【Root-Me】 ELF x86 - Stack buffer overflow basic 1

CTF

原创

发布日期: 2019-05-01

更新日期: 2024-12-17

文章字数: 897

阅读时长: 3 分

阅读次数:

来源：Root-Me
题型：App-System
题目：ELF x86 - Stack buffer overflow basic 1
分数：5 Points

解题思路

水题。

登录靶机后，在当前目录发现 3 个文件：

.passwd ：明显是目标文件，但是还没有权限打开
ch13 ：由 ch13.c 编译而成的脚本文件，且其 owner 具备 S 位权限
ch13.c ： ch13 脚本的源文件，只是让我们看一下源码，知道其作用是当变量 check==0xdeadbeef 时，就帮当前用户进行提权

那么这题的切入点就在于如何令变量 check 的值变成 0xdeadbeef 实现当前用户提权，再读取 .passwd 文件。

分析过程

首先来分析一下源码（分析要点我用注释进行标记了）：

#include <stdlib.h>
#include <stdio.h>

/*
gcc -m32 -o ch13 ch13.c -fno-stack-protector
*/


int main()
{

  int var;
  int check = 0x04030201;        // 初始值是方便让我们对比有没有成功修改了 check 的值
  char buf[40];        // 注意到 数组buf 与 变量check 是相邻的，即它们的内存地址是连续的

  // 数组buf 长度只有 40，但这行代码却从标准输入流读取 45 个字符
  // 明显是在暗示可以通过 内存溢出 的方法覆写 变量check 的值
  fgets(buf,45,stdin);

  // 这两行输出是让我们确认 内存溢出 的结果的，真贴心
  printf("\n[buf]: %s\n", buf);
  printf("[check] %p\n", check);

  if ((check != 0x04030201) && (check != 0xdeadbeef))
    printf ("\nYou are on the right way!\n");

  if (check == 0xdeadbeef)
   {
     printf("Yeah dude! You win!\nOpening your shell...\n");
     system("/bin/dash");
     printf("Shell closed! Bye.\n");
   }
   return 0;
}

为了可以准确地通过 内存溢出 覆写变量 check ，首先需要知道 fgets 的特性，这是 API 说明：

// fgets 会从  stream 读取 n-1 个字符存储到 s 指针指向的内存块，最后末尾自动补 \0
// 若 stream 的前 n-1 个字符中有换行符 \n，则读取到 \n （包括 \n），最后末尾自动补 \0
// 读取字符的数量只取决于这两个条件，与 s 指向的内存区（如数组）的长度无关
char *fgets 会从 (char *restrict s, int n, FILE *restrict stream);