How to attack a printf format string vulnerability program which is the format string buffer base on .bss section

举例

以login这道题为例，详细讲解下做这种题的思路。

保护机制

查看保护：

题目

很明显最后的函数中有典型的格式化字符串漏洞：

但buf在.bss段上，所以不能用自动化工具来打：

思路

我们利用字符串格式化漏洞攻击got表，将printf修改成为system，然后之后循环中输入/bin/sh就可以完成利用：

首先查看调用printf时的栈情况：

用这样的字符串可以泄露栈和libc的地址：

之后利用栈中指向栈数据的数据来构造攻击链：

因为要一次性写两个两字节的数据，需要两个地址，自然需要两条链条。构造链条代码如下：

可以看到利用构造的两条链条，printf已经被改成了system，以下是全部脚本：

以及攻击效果：

实战

以bugku平台的pwn6为例，拿到文件后查看下信息：

有pie保护那么需要泄露main，libc的地址。

vulnerabilities

1. 第一个函数中有缓冲区溢出风险：

   1	v3 = read(0, &src, 0x150uLL);

   而控制循环的变量正好位于其下方：

   1 2 3

   .data:00000000002015C0 src             db 0                    ; DATA XREF: _1_C15+65↑o \\.... .data:0000000000201700 qword_201700    dq 1

2. 第二个函数里有格式化字符串漏洞：

   1 2 3 4

   v1 = read(0, buf1, 24uLL); puts("after encoding..."); sub_AFF(buf1, v1); printf(buf1);

   尽管程序会对字符串进行移位操作：

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17

   __int64 __fastcall sub_AFF(__int64 buf, int len) { __int64 result; // rax int index; // [rsp+18h] [rbp-4h]   for ( index = 0; ; ++index ) {  result = index;  if ( index >= len )    break;  *(buf + index) = 4 * (*(buf + index) & 0xC)                 + 4 * (*(buf + index) & 0x30)                 + ((*(buf + index) & 0xC0) >> 6)                 + 4 * (*(buf + index) & 3); } return result; }

   并且buf不在栈上：

   1	.bss:0000000000201720 buf1

   但如果在栈中构造好两个链条，还是有机会利用这个漏洞劫持printf@got。

3. 第三个函数中有strcpy，存在栈溢出的风险：

   1	strcpy(buf, &src);

   可以用来将一些值部署在栈中。

4. 第二个函数开辟了很多栈空间，而且并没有初始化栈空间的值：

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31

   .text:0000000000000CCD ; __unwind { .text:0000000000000CCD                 push    rbp .text:0000000000000CCE                 mov     rbp, rsp .text:0000000000000CD1                 sub     rsp, 160h .text:0000000000000CD8                 lea     rdi, aEncode2   ; "==========encode2==========" .text:0000000000000CDF                 call    _puts .text:0000000000000CE4                 lea     rdi, aYourMessageToE ; "your message to encode:" .text:0000000000000CEB                 call    _puts .text:0000000000000CF0                 mov     edx, 18h        ; nbytes .text:0000000000000CF5                 mov     rax, cs:buf .text:0000000000000CFC                 mov     rsi, rax        ; buf .text:0000000000000CFF                 mov     edi, 0          ; fd .text:0000000000000D04                 call    _read .text:0000000000000D09                 mov     [rbp+var_4], eax .text:0000000000000D0C                 lea     rdi, aAfterEncoding ; "after encoding..." .text:0000000000000D13                 call    _puts .text:0000000000000D18                 mov     eax, [rbp+var_4] .text:0000000000000D1B                 mov     esi, eax .text:0000000000000D1D                 mov     rax, cs:buf .text:0000000000000D24                 mov     rdi, rax .text:0000000000000D27                 call    sub_AFF .text:0000000000000D2C                 mov     rax, cs:buf .text:0000000000000D33                 mov     rdi, rax        ; format .text:0000000000000D36                 mov     eax, 0 .text:0000000000000D3B                 call    _printf .text:0000000000000D40                 lea     rdi, aNiceEncoding ; "nice encoding..." .text:0000000000000D47                 call    _puts .text:0000000000000D4C                 leave .text:0000000000000D4D                 retn .text:0000000000000D4D ; } // starts at CCD .text:0000000000000D4D _2_CCD          endp

   这使得部分部署好的值不会被抹去（记得一定要初始化变量）

思路

据此，此题的解题思路如下：

1. 利用格式化字符串泄露地址。
2. 因为第二个函数没有清理栈，所以利用函数三在栈中投放printf@got。
3. 在第二个函数中劫持printf@got，将其修改成system，然后输入字符串直接执行system('/bin/sh')。

调试

在调试中确定栈中情况：

转到函数二时栈情况如下：

此处笔者选择将栈顶和保存rbp的地址填充为printf@got+2和printf@got。

pwned

全部脚本如下：

运行效果：

总结

通过本文中的练习，可以总结以下三点：

1. 题目中给出的漏洞，基本上都会有用处；先分析题目中所有的缺陷，然后再思考如何利用。
2. 变量未初始化这个漏洞平时容易被忽略，但很可能是漏洞利用的一环，所以多要注意栈中数据。
3. 针对格式化字符串不在栈中的题目，可以尝试构造两个分别指向printf@got表高低位的链条来完成got劫持。

参考文章

1. 格式化字符串在bss段处理 http://www.starssgo.top/2019/12/06/%E6%A0%BC%E5%BC%8F%E5%8C%96%E5%AD%97%E7%AC%A6%E4%B8%B2%E5%9C%A8bss%E6%AE%B5%E7%9A%84%E5%A4%84%E7%90%86/

[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》，视频+靶场+题目！助力进入CTF世界