实验环境、代码、及准备

https://www.cnblogs.com/lqerio/p/12870834.html

vul5

Snprintf函数，百度百科：

将可变个参数(...)按照format格式化成字符串，然后将其复制到str中。

(1) 如果格式化后的字符串长度 < size，则将此字符串全部复制到str中，并给其后添加一个字符串结束符('\0')；

(2) 如果格式化后的字符串长度 >= size，则只将其中的(size-1)个字符复制到str中，并给其后添加一个字符串结束符('\0')，返回值为欲写入的字符串长度。

查阅资料可知：

snprintf(buf, sizeof buf, arg);

snprintf()函数，该函数的作用为将第三个参数生成的格式化字符串拷贝到第一个参数中，拷贝的大小由第二个参数进行设置。并且其会根据格式化字符串的形式进行替换：在遇到格式化字符串参数之前，它会先将字符拷贝，当遇到格式化字符参数时，该函数会对指定的格式化字符进行替换。

%n：将%n之前printf已经打印的字符个数赋值给偏移处指针所指向的地址位置，如%100×10$n表示将0x64写入偏移10处保存的指针所指向的地址（4字节），而%$hn表示写入的地址空间为2字节，%$hhn表示写入的地址空间为1字节

格式参考了：

https://blog.csdn.net/u010517901/article/details/46486341

https://blog.csdn.net/qq_36779888/article/details/89684453

故此次溢出的构造应该是构造合适的arg，从而构造合适的参数（%n），从而修改snprintf函数的返回地址，跳转到payload。

shellcode（构造过程）

原理是运行/bin/sh 来得到shell，构造过程是将具有运行/bin/sh的C代码转换成有相同功能的机器码。注意代码中用到 0 的地方改成用 xor eax,eax，这样可以避免复制字符串时遇到/0 中断。

下面的shellcode长度为45字节（不含/0）

* Aleph One shellcode.

static const char shellcode[] =

"\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"

"\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"

"\x80\xe8\xdc\xff\xff\xff/bin/sh";

exploit5

Gdb /tmp/vul5

Disas foo

0x80484cb 0x80484e3

先构造一个简单的payload，用做测试

gdb -e exploit5 -s /tmp/vul5

catch exec

break *0x80484cb

此时刚刚进入foo，ebp，buf地址分别为

B snprintf

此时disas查看snprintf的汇编

查看此时的，ebp，esp及其内容，可见snprintf没有改变ebp，而esp（0xbffffb2c）指向的是0x80484e8，是snprintf的返回地址(下一条指令)，所以我们只要构造合适的payload，覆盖0xbffffb2c中的返回地址，使其指向我们的payload即可。