虚拟机环境以及IDE

VMware16
win xp sp3
vc6

题目代码解析

#include "stdafx.h"
#include<stdio.h>

void getFlag()//flag的位置
{
	printf("flag is here\n");
}
void foo(int num)//num为我们所需要去修改的变量
{
//num初始值0x12345678
	int result;
	char s;
	gets(&s);//gets有了输入的空间，栈溢出的漏洞在此
	result = puts(&s);
	//获取s内存地址并打印，会打印s存储数的十进制，result会变成0
	//result变成0会在文末解释，与本题关系不大
	if(num == 0x61616161)//当num==0x61616161的时候执行flag
	{
		getFlag();
	}
	else{
		
		puts("wrong flag");
	}
}
int main()
{
	setbuf(stdin, 0);
	setbuf(stdout, 0);
	setbuf(stderr, 0);
	//大部分pwn题都会有这个函数，用来设置IO缓冲区的，
	//第一个参数是文件流，第二个参数表示缓冲区，
	//一般在pwn题中的用法是setbuf(stdin, 0)表示标准输入取消缓冲区。
	puts("so, can u find flag?");
	foo(0x12345678);
	return 0;
}

关于setbuf作用的部分详情请参考
CTF PWN 题之 setbuf 的利用

思路

从代码分析看来，此题思路清晰，通过对s 的输入，gets不限制输入的长度造成栈溢出从而可以改变num 的值为0x61616161来达到判断通过的效果

实验步骤

1.打开虚拟机win-xp，在vc6里把代码输入

关于vc6的工程创建以及代码调试具体操作请参考我上一篇文章的内容：

网络安全实验一，栈溢出，数组溢出输出why u r here?!

在这里插入图片描述

代码附上：

// flag.cpp : Defines the entry point for the console application.
//

#include "stdafx.h"
#include<stdio.h>

void getFlag()
{
	printf("flag is here\n");
}
void foo(int num)
{
	int result;
	char s;
	gets(&s);
	result = puts(&s);
	if(num == 0x61616161)
	{
		getFlag();
	}
	else{
		
		puts("wrong flag");
	}
}
int main()
{
	setbuf(stdin, 0);
	setbuf(stdout, 0);
	setbuf(stderr, 0);
	puts("so, can u find flag?");
	foo(0x12345678);
	return 0;
}

2.调试断点设置

由于已经明确了漏洞在foo函数里，我们可以直接跳过main在foo函数里设置断点要方便些
在这里插入图片描述

然后就可以进入调试模式了

3.开始调试代码

在这里插入图片描述

执行到输入的时候按钮会变灰，此时需要调出黑框框进行输入

在这里插入图片描述

?我们先随便输入一个字符‘a’来看看是啥情况（s是char类型，只占1个字节，但实际上程序里给它分配了4个字节可能是为了补齐），前面已经有result声明了，我们在后面重新加一个

char x;

然后重新运行调试并进行变量监视：

在这里插入图片描述

我们可以看到result和x两个变量的地址分别是0x0012ff24和0x0012ff1c，把s的0x0012ff20夹在中间的，分别占据4个字节，char占4个字节可能是对齐限制

同时，从上图我们也能看到num的位置处于0x0012ff30，我们可以得知s和num的距离相差16个字节，：
在这里插入图片描述

0012FF3C位置存储的是寄存器ebx的值7FFD8000
0012FF28存储的是0012FF80是一个寄存器的值，在局部变量高地址的地方
0012FF30位置存储的是12345678，也就是foo传给num的0x12345678，在28个字节以内我们都可以进行自由修改，至于空出来的部分是什么暂时不得而知，但在其他代码中，7FFD8000前都会有8个字节的空余

我们可以退出调试，在输入界面输入28个a进行测试看看是否有影响