另类格式化字符串漏洞

这篇主要介绍的是spritf函数引起的格式化字符串漏洞总体的利用方式和printf是一样的

先来看一下sprintf函数的用法其一共有三个参数在不使用格式化字符的情况下第三个参数可有可无

#include<stdio.h>
void vuln(){
    char buf[0x20];
    sprintf(buf,"hello\n");
    printf(buf);
}
int main(){
    vuln();
}

主要的作用就是把hello这个字符串读入到buf数组变量中来看一下运行的结果

如果使用上格式化字符

#include<stdio.h>
void vuln(){
    char buf[0x20];
    char a[0x20] = "hello";
    sprintf(buf,"%s\n",a);
    printf(buf);
}
int main(){
    vuln();
}

这里可能会误解为传入到buf中的值是%shello 随后是给予printf函数利用格式化字符串输出其实不然这里替换成puts来试一下

#include<stdio.h>
void vuln(){
    char buf[0x20];
    char a[0x20] = "hello";
    sprintf(buf,"%s",a);
    puts(buf);
}
int main(){
    vuln();
}

断点打在sprintf函数这里来看一下

来看执行后0x7fffffffe050地址的值会被赋值成什么

由此可见这里的格式化字符实际是决定vararg参数存储的类型如果我们替换成%p呢

印证了猜想那么%n呢这个printf最强大的漏洞可以做到任意地址写任意值在这里是否奏效呢

#include<stdio.h>
void vuln(){
    char buf[0x20];
    sprintf(buf,"a%7$n");
}
int main(){
    vuln();
}

不同于其他格式化字符 %n在sprintf就可以起到任意写的作用同时又和printf一样默认是修改4个字节如果想要修改8字节就需要lln

如果我们修改蓝框中的值使其占满8字节再来覆盖看看

本质还是和printf差不多在关键的任意写这块漏洞利用上