c - 覆盖返回地址简单格式字符串利用

Question

是的，已经存在很多类似的问题(5037601、19166698、4855162、14505995、5052648、13409508、7745146、7459630；抱歉，超过 2 个链接的代表不足)，是的，有一些很好的文章解释这种事情(click，click，http://codearcana.com/posts/2013/05/02/introduction-to-format-string-exploits.html)。我读过它们，我想我已经了解了大概的想法，但我仍然未能成功利用我能想到的最简单的训练玩具示例。

#include <stdio.h>

void f(char* a)
{
    printf("a: %p\n", &a);
    printf(a);
    return;
}

void main(int argc, char** argv)
{
    f(argv[1]); //please ignore the lack of any check
    return;
}

是的，堆栈是可执行的，是的，内存布局随机化被禁用。每次执行都会给我相同的地址 a .例如我可以喂它$ ruby -e 'print "AAAA"+("%08x."*16)' ，结果是:

a: 0xbfffece0
AAAAbfffece0.bfffecf0.b7fd7ff4.00000000.00000000.bffffcf8.080484b0.bfffecf0.00000fff.b7fd8420.00000000.41414141.78383025.3830252e.30252e78.252e7838.

所以现在我可以看到我的输入在内存中的最终位置。我可以用 $ ruby -e 'print "12345%n"+("%08x."*16)' 向堆栈写入一个值，结果是:

a: 0xbfffece0
12345bfffecf0.b7fd7ff4.00000000.00000000.bffffcf8.080484b0.00000005.00000fff.b7fd8420.00000000.34333231.256e2535.2e783830.78383025.3830252e.30252e78.

显然，我的最终目标大概是 <something><NOPs><shellcode> , 其中<something>覆盖 f 的返回地址这样程序就会跳入 NOP sled 并执行 shellcode。但是保存的返回地址的地址现在似乎取决于我的输入，对吧？类似于 0xbfffece0 - len(input) - 12 的东西，假设一个 12 字节的序言？也许这个例子毕竟不是最简单的......

我越来越糊涂了。有什么想法吗？

Answer 1

另一个想法是使用美元符号:%<distance>$n .

引自 Linux 的 printf 联机帮助页:

One can also specify explicitly which argument is taken, at each place where an argument is required, by writing "%m$". Where the decimal integer m denotes the position in the argument list of the desired argument, indexed starting from 1. Source

示例: %5$n将写入堆栈顶部的第 5 个地址。