攻防世界-pwn-实时数据监测
1.ida查看代码
程序很简单
利用imagemagic()中的printf()的漏洞来达到目的
2.查看保护机制
什么都没有开
3.知识点
格式化字符串漏洞
例子
printf("aa%16$n")
32位程序时
会向栈地址为esp+15中的地址addr所指向的内存单元写入2
因为aa表示了两个字节所以向[addr]中 写入2
若想写入15 则可以利用
printf("a*15%16$n") or printf("15x%16$n")
来向栈地址为esp+15中的地址addr所指向的内存单元写入0xf
64位程序时
由于函数调用时会使用寄存器传递参数，所以利用%p 来看你想要改变的内存的地址在栈中的位置
4.编写脚本
我们由ida可知key=0x804a048，并且当key的数据为0x2223322时，会自动执行system("/bin/sh")
于是我们利用了格式化字符串漏洞
通过format="%x %$n"的组合向特定的内存地址写入数据
5.结果
6.注意
由于%35795746x比较大 所以程序会运行一会，请耐心等待一分钟左右。