的情况的服务器上的不一样代码在内存里的位置和PLT表、GOT表在内存的位置都不太一样。虽然按上面的思路可以对本地文件完成GOT覆盖但是不能用同样的代码对服务器的文件进行GOT覆盖就没办法获取flag。解决这一问题的方法就是直接下载服务器里的可执行文件进行分析首先登录服务器输入pwd命令查看当前目录如下图然后使用ls命令查看当前目录下的文件如下图断开与服务器的连接在本地输入命令scp -P 2222 passcodepwnable.kr:/home/passcode/passcode ./scp通过ssh连接与服务器进行文件传输的工具-P 2222表示通过端口2222连接后面的参数分别是usernamehostname:/服务器中的文件路径 /本地保存路径./表示当前路径然后输入密码就可以从服务器下载文件了如下图当然只能下载允许下载的文件想要直接把flag下载下来投机取巧是不可行的会提示没有授权拒不承认试过。接下来可以用gdb对程序进行分析首先输入gdb打开gdb工具然后输入file passcode加载可执行文件如下图准备工作已经做完了下面开始分析1.找scanf将栈中哪四个字节设为地址由于有漏洞的scanf函数在login函数中直接输入disassemble login查看login函数的反汇编找到与scanf函数相关的代码由第二行可以看出ebp-0x10被当作passcode1的地址。2.选取函数并且找到函数对应的GOT表项可以看出scanf函数调用之后程序又调用了fflush函数和printf函数那就用fflush函数吧。代码里直接给出了fflush函数的PLT表项的地址0x8048430跳转过去看一下x查看内存地址中的值4i是指显示四个单位的数据单位是指令所以就显示了四条指令。由此可见PLT表的表项是一段代码第一行代码应该就是跳转到对应的GOT表项地址也就是0x804a004跳转过去这里x后的x参数是指这里的格式是十六进制数。看到fflush后面的got.plt就知道找到了fflush函数的GOT表项。在login函数里可以直接看到调用system函数这里就是对应的C语言里的”system(/bin/cat flag);。因此只要将GOT表项里的值改为0x080485e3就可以读取flag。3.想办法对栈进行构造login函数中除了两个scanf就没有对栈进行别的操作了。因此对栈的构造肯定不在login函数里。这就想到login前面还有一个welcome函数。查看welcome函数的反汇编由38行可知字符串的起始位置是ebp-0x70转换成十进制也就是ebp-112这说明字符串在栈中占了ebp-112-ebp-13这100个字节的位置。在上一步中知道了scanf把ebp-0x10也就是ebp-16开始的四个字节当作地址。于是发现这四个字节也就是字符串的最后四个字节啊。运行程序来实验一下首先输入break loginbreak下断点这里是指在login函数开头下断点。然后输入run运行程序输入96个a和4个b观察内存情况如果推理没错的话在断点查看ebp-0x10的值应该是0x62626262验证一下事实证明推理没有问题。4.GOT表覆盖现在路线已经很明确了把字符串最后四个字节改成GOT表项的地址0x804a004然后在运行scanf的时候把0x080485e3输入进去就可以了。但是这里还有一点需要注意就是scanf传入的是%d格式的数所以需要把0x080485e3转换成十进制134514147再输入。先在本地试一下可以看到确实执行了“/bin/cat flag”只是因为路径下没有文件才出错说明这个解法没错。下面用同样的代码去服务器上试一下成功拿到flagexp如下from pwn import * pwn_sshssh(hostpwnable.kr,userpasscode,passwordguest,port2222) print (pwn_ssh.connected()) shpwn_ssh.process(executable./passcode) print (sh.recv()) sh.sendline(A*96\x04\xa0\x04\x08134514147) print (sh.recvall())本章小结感觉这道题涉及的知识点还挺多的不过确实让人体会到反汇编和二进制的奇妙在一层一层的跳转里找到pwn的乐趣。这道题除了上述的解法之外覆盖printf函数的GOT表项也能达到同样的效果。除此之外还想了一个可能如果可以通过构造栈的内容设置passcode1和passcode2的地址一个办法是在文件中找一个可读写的段可以直接把两个变量的地址设在段内的空白位置或者直接把GOT表中之后用不到的函数表项的地址设成变量的地址这样就可以把scanf变成正常的scanf直接输入338150和13371337就可以得到flag了。但是尝试的时候发现passcode1的地址可以通过字符串后四字节确定但是passcode2的地址在选取的时候选的是ebp-0x0c也就是ebp-12并不能通过字符串的值决定然后这个想法就被搁置了。不知道有没有实现的可能。