思路
- 首先ssh连接后查看c代码是什么，发现这是一个考验linux基础输入知识的题，意味着没接触过的人要大量恶补linux的知识（说的就是自己）
int main(int argc, char* argv[], char* envp[]){
printf("Welcome to pwnable.kr\n");
printf("Let's see if you know how to give input to program\n");
printf("Just give me correct inputs then you will get the flag :)\n");
// argv
if(argc != 100) return 0;
if(strcmp(argv['A'],"\x00")) return 0;
if(strcmp(argv['B'],"\x20\x0a\x0d")) return 0;
printf("Stage 1 clear!\n");
// stdio
char buf[4];
read(0, buf, 4);
if(memcmp(buf, "\x00\x0a\x00\xff", 4)) return 0;
read(2, buf, 4);
if(memcmp(buf, "\x00\x0a\x02\xff", 4)) return 0;
printf("Stage 2 clear!\n");
// env
if(strcmp("\xca\xfe\xba\xbe", getenv("\xde\xad\xbe\xef"))) return 0;
printf("Stage 3 clear!\n");
// file
FILE* fp = fopen("\x0a", "r");
if(!fp) return 0;
if( fread(buf, 4, 1, fp)!=1 ) return 0;
if( memcmp(buf, "\x00\x00\x00\x00", 4) ) return 0;
fclose(fp);
printf("Stage 4 clear!\n");
// network
int sd, cd;
struct sockaddr_in saddr, caddr;
sd = socket(AF_INET, SOCK_STREAM, 0);
if(sd == -1){
printf("socket error, tell admin\n");
return 0;
}
saddr.sin_family = AF_INET;
saddr.sin_addr.s_addr = INADDR_ANY;
saddr.sin_port = htons( atoi(argv['C']) );
if(bind(sd, (struct sockaddr*)&saddr, sizeof(saddr)) < 0){
printf("bind error, use another port\n");
return 1;
}
listen(sd, 1);
int c = sizeof(struct sockaddr_in);
cd = accept(sd, (struct sockaddr *)&caddr, (socklen_t*)&c);
if(cd < 0){
printf("accept error, tell admin\n");
return 0;
}
if( recv(cd, buf, 4, 0) != 4 ) return 0;
if(memcmp(buf, "\xde\xad\xbe\xef", 4)) return 0;
printf("Stage 5 clear!\n");
// here's your flag
system("/bin/cat flag");
return 0;
}
- 首先由代码可见，我们一共需要过五关，每一次都要成功，最后才能cat flag
首先介绍一个函数int execve(const char *filename, char *const argv[],char *const envp[])作用是启动新的进程，而进程的文件有filename指定，传入的参数为argv，并且有环境变量envp，这个函数将在下面中用到,同时需要注意argv和envp都需要以NULL结尾
第一关
if(argc != 100) return 0;
if(strcmp(argv['A'],"\x00")) return 0;
if(strcmp(argv['B'],"\x20\x0a\x0d")) return 0;
printf("Stage 1 clear!\n");
- 首先我们的argc要等于100，既要有100个参数，要在第“A”(即65)的位置为\x00，在第“B”（66）的位置是“\x20\x0a\x0d”，那么就简单的写入即可
#include<stdio.h>
int main()
{
/*1*/
char *argv[101]={0};
for(int i=1;i<100;i++)
argv[i]="a";
argv[0]="/home/input2/input";
argv['A']="\x00";
argv['B']="\x20\x0a\x0d";
}
第二关
char buf[4];
read(0, buf, 4);
if(memcmp(buf, "\x00\x0a\x00\xff", 4)) return 0;
read(2, buf, 4);
if(memcmp(buf, "\x00\x0a\x02\xff", 4)) return 0;
printf("Stage 2 clear!\n");
- 这一次由之前做过的fd题可以知道read（）的第一个参数表示文件描述符，0代表标准输入，2代表标准错误输出，输入容易控制，但要如何使得错误输出也被控制呢?就需要学会pipe管道和I/O重定向
pipe是为了在两个进程之间通信设置的，单方向的通信，一方面读，一方面写。以下是pipe的定义http://man7.org/linux/man-pages/man2/pipe.2.html
pipe通道是为两个进程通信服务的，但此时只有一个进程，因此我们要fork一个子进程，实现子进程和父进程的通信，以下是fork的原理
https://blog.csdn.net/jason314/article/details/5640969
I/O重定向指的是将已创建的文件描述符指向其他文件，以下是具体原理
http://www.cnblogs.com/weidagang2046/p/io-redirection.html
以下是一个很好的利用pipe通道实现I/O重定向的说明
http://unixwiz.net/techtips/remap-pipe-fds.html
- 因此我们创建两个pie通道，表示两个进程之间的通信，然后fork处子进程，在子进程中写入，在父进程处进行重定向，将从子进程读取的内容重定向到标准输入和标准错误输出
/*2*/
int pipe_stdin[2] = {-1, -1};
int pipe_stderr[2] = {-1, -1};
pid_t pid_child;
if ( pipe(pipe_stdin) < 0 || pipe(pipe_stderr) < 0 )
{
perror("Cannot create the pipe.");
}
#define STDIN_READ pipe_stdin[0]
#define STDIN_WRITE pipe_stdin[1]
#define STDERR_READ pipe_stderr[0]
#define STDERR_WRITE pipe_stderr[1]
if ( ( pid_child = fork() ) < 0 ) // do not forget the ()!
{
perror("Cannot create fork child.");
}
if(pid_child == 0) //in child
{
close(STDIN_READ);
close(STDERR_READ);//关闭输入
write(STDIN_WRITE,"\x00\x0a\x00\xff",4);
write(STDERR_WRITE,"\x00\x0a\x02\xff",4);
}
else //in father
{
close(STDERR_WRITE);
close(STDIN_WRITE);//关闭输出
dup2(STDIN_READ,0);
dup2(STDERR_READ,2);
}
printf("link\n");
}
第三关
// env
if(strcmp("\xca\xfe\xba\xbe", getenv("\xde\xad\xbe\xef"))) return 0;
printf("Stage 3 clear!\n");
- 首先是函数getenv，目得是使两个值相等
char *getenv(const char *name)是查找程序环境列表中参数name的值
- 而环境列表我们一般用不到，但是，作用是将一些源程序所在系统的位置等信息传入，那我们只需要传入环境变量时，将这一等式当作环境变量之一传入即可。
char *envp[2] = {"\xde\xad\xbe\xef=\xca\xfe\xba\xbe", NULL};//第三关用到的环境变量
execve("/home/input2/input", argv, envp);
第四关
// file
FILE* fp = fopen("\x0a", "r");
if(!fp) return 0;
if( fread(buf, 4, 1, fp)!=1 ) return 0;
if( memcmp(buf, "\x00\x00\x00\x00", 4) ) return 0;
fclose(fp);
printf("Stage 4 clear!\n");
- 简单的打开“\x0a”这个文件，写入信息"\x00\x00\x00\x00"即可
/*4*/
FILE *fp=fopen("\x0a","wb");
if(!fp)
{
perror("Can not open file.");
}
printf("Open file success.\n");
fwrite("\x00\x00\x00\x00",4,1,fp);
fclose(fp);
}
第五关
int sd, cd;
struct sockaddr_in saddr, caddr;
sd = socket(AF_INET, SOCK_STREAM, 0);
if(sd == -1){
printf("socket error, tell admin\n");
return 0;
}
saddr.sin_family = AF_INET;
saddr.sin_addr.s_addr = INADDR_ANY;
saddr.sin_port = htons( atoi(argv['C']) );
if(bind(sd, (struct sockaddr*)&saddr, sizeof(saddr)) < 0){
printf("bind error, use another port\n");
return 1;
}
listen(sd, 1);
int c = sizeof(struct sockaddr_in);
cd = accept(sd, (struct sockaddr *)&caddr, (socklen_t*)&c);
if(cd < 0){
printf("accept error, tell admin\n");
return 0;
}
if( recv(cd, buf, 4, 0) != 4 ) return 0;
if(memcmp(buf, "\xde\xad\xbe\xef", 4)) return 0;
printf("Stage 5 clear!\n");
// here's your flag
system("/bin/cat flag");
return 0;
}
由代码可知把这个input作为一个服务端，绑定的端口值是argv[‘C’]里面存的数值，当然代码用了一下atoi转化字符串为数字，比如存的是char 0，那么绑定的端口就是0号端口。然后验证的是传进来的某连接发送的内容是"\xde\xad\xbe\xef".
所以我们自己写的时候，可以给input指定一个端口，然后我们的程序再连接这个端口，发送"\xde\xad\xbe\xef"就好了。
argv['C'] = "9999";
sleep(2); // wait the server start
int sockfd;
char buf[10] = {0}; // buf to be sent
int len; // len of avail buf
struct sockaddr_in servaddr;
servaddr.sin_family = AF_INET;
servaddr.sin_port = htons(9999); // port in argv['C']
servaddr.sin_addr.s_addr = inet_addr("127.0.0.1"); //local
if( (sockfd = socket(PF_INET, SOCK_STREAM, 0)) < 0 )
{
perror("socket error.");
exit(1);
}
if ( connect(sockfd, (struct sockaddr*) &servaddr, sizeof(servaddr)) < 0 )
{
perror("connect error.");
exit(1);
}
printf("socket connect.\n");
strcpy(buf, "\xde\xad\xbe\xef");
len = strlen(buf);
send(sockfd, buf, len, 0);
close(sockfd);
return 0;
总结
- 做这道题时会感觉好多都不认识，但坚持下来就能学到很多的东西。
tips:在这道题提交的时候需要将自己的文件用scp上传到/tmp或者在服务器的tmp文件夹中新建文件夹，用vim写，使用“gcc 文件 -o 输出文件名称”来编译，同时还需要软连接，“ln -s /home/input2/flag flag”
#include<stdio.h>//fopen perror
#include <stdlib.h>
#include <unistd.h>//pipe execve
#include <string.h>//strcmp
#include <sys/types.h>//bind
#include <sys/socket.h>// linux socket
#include <netinet/in.h>
#include <netdb.h>
#include <arpa/inet.h>
int main()
{
/*1*/
char *argv[101]={0};
for(int i=1;i<100;i++)
argv[i]="a";
argv[0]="/home/input2/input";
argv['A']="\x00";
argv['B']="\x20\x0a\x0d";
argv['C'] = "9999";
argv[100] = NULL;
char *envp[2] = {"\xde\xad\xbe\xef=\xca\xfe\xba\xbe", NULL};//第三关用到的环境变量
/*2*/
int pipe_stdin[2] = {-1, -1};
int pipe_stderr[2] = {-1, -1};
pid_t pid_child;
if ( pipe(pipe_stdin) < 0 || pipe(pipe_stderr) < 0 )
{
perror("Cannot create the pipe.");
}
#define STDIN_READ pipe_stdin[0]
#define STDIN_WRITE pipe_stdin[1]
#define STDERR_READ pipe_stderr[0]
#define STDERR_WRITE pipe_stderr[1]
if ( ( pid_child = fork() ) < 0 ) // do not forget the ()!
{
perror("Cannot create fork child.");
}
if(pid_child == 0) //in child
{
close(STDIN_READ);
close(STDERR_READ);//关闭输入
write(STDIN_WRITE,"\x00\x0a\x00\xff",4);
write(STDERR_WRITE,"\x00\x0a\x02\xff",4);
}
else //in father
{
close(STDERR_WRITE);
close(STDIN_WRITE);
dup2(STDIN_READ,0);
dup2(STDERR_READ,2);
execve("/home/input2/input", argv, envp);
}
printf("link\n");
/*4*/
FILE *fp=fopen("\x0a","wb");
if(!fp)
{
perror("Can not open file.");
}
printf("Open file success.\n");
fwrite("\x00\x00\x00\x00",4,1,fp);
fclose(fp);
/*5*/
sleep(2); // wait the server start
int sockfd;
char buf[10] = {0}; // buf to be sent
int len; // len of avail buf
struct sockaddr_in servaddr;
servaddr.sin_family = AF_INET;
servaddr.sin_port = htons(9999); // port in argv['C']
servaddr.sin_addr.s_addr = inet_addr("127.0.0.1"); //local
if( (sockfd = socket(PF_INET, SOCK_STREAM, 0)) < 0 )
{
perror("socket error.");
exit(1);
}
if ( connect(sockfd, (struct sockaddr*) &servaddr, sizeof(servaddr)) < 0 )
{
perror("connect error.");
exit(1);
}
printf("socket connect.\n");
strcpy(buf, "\xde\xad\xbe\xef");
len = strlen(buf);
send(sockfd, buf, len, 0);
close(sockfd);
return 0;
}
success.png
