格式字符串攻击 - 如何打印 argc 值？

Question

我正在处理 C 中的格式字符串漏洞，我正在尝试通过终端中给出的 printf 命令打印“argc”整数的值。

我当前的代码是：

int main (int argc, char **argv) {

char buffer[32];

*More variables*

strncpy(buffer, argv[1], sizeof(buffer));
printf(buffer);

*More printf's*

}

我可能需要使用格式说明符将整数 argc 的内容打印到终端中，但我似乎找不到解决方案。我所有的猜测都得到了我所有的 argv 堆栈寄存器（%rsi、%rdx、%rcx、%r8d、%r9d）。

格式字符串应在终端中给出，如下例所示：

./format-string %d_%s

是否可以获取 argc 值？如果是，我该怎么做？

Answer 1

我试图在评论中要求澄清一些问题，但您没有回答，所以我假设您在符合 SYS V x86-64 ABI 的环境中工作。

当main 被调用时，argc 在rdi 中，但它很快被strncpy 和printf 本身的调用覆盖：

main:
    sub     rsp, 40
    mov     rsi, QWORD PTR [rsi+8]
    mov     edx, 32
    mov     rdi, rsp                 ;OOOPS
    call    strncpy

    mov     rdi, rsp                 ;OOOPS
    xor     eax, eax
    call    printf
    
    xor     eax, eax
    add     rsp, 40
    ret

上面的代码是compiled output of your sample program（清理后）。

但是，SYS V x86-64 ABI 上的glibc 本身不会合成argc（就像Windows 的对应项必须做的那样，参见GetCommandLine 和类似的），这个值作为第一个值传递创建程序时在堆栈上（参见 ABI 规范的图 3.9）。

因此，您可以使用%d 格式跳过第一个 k - 1 个参数，即使用 %k$d 其中 k 来使用 printf是要找到的数字。

要查找k，您只需找到调用printf 时rsp 与argc 的地址之间的偏移量。
但由于在创建进程时argc 位于堆栈底部，这等于在printf 的调用处找到rsp 与rsp 的初始值之间的偏移量 >.

所以使用 gdb：

gdb --args format-string test
   b _start
   r
   i r rsp
     0x7fffffffdfa0   The initial value of RSP
   b printf
   c
   i r rsp
     0x7fffffffd9d8 The value AFTER printf is called. Add 8 to find it BEFORE the call
   q

现在 0x7fffffffdfa0 - (0x7fffffffd9d8 + 8) = 0x110

0x110 字节是 34 个参数（0x110/8 = 0x22），由于前四个参数在寄存器中，我们也需要跳过它们，加上 4。 最后，计数是基于 1 的并且包含差异，因此我们需要将 2 加到计数中。 最终值是，对于我的示例环境，34 + 4 + 2 = 40，导致命令：

./format-string '%40$d'

Answer 2

printf 正在使用系统 v x86-64 位 ABI，该 ABI 声明函数的所有参数都将在寄存器 rdi、rsi、rdx、rcx、r8、r9 中传递，然后进一步对参数进行赋值（如果存在）将传递到堆栈中反向顺序，因此在您的情况下，您将需要传递多个%p（取决于堆栈中已经存在多少数据），我们使用%p，因为我们希望将数据打印为64位值。简而言之，将多个%p 传递给 printf 将首先查看寄存器，然后查看存储在堆栈中的参数（从内存中读取）。 所以

%p%p%p%p%p%p%p%p%p  /* will print registers values first extra %p will start to read up from stack (feel free to add as you want but keep in mind it will result in segmentation fault eventually if reached a specific area in memory but not sure when)*/

Answer 3

%d 用于整数，%s 用于字符串

#include <stdio.h>

int main (int argc, char **argv) 
{
    char buffer[32] = {0};
    strncpy(buffer, argv[1], sizeof(buffer));
    printf("argc = %d and argv[1] = %s\n", argc, buffer);
    return 0;
}