re题（Interesting Pointer）

链接：https://pan.baidu.com/s/1tprcq29ZHEIz3ZT9-ndM1g

提取码：avy6

 用ida打开

 

 

这是主要的代码

 

Func0= v3 = *(4 * a2 + a1);

 *(a1 + 4 * a2) = *(4 * a3 + a1);

 *(a1 + 4 * a3) = v3;

 

Func1=4 * a2 + a1) + *(4 * a3 + a1)) -abs(*(4 * a3 + a1)) - abs(*(4 * a2 + a1)) + 2;

Func2=abs(*(4 * a3 + a1)) - abs(*(4 * a3 + a1)+ *(4 * a2 + a1)) + abs(*(4 * a2 + a1)) + 2;

如果没换顺序

V10=func1(&v8,1,2)= abs(v9+v10) - abs(v10)- abs(v9) + 2;

V11= func2(&v8,2,3)= abs(v11) - abs(v11+v10) + abs(v10) + 2=0;

很容易想如果v9=-1,v10=2或者v9=2,v10=-1的话结果等于0，但是要令v11为0就非常困难

 

所以可以用func0来交换func1和func2顺序

int v8; // [esp+30h] [ebp-34h]

int (__cdecl *v15)(int, int, int); //[esp+4Ch] [ebp-18h]

int (__cdecl *v16)(int, int, int); //

[esp+50h] [ebp-14h]先调用fun0

算得func1偏移量为7，func2偏移量为8

所以只要溢出到v12=7，v13=8，(4 * a2 + a1)就变为func1的地址，(4 * a3 + a1)就变为func2的地址，然后调用func0就变成交换func1和func2的地址了。

 

V9= func0(&v8,7,8);v9=1,v12=1,v13=2

V10=func2(&v8,1,2)= abs(v10) - abs(v10

+v9) + abs(v9) + 2; v10=不知道,v12=2,v13=3

V11=func1(&v8,2,3)= abs(v10+v11) - abs(v11)- abs(v10) + 2=0;

 

所以只要v9，v10都大于等于0，v10就等于2，v11=-1就可以得到v11=0

-1十六进制为FFFFFFFF，然后就可以构造data文件的数据了

 

（除了最后三个v11,v12,v13，其他都可以随意构造）