c - Linux 夺旗编程难题

Question

我对Linux很陌生(只知道基本的东西)。我正在尝试在 Linux 虚拟机中完成夺旗 (CTF) 风格的挑战。所以基本上我有一个 C 程序文件和一个标志。我无法访问标志。我可以读取程序文件并运行它。这是 C 代码:

    #include <stdio.h>
    #include <stdlib.h>
    #include <string.h>

    void check () {

    int invalid;
    if (invalid) {
    printf ("Password invalid!\n");

    }

    else{
    printf ("Password accepted!\n");
    system ("/bin/cat flag3");
    }
    }
    void password() {

    char password [200];
    printf ("Enter the password: ");
    scanf ("%s" , password);
    }

    int main () {
    password ();
    check();
    return 0;
    }

我尝试对其进行调试并查看了汇编程序内容，但我无法理解如何捕获密码以便了解标志的内容。我试图通过此链接 http://eliteinformatiker.de/2012/11/16/howto-crack-a-small-c-program-with-assembler 的帮助来破解密码。但我不确定是否可以编辑 C 程序的二进制文件，因为在给定的 C 文件权限中我只能读取它而不能写入它。所以我想如果我不能修改c文件我该如何修改它的二进制文件(也许我错了)。此时我有点卡住了，我尝试过调试它，查看了程序集内容，但我不确定是否可以编辑二进制文件。我不确定采取什么方法来捕获标志？

Answer 1

免责声明:我使用的是 Ubuntu-12.04 和 gcc-4.8.-2 以及 gdb-7.7.1 调试器。

我在调试器下执行了程序，直到输入check并单步执行到if。然后我反汇编了代码并查看了程序集:

(gdb) disass
Dump of assembler code for function check:
   0x000000000040062d <+0>: push   %rbp
   0x000000000040062e <+1>: mov    %rsp,%rbp
   0x0000000000400631 <+4>: sub    $0x10,%rsp
=> 0x0000000000400635 <+8>: cmpl   $0x0,-0x4(%rbp)
   0x0000000000400639 <+12>:    je     0x400647 <check+26>
   0x000000000040063b <+14>:    mov    $0x400754,%edi
   0x0000000000400640 <+19>:    callq  0x4004e0 <puts@plt>
   0x0000000000400645 <+24>:    jmp    0x400651 <check+36>
   0x0000000000400647 <+26>:    mov    $0x400766,%edi
   0x000000000040064c <+31>:    callq  0x4004e0 <puts@plt>
   0x0000000000400651 <+36>:    leaveq 

我查看了寄存器的值(仅显示重要的值):

(gdb) info reg
    rbp            0x7fffffffdf00   0x7fffffffdf00
    rsp            0x7fffffffdef0   0x7fffffffdef0
    rip            0x400635 0x400635 <check+8>
    eflags         0x206    [ PF IF ]

接下来，我单步执行指令(gdb) ni并重复反汇编并获取eflags的值:

(gdb) disass
Dump of assembler code for function check:
   0x000000000040062d <+0>: push   %rbp
   0x000000000040062e <+1>: mov    %rsp,%rbp
   0x0000000000400631 <+4>: sub    $0x10,%rsp
   0x0000000000400635 <+8>: cmpl   $0x0,-0x4(%rbp)
=> 0x0000000000400639 <+12>:    je     0x400647 <check+26>
   0x000000000040063b <+14>:    mov    $0x400754,%edi
   0x0000000000400640 <+19>:    callq  0x4004e0 <puts@plt>
   0x0000000000400645 <+24>:    jmp    0x400651 <check+36>
   0x0000000000400647 <+26>:    mov    $0x400766,%edi
   0x000000000040064c <+31>:    callq  0x4004e0 <puts@plt>
   0x0000000000400651 <+36>:    leaveq 
   0x0000000000400652 <+37>:    retq   
 End of assembler dump.
(gdb) info reg
eflags         0x206    [ PF IF ]

回想一下，cmp 的工作方式是模拟减法，设置适当的标志，这就是 je 然后使用的。因此，此代码将从 0 中减去 -0x4(%rpb)(适当设置零标志)。如果数字相同，jz 将跳转。

所以我用命令序列修改了标志寄存器:

(gdb) set $ZF = 6
(gdb) set $eflags |= (1 << $ZF)
(gdb) print $eflags
$1 = [ PF ZF IF ]

请注意，零标志现已设置。单个指令集(ni)并看一下反汇编:

(gdb) ni
(gdb) disass
Dump of assembler code for function check:
   0x000000000040062d <+0>: push   %rbp
   0x000000000040062e <+1>: mov    %rsp,%rbp
   0x0000000000400631 <+4>: sub    $0x10,%rsp
   0x0000000000400635 <+8>: cmpl   $0x0,-0x4(%rbp)
   0x0000000000400639 <+12>:    je     0x400647 <check+26>
   0x000000000040063b <+14>:    mov    $0x400754,%edi
   0x0000000000400640 <+19>:    callq  0x4004e0 <puts@plt>
   0x0000000000400645 <+24>:    jmp    0x400651 <check+36>
=> 0x0000000000400647 <+26>:    mov    $0x400766,%edi
   0x000000000040064c <+31>:    callq  0x4004e0 <puts@plt>
   0x0000000000400651 <+36>:    leaveq 
   0x0000000000400652 <+37>:    retq   
End of assembler dump.

它位于 else block 中，您应该会显示该标志。 (请注意，在我的测试程序中，我注释掉了标记该标志的行)。