4번 문제와 동일한듯 합니다만 마지막 부분에 buffer hunter라 해서 buffer를 초기화 하는 부분이 추가되어 있습니다.
하지만 초기화하는 크기가 40으로 고정되어 있으므로
길이가 40보다 길면 뒷쪽 부분은 초기화가 되지 않은채 남아있습니다.
argv[1]의 48번째 값을 0xbf로 맞춰주고
shell code를 ret 뒤쪽 부분에 넣어두면 초기화 되지않고 공격할 수 있습니다.
Stack 구조
Low addr
|
buffer (40-byte)
|
|
sfp (4-byte) |
|
ret (\x00\x00\x00\xbf)
|
|
shell
|
High addr
shell code가 올라가는 주소를 찾기 위해 임시로 컴파일한 파일을 gdb로 열어봅니다.
strcpy 함수 위에 있는 main+184에 Break point를 걸고 edx를 확인해 보겠습니다.
실행할 때 ret 주소값이 0xbf로 시작하게 반드시 맞춰줘야 합니다.
shell code가 들어갈 주소는 0xbffffc02 입니다.
nop slide를 채우고 뒤에 shell code를 넣은 뒤 slide 중간쯤에 return 해주면 됩니다.
공격에 성공했습니다.
