pwnable.kr passcode

期末考考得差不多了，虽然还在实训，但还是能抽出点时间来更新下博客。

前一段时间看到有人推荐一个网站，pwnable.kr，我做了一下里面的题，感觉蛮有趣的，主要是跟二进制有关，涉及操作系统底层的东西多一些。虽然网上有很多的 write up，在没思路的时候我也会去看看人家写好的 write up，但是总是觉得他们写的不够详细，我就想把详细的解题思路记录下来，方便自己以后回来看并希望对这方面有兴趣的朋友们提供一些些帮助。

这篇文章写的是 pwnable.kr 里的第五题，别的题我也做了一些，以后慢慢补，这题刚做完，就先写这题。

题目描述是这样的：

用 ssh 连接一下，看看目录下有什么

可以看到有三个文件，其中 flag 只对创建者 passcode_pwn 和 root 可读，而我们登录的用户是 passcode（从连接时的用户名或使用 whoami 命令可以得知），因此是没有权限读这个文件的。passcode 对有所有用户都开放读和执行权限，而且留意到权限里面有 s，因此普通用户在执行这个文件时会被赋予 root 权限。最后一个文件是 passcode 的源代码，这是分析程序执行逻辑的关键。

首先先运行一下 passcode

可以看到需要输入一个用户名和两个密码。

再来看看源码

通过源码我们知道 main 函数先后调用了 welcome 和 login 这两个函数，其中在 welcome 函数中输入用户名，在 login 中输入两个密码。

细心一点可以发现，在 login 函数调用 scanf 的时候，对参数没有取址的操作！那我们输入的数据保存到哪里去了呢？谁也不知道，因为 passcode1 和 passcode2 没有被初始化，我们只知道 scanf 把数据保存到 passcode1 和 passcode2 中的值指向的那个地址里去了。

分析到这里，就想到一个思路，如果能控制 passcode1 或者 passcode2 的值，把它们的值变成一个地址，那在输入的时候不就相当于往这个地址写东西了吗！

gdb 调试一下，看看各个变量的地址

首先在各个函数起始的地方下个断点

让程序跑起来，看看每个函数执行的汇编指令

main 函数

welcome 函数

login 函数

指令有点多，挑重点。main 函数不管，先看 welcome 函数，对照着源代码，可以知道 name 的地址是 -0x70(%ebp)，即 %ebp - 0x70，再看 login 函数，同样对照源代码，知道 passcode1 的地址是 -0x10(%ebp)，即 %ebp - 0x10，passcode2 的地址是 -0xc(%ebp)，即 %ebp - 0xc。注意这两个函数的 %ebp 是不一样的，但是由于这两个函数是由 main 函数同步调用的而且它们的参数个数一样多（都是 0 个），所以在数值上两个函数的 %ebp 是相等的。关于函数堆栈，参见我的另一篇文章

通过计算可以知道，name 的地址比 passcode1 的地址低 96 个字节（0x70 - 0x10 = 96），name 的地址比 password2 的地址低 100 个字节（0x70 - 0xc = 100），而我们可以控制的 name 刚好能够到 100 个字节，也就是说，我们刚好能够控制 passcode1 的值而刚好不能控制 password2 的值。

既然能够控制 passcode1 的值，那我们就可以把它改写成某个地址，然后在输入 passcode1 的时候输入我们想要执行的指令地址，那在调用完 scanf 之后，passcode1 指向的地址就是我们的想要执行的指令了。举个例子，如果通过将 name 的最后四个字节写成 plt 中 printf 函数的地址，再在输入 passcode1 的时候输入 login 函数的地址，那再这之后再次调用 printf 函数时实际上执行的就是 login 函数了。

这里我们要输出的是 flag 的内容，看到 login 函数中调用了 system 函数来输出 flag 的内容，前面提到，普通用户在运行这个程序的时候会被暂时赋予 root 权限，所以直接调用这个 system 函数是可以输出 flag 中的内容的。因此，我们可以把 name 的最后四个字节写成 plt 中 printf 函数的地址，即 0x08048420，然后再输入 passcode1 时输入调用 system 函数的地址，即 0x080485e3（注意函数调用前还有给参数赋值等初始化操作，因此这个地址在 call system 语句的前面一点点），这样实际上相当于在执行 printf("enter passcode2 : "); 语句时执行的是 if 中的 system("/bin/cat flag"); 语句了。

这里用 readelf -r ./passcode 查看程序的 plt

可以看到 printf 的偏移是 0x0804a000

用 python 生成 payload 并作为程序的输入
python -c "print 'A' * 96 + '\x00\xa0\x04\x08' + '134514147\n'" | ./passcode
得到结果