Уязвимость форматной строки printf() и не только, работает ли на x64 системах?

Question

[GlowMan]

Если да, есть одекватные примеры как это должно быть реализовано ? Так как у меня не выходит сделать это правильно. Зарание спасибо.

Comments

[jcmvbkbc]

Работает на x64 системах и не только.

[GlowMan]

jcmvbkbc, ну просто не могу найти нормального примера чтоб посмотреть что я не так делаю и как правильно делать, поэтому и подумал может это уже не работает, а вы не могли бы скинуть пример этого ?

[jcmvbkbc]

посмотреть что я не так делаю

DoYouGot, покажите, что вы делаете, и что идёт не так.

[Roman]

DoYouGot, https://security.stackexchange.com/questions/15591...

[GlowMan]

jcmvbkbc,

Answer 1

[Тарас Фомин]

Код:

#include <stdio.h>

void fn() {
  // Засовываем в стек массив указателей на секретную строку
  char *s[128];
  for (int i = 0; i < 100; ++i) {
    s[i] = "THIS IS A SECRET";
  }
}

int main(int argc, char *argv[]) {
  // Вызываем функцию, которая кладет в стек секретные строки
  fn();

  // А теперь вызываем обычный printf с параметром формата, взятым из первого аргумента командной строки
  printf(argv[1], "just a string");

  return 0;
}

$ uname -a
Linux tarik02 4.4.0-17763-Microsoft #55-Microsoft Sat Oct 06 18:05:00 PST 2018 x86_64 x86_64 x86_64 GNU/Linux

$ gcc -dumpmachine
x86_64-linux-gnu

$ gcc main.c -o main

$ ./main "%s"
just a string

$ ./main "%s %s"
just a string THIS IS A SECRET

Следует обращать внимание, каким компилятором собран код, какая реализация libc используется, на какой OS запускается. В моём случае можно видеть Ubuntu (на WSL).

Comments

[GlowMan]

Ну в данном примере вы увеличили шанс попасть на нужный адрес строки, но смысл заключается в том чтоб найти начало той строки которую вы ввели чтобы допустим можно было ввести адрес и тем саммым при помощи %n записать в него значение контролируя ширной %x Как именно это сделать ?

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>

int target;

void vuln(char *string)
{
  printf(string);
  
  if(target) {
      printf("you have modified the target :)\n");
  }
}

int main(int argc, char **argv)
{
  vuln(argv[1]);
}

Так как в этой задаче нужно перезаписать target