Решение задания с pwnable.kr 03 — bof. Переполнение буфера в стеке

В данной статье разберем такой тип уязвимости, как переполнение буфера в стеке, и решим 3-е задание с сайта pwnable.kr.

Переполнение буфера

Переполнение буфера — уязвимость в компьютерных программах, основанная на возможности записи данных за пределами выделенного в памяти буфера, возникающая, как правило, из-за неконтролируемых получения и обработки данных извне. Использование языками высоко уровня технологии стекового кадра ведет к смешиванию управляющих данных и данных программы.

В данной статье разберем только переполнение буфера в стеке. Данный вид переполнения буфера известен как Stack smashing и может эксплуатироваться следующими способами:

• перезапись локальной переменной, находящейся в памяти рядом с буфером;
• перезапись адреса возврата в стековом кадре;
• перезапись указателя на функцию или обработчик исключений;
• перезапись параметра из другого стекового кадра.

В данном задании применяется метод перезаписи локальной переменной. Рассмотрим его суть на следующем примере:

#include <stdio.h>
#include <string.h>

int main(){
        char pass[9] = "p@ssw0rd\x00";
        char buf[9];
        printf("Input password: ");
        scanf("%s", buf);
        if(!strcmp(pass, buf)) 
                printf("Login ok!!!\n");
        else 
                printf("FAIL...\n");
        return 0;
}

Так как переменная pass определена раньше, переменная buf, то ее возможно переполнить. Если ввести в buf больше, чем 9 байт, то они перепишут данные в переменной pass. Таким образом возможно “изменить” пароль на свой, передав программе, к примеру, такую строку 11111111\x0011111111\x00.

Решение задания bof

Нажимаем на иконку с подписью bof, и нам предоставляют исходный код, саму программу, а также адрес и порт для TCP-соединения.



Давай просмотрим исход код.



Из кода следует, что программа принимает строку, но сравнивает уже изначально зашитый ключ с контрольным значением. Но так как ввод не контролируется, а ключ определен раньше нашего буфера, мы можем переполнить буфер и перезаписать ключ. Для этого необходимо определить взаимное расположение переменных в памяти.

Для анализа программы я буду использовать Cutter. Откроем Cutter, укажем путь к исполняемому файлу.







Cutter отправляет нас сразу в точку entry. В списке функций выбираем main.



В main видим вызов нашей функции, откроем ее, выполнив двойной клик по названию функции.



Перед кодом функции имеется комментарий, где отражаются используемые в функции переменные и их адреса относительно базы текущего кадра стека (ebp). Как можно определить, наш буфер — это переменная var_2ch, а ключ — arg_8h.





Вычислим, сколько байт нам нужно перезаписать. Для этого достаточно найти разницу между адресами.



Таким образом нам нужно послать программе 0x34 любых байта, а потом дописать эталонное значение для примера. Для удобства я использую библиотеку pwntools.

from pwn import *

conn = remote('pwnable.kr', 9000)

payload = 'A' * 0x34
payload += '\xbe\xba\xfe\xca'

conn.send(payload)

conn.interactive()

Получаем шелл и просматриваем флаг.



Как результат, получаем свои очки.



В данной статье мы рассмотрели пример эксплуатации переполнения буффера в стеке, познакомились с инструментом Cutter и библиотекой pwntools. В следующей статье поговорим об упаковке исполняемых файлов и решим четвертое задание. До встречи в следующих статьях.