pwnable.kr的passcode

前段时间找到一个练习pwn的网站,pwnable.kr

这里记录其中的passcode的做题过程，给自己加深印象。

废话不多说了，看一下题目，

看到题目，就ssh连接进去，就看到三个文件如下

看了一下我们的用户名，并不能直接查看flag这个文件。查看passcode.c的源码看一下

#include <stdio.h>
#include <stdlib.h>

void login(){
    int passcode1;
    int passcode2;

    printf("enter passcode1 : ");
    scanf("%d", passcode1);               //这里没有加取地址符号
    fflush(stdin);

    // ha! mommy told me that 32bit is vulnerable to bruteforcing :)
    printf("enter passcode2 : ");
        scanf("%d", passcode2);　　　　　　//这里没有加取地址符号

    printf("checking...\n");
    if(passcode1== && passcode2==){
                printf("Login OK!\n");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!\n");
        exit();
        }
}

void welcome(){
    char name[];
    printf("enter you name : ");
    scanf("%100s", name);
    printf("Welcome %s!\n", name);
}

int main(){
    printf("Toddler's Secure Login System 1.0 beta.\n");

    welcome();
    login();     //这里连续调用了两个函数

    // something after login...
    printf("Now I can safely trust you that you have credential :)\n");
    return ;
}

可以看到整个程序的流程很简单，就是要我们输入两个数，让这两个数等于特定的数，就输出flag的内容，但是根据她的提示，程序有问题，可以直接使用gcc来尝试编译一下，就发现在登录函数里，对于两个passcode的值没有加上取地址符号，这将会导致scanf把passcode1和passcode2中的值作为存储输入的地址，如果地址不可写，就会造成一个内存错误。这样我们直接输入特定的值肯定不行了。。。。这里我们看一下这个程序的防护

程序有栈溢出保护和NX(数据执行保护)看了大牛的wp之后，知道关键点在welcome这里，因为welcome这里开了一个有点大的数组，有没有可能改变login中passcode1或passcode2的值，因为welcome和login这两个函数是连续调用的，导致他们拥有相同的栈底。我们看一下passcode的反汇编代码。。objdump -d passcode

 <login>:                     //这里是login函数
 :                           push   %ebp
 :     e5                    mov    %esp,%ebp
 :     ec                  sub    $0x28,%esp　　　　　　　　//分配栈空间
 804856a:    b8               mov    $0x8048770,%eax
 804856f:                       mov    %eax,(%esp)
 :    e8 a9 fe ff ff           call    <printf@plt>
 :    b8               mov    $0x8048783,%eax
 804857c:    8b  f0                 mov    -0x10(%ebp),%edx       //看到这里是passcode1的内容作为参数传递给scanf
 804857f:                     mov    %edx,0x4(%esp)
 :                       mov    %eax,(%esp)
 :    e8  ff ff ff           call   80484a0 <__isoc99_scanf@plt>
 804858b:    a1 2c a0             mov    0x804a02c,%eax
 :                       mov    %eax,(%esp)
 :    e8  fe ff ff           call    <fflush@plt>
 :    b8               mov    $0x8048786,%eax
 804859d:                       mov    %eax,(%esp)
 80485a0:    e8 7b fe ff ff           call    <printf@plt>
 80485a5:    b8               mov    $0x8048783,%eax
 80485aa:    8b  f4                 mov    -0xc(%ebp),%edx　　　　//这里是passcode2的内容作为参数传递给scanf
 80485ad:                     mov    %edx,0x4(%esp)
 80485b1:                       mov    %eax,(%esp)
 80485b4:    e8 e7 fe ff ff           call   80484a0 <__isoc99_scanf@plt>
 80485b9:    c7           movl   $0x8048799,(%esp)
 80485c0:    e8 8b fe ff ff           call    <puts@plt>
 80485c5:     7d f0 e6        cmpl   $0x528e6,-0x10(%ebp)　　　　//第一个比较
 80485cc:                         jne    80485f1 <login+0x8d>
 80485ce:     7d f4 c9  cc      cmpl   $0xcc07c9,-0xc(%ebp)　　　　//第二个比较
 80485d5:     1a                    jne    80485f1 <login+0x8d>
 80485d7:    c7   a5        movl   $0x80487a5,(%esp)
 80485de:    e8 6d fe ff ff           call    <puts@plt>
 80485e3:    c7   af        movl   $0x80487af,(%esp)
 80485ea:    e8  fe ff ff           call    <system@plt>　　　　//执行系统命令，关键点
 80485ef:    c9                       leave
 80485f0:    c3                       ret
 80485f1:    c7   bd        movl   $0x80487bd,(%esp)
 80485f8:    e8  fe ff ff           call    <puts@plt>
 80485fd:    c7           movl   $0x0,(%esp)
 :    e8  fe ff ff           call    <exit@plt>

 <welcome>:
 :                           push   %ebp
 804860a:     e5                    mov    %esp,%ebp
 804860c:     ec            sub    $0x88,%esp
 :     a1            mov    %gs:0x14,%eax
 :      f4                 mov    %eax,-0xc(%ebp)
 804861b:     c0                    xor    %eax,%eax
 804861d:    b8 cb              mov    $0x80487cb,%eax
 :                       mov    %eax,(%esp)
 :    e8 f6 fd ff ff           call    <printf@plt>
 804862a:    b8 dd              mov    $0x80487dd,%eax
 804862f:    8d                   lea    -0x70(%ebp),%edx       //name的地址
 :                     mov    %edx,0x4(%esp)
 :                       mov    %eax,(%esp)
 :    e8  fe ff ff           call   80484a0 <__isoc99_scanf@plt>
 804863e:    b8 e3              mov    $0x80487e3,%eax
 :    8d                   lea    -0x70(%ebp),%edx
 :                     mov    %edx,0x4(%esp)
 804864a:                       mov    %eax,(%esp)
 804864d:    e8 ce fd ff ff           call    <printf@plt>
 :    8b  f4                 mov    -0xc(%ebp),%eax
 :               xor    %gs:0x14,%eax
 804865c:                         je      <welcome+0x5a>
 804865e:    e8 dd fd ff ff           call    <__stack_chk_fail@plt>
 :    c9                       leave
 :    c3                       ret    

 <main>:
 :                           push   %ebp
 :     e5                    mov    %esp,%ebp
 :     e4 f0                 and    $0xfffffff0,%esp
 804866b:     ec                  sub    $0x10,%esp
 804866e:    c7   f0        movl   $0x80487f0,(%esp)
 :    e8 d6 fd ff ff           call    <puts@plt>
 804867a:    e8 8a ff ff ff           call    <welcome>
 804867f:    e8 e0 fe ff ff           call    <login>          //连续调用，导致栈底是相同的
 :    c7           movl   $0x8048818,(%esp)
 804868b:    e8 c0 fd ff ff           call    <puts@plt>
 :    b8               mov    $0x0,%eax
 :    c9                       leave
 :    c3                       ret
 :                           nop
 :                           nop
 :                           nop
 804869a:                           nop
 804869b:                           nop
 804869c:                           nop
 804869d:                           nop
 804869e:                           nop
 804869f:                           nop

从上面我们看到，因为welcome和login的栈底相同，看到name的地址在ebp-0x70, 而passcode1的地址在ebp-0x10, 0x70 == 112, 0x10 == 16

所以0x70-0x10 == 0x60 == 96,所以我们可以看到name的最后四个字节就是passcode1的值，所以我们可以利用welcome来改变passcode1的值，

因为程序开启了栈溢出保护，所以我们不能再继续增加name的输入来改变passcode2的值(如果能改，直接改为两个特定数就可以了，但这里不行)。

从大牛的WP知道，这里我们要使用的是一种GOT表复写的技术，GOT表就是一个函数指针数组(具体搜索)，我们看到程序在我们输入之后会调用pritnf函数，

所以我们可以将passcode1的值改为printf的地址，然后接下来会通过scanf将上面的关键系统命令的地址写进去，改变整个程序的执行过程，当程序调用

printf函数的时候，由于它的地址已经被改变了，所以会跳到关键系统命令的地方去。

80485e3:    c7   af        movl   $0x80487af,(%esp)
80485ea:    e8  fe ff ff           call    <system@plt>

所以我们要知道printf的got地址，然后将它的地址改为 0x080485ea这个关键的地方。使用objdump -R passcode来看一下GOT表

passcode@ubuntu:~$ objdump -R passcode

passcode:     file format elf32-i386

DYNAMIC RELOCATION RECORDS
OFFSET   TYPE              VALUE
08049ff0 R_386_GLOB_DAT    __gmon_start__
0804a02c R_386_COPY        stdin@@GLIBC_2.
0804a000 R_386_JUMP_SLOT   printf@GLIBC_2.0          //printf的地址
0804a004 R_386_JUMP_SLOT   fflush@GLIBC_2.
0804a008 R_386_JUMP_SLOT   __stack_chk_fail@GLIBC_2.
0804a00c R_386_JUMP_SLOT   puts@GLIBC_2.
0804a010 R_386_JUMP_SLOT   system@GLIBC_2.
0804a014 R_386_JUMP_SLOT   __gmon_start__
0804a018 R_386_JUMP_SLOT   exit@GLIBC_2.
0804a01c R_386_JUMP_SLOT   __libc_start_main@GLIBC_2.
0804a020 R_386_JUMP_SLOT   __isoc99_scanf@GLIBC_2.

我这里使用pwntools这个包来写利用脚本。因为scanf是要求%d输入，所以0x080485ea == 134514154

最后就看到flag了。。。。。。。。

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　--好好学习，天天向上