protostar_format1

 

我们objdump试一下这个目标文件：

 

所以，target的位置是：0x08049638

我们要改变这个内存的地址！

 

printf函数中有%n这一格式，把输出的字符串长度放到一个内存中！

这一段程序的运行结果是len的值被赋成11.

 

回到本level，在调用printf函数之前，作为参数，char * string 已经存在栈中了，它指向了main函数的第一个参数的位置！

所以，这个字符串也在栈中，而且在高地址！

而如果我们在string是 “%x"，那么就会把printf函数参数上面的4个字节按照%x的方式打印出来，

如果再加上一个%x，又会打印一个！所以：

 

我们看中间有两个 eeeeee00 2e7825ee，我们打印的eeeeeeee就在这里！后面相似的循环字符就是200个%x.

为了让他对齐，我们需要加上1个字符！

 

所以～找到字符串的位置，用%n来把这个地址改为不为0的值，nice啊

 

 

 

来自为知笔记(Wiz)

转载于:https://www.cnblogs.com/ydfr/p/3239386.html