这题考察Linux的各种输入:参数,标准输入输出,环境变量,文件输入输出,socket
解题时用了python的subprocess(用法见我的上一篇博客),做这题挺时间的,题目的各种坑点,我会在后面一一指出
题目源代码:(为了方便本地调试,在源码里加了debug用的put("ok");)
<span style="font-family:Microsoft YaHei;font-size:18px;">#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/socket.h>
#include <arpa/inet.h>
int main(int argc, char* argv[], char* envp[]){
printf("Let's see if you know how to give input to program\n");
printf("Just give me correct inputs then you will get the flag :)\n");
// argv
if(argc != 100) return 0;
puts("ok");
if(strcmp(argv['A'],"\x00")) return 0;
puts("ok");
if(strcmp(argv['B'],"\x20\x0a\x0d")) return 0;
puts("ok");
printf("Stage 1 clear!\n");
// stdio
char buf[4];
read(0, buf, 4);
if(memcmp(buf, "\x00\x0a\x00\xff", 4)) return 0;
puts("ok");
read(2, buf, 4);
if(memcmp(buf, "\x00\x0a\x02\xff", 4)) return 0;
puts("ok");
printf("Stage 2 clear!\n");
// env
if(strcmp("\xca\xfe\xba\xbe", getenv("\xde\xad\xbe\xef"))) return 0;
puts("ok");
printf("Stage 3 clear!\n");
// file
FILE* fp = fopen("\x0a", "r");
if(!fp) return 0;
puts("ok");
if( fread(buf, 4, 1, fp)!=1 ) return 0;
puts("ok");
if( memcmp(buf, "\x00\x00\x00\x00", 4) ) return 0;
puts("ok");
fclose(fp);
printf("Stage 4 clear!\n");
// network
int sd, cd;
struct sockaddr_in saddr, caddr;
sd = socket(AF_INET, SOCK_STREAM, 0);
if(sd == -1){
printf("socket error, tell admin\n");
return 0;
}
puts("ok");
saddr.sin_family = AF_INET;
saddr.sin_addr.s_addr = INADDR_ANY;
saddr.sin_port = htons( atoi(argv['C']) );
if(bind(sd, (struct sockaddr*)&saddr, sizeof(saddr)) < 0){
printf("bind error, use another port\n");
return 1;
}
puts("ok");
listen(sd, 1);
int c = sizeof(struct sockaddr_in);
cd = accept(sd, (struct sockaddr *)&caddr, (socklen_t*)&c);
if(cd < 0){
printf("accept error, tell admin\n");
return 0;
}
puts("ok");
if( recv(cd, buf, 4, 0) != 4 ) return 0;
puts("ok");
if(memcmp(buf, "\xde\xad\xbe\xef", 4)) return 0;
printf("Stage 5 clear!\n");
// here's your flag
system("/bin/cat flag");
return 0;
}
</span>
没有什么技巧,照着源码的要求,一步一步构造输入即可。
直接贴出py脚本:
<span style="font-family:Microsoft YaHei;font-size:18px;">from subprocess import *
import os
import socket
import time
stdinr, stdinw = os.pipe()
stderrr, stderrw = os.pipe()
# stage1 arg
args = list("A" * 99)
args[ord('A') - 1] = ""
args[ord('B') - 1] = "\x20\x0a\x0d"
args[ord('C') - 1] = "8888"
#stage2 std io
os.write(stdinw, "\x00\x0a\x00\xff")
os.write(stderrw, "\x00\x0a\x02\xff")
#stage3 env
environ = {"\xde\xad\xbe\xef":"\xca\xfe\xba\xbe"}
#satge4 file o
f = open("\x0a", "wb")
f.write("\x00"*4)
f.close()
#satge5 network io
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
proc = Popen(["/home/input2/input"] + args, stdin=stdinr, stderr=stderrr, env=environ)
time.sleep(2)
s.connect(("127.0.0.1", 8888))
s.send("\xde\xad\xbe\xef")
s.close()</span>
下面说一下比较坑的点,由于在/home/input这个目录下没有权限创建新文件,所以需要把脚本放在/tmp去执行,stage4创建文件的操作也需要在tmp下进行
但是源码 system("/bin/cat flag"); 中使用的是相对路径,所以还需要对flag进行连接
<span style="font-family:Microsoft YaHei;font-size:18px;">$ cd /tmp #更换目录
$ touch a.py #创建脚本
$ ln -s /home/input2/flag ./flag #软连接flag
$ python a.py</span>
跑完脚本之后显示stage1-5全都通过,但是就是没有弹出flag,于是把之前连接来的flag删掉,自己随便写了一个flag文件,发现是可以弹出来的
猜想可能是文件权限的问题,看了一下,发现/tmp文件夹的r权限关掉了,但是w权限还在
于是在/tmp下新建一个文件夹,把脚本放在这个文件夹里执行
<span style="font-family:Microsoft YaHei;font-size:18px;">$ mkdir -p /tmp/input
$ ln -s ~/flag ./
$ touch a.py
$ python a.py
</span>
get it √