-
-
[原创]看雪.纽盾 KCTF晋级赛2019 Q2 第三题 金字塔的诅咒
-
发表于: 2019-6-23 02:51
-
先checksec
看下main的代码
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 | int __cdecl main(int argc, const char **argv, const char **envp){ int v3; // eax char buf; // [esp+0h] [ebp-10h] unsigned int v6; // [esp+4h] [ebp-Ch] int *v7; // [esp+8h] [ebp-8h] v7 = &argc; v6 = __readgsdword(0x14u); setvbuf(stdin, 0, 2, 0); setvbuf(stdout, 0, 2, 0); puts("Welcome to kanxue 2019, your pwn like cxk"); do { while ( 1 ) { menu(); read(0, &buf, 4u); v3 = atoi(&buf); if ( v3 != 1 ) break; printf("What do tou want to say:"); read_input((int)&echo, 24); printf((const char *)&echo); // 存在格式化字符串漏洞 puts((const char *)&unk_A97); } } while ( v3 != 2 ); return 0;} |
printf处有格式化字符串漏洞，可以用来读写堆栈。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 | int __cdecl main(int argc, const char **argv, const char **envp){ int v3; // eax char buf; // [esp+0h] [ebp-10h] unsigned int v6; // [esp+4h] [ebp-Ch] int *v7; // [esp+8h] [ebp-8h] v7 = &argc; v6 = __readgsdword(0x14u); setvbuf(stdin, 0, 2, 0); setvbuf(stdout, 0, 2, 0); puts("Welcome to kanxue 2019, your pwn like cxk"); do { while ( 1 ) { menu(); read(0, &buf, 4u); v3 = atoi(&buf); if ( v3 != 1 ) break; printf("What do tou want to say:"); read_input((int)&echo, 24); printf((const char *)&echo); // 存在格式化字符串漏洞 puts((const char *)&unk_A97); } } while ( v3 != 2 ); return 0;} |
printf处有格式化字符串漏洞，可以用来读写堆栈。
用gdb分别在printf(*main+203)和return(*main+264)处下断并查看堆栈。
printf
return
最后于 2019-6-24 00:57
被梦游枪手编辑
，原因：
|
|
|---|---|
|
|
|
|
|
你可以看上面的截图，sp 0xffffd664的值为0xffffd724，我用0xffffd724来存放欲读写地址，而0xffffd724-0xffffd650=0xD4，也就是距离栈顶53个DWORD，把地址存放到0xffffd724后再用%53$x就能写数据了。
最后于 2019-8-26 19:35
被梦游枪手编辑
，原因： 口误
|
|
|
感谢回复！！
我按照您的方法调试了一下~  这里的话就是 0xffffd064 - 0xffffcf94 = 0xd0 是52个DWORD呢…… （调试了两次都是这样的说……）
|
|
|
|
|
|
啊……确实是少压了一个orz，现在是53煤错了~ （之前断点下得太靠前了，  ）再次感谢您的回复！！
最后于 2019-8-26 17:31
被guyioo-编辑
，原因：
|
|
|
上面说错了一点 ，指正一下，%53$x并不能泄露数据，只能用%53$hn来写，要泄露栈的数据得用%??$x，??是偏移量。
|
|
|
欸……为啥 ~ 是泄露不了那么多嘛 
|
|
|
|
|
|
啊~明白了~ (抱拳感谢！)
最后于 2019-11-25 11:04
被guyioo-编辑
，原因：
|
梦游枪手
