c - 格式化字符串攻击 - 跳转到 x64 上的 shell

Question

如何在启用 NX 的 64 位系统上利用 printf 格式字符串漏洞？

在这个代码示例中，您可以做什么来获得一个 shell？

void f(char *buf) {
  printf(buf);
  exit(0);
}

int main() {
  char buf[1024];
  scanf("%1024s", buf);
  f(buf);
  return 0;
}

我认为，由于 NX 和缺乏明显的跳转位置(代码中的任何地方都没有 execve(/bin/bash...)，它必须返回到- libc 攻击，但跳转到哪里？

我相信可以覆盖 exit 的 GOT 条目以跳转到任意位置，例如 execve 或 system，但是如何在寄存器中设置适当的参数？在二进制文件中搜索 ROP 链并跳转到那里？

或者是否有其他方法可以从中获取 shell？

Answer 1

最重要的是你自己说过，现在大多数 printf 函数都不支持用于利用格式字符串的 %n 标记，因此攻击技术是有点死了。

在今天的场景中，它很可能无法利用。因此，除非这是格式字符串利用或捕获标志类型的练习，否则我建议您关注更多最新的利用技术。