2025-11-25-BOF

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void func(int key){
        char overflowme[32]; // 32位元缓冲区
        printf("overflow me : ");
        // 这里没有限制长度，随便溢
        gets(overflowme);       // smash me!
        
        // buffer只有32字节，但后面还有：
        // 12字节 saved EBP（4字节）+ saved EIP（4字节）+ main传的key参数（4字节）
        // 所以从overflowme[0]到key总共：32 + 4 + 4 + 4 = 44字节



        // 为什么是52字节A而不是44？
        // 因为有Stack Canary！
        // key这个局部变量就在栈上，我们得精确覆盖成0xcafebabe。
        /// 检查key是否为0xcafebabe
        if(key == 0xcafebabe){
                setregid(getegid(), getegid());
                system("/bin/sh");
        }
        else{
                printf("Nah..\n");
        }
}
int main(int argc, char* argv[]){
        func(0xdeadbeef); // 初始key值不是0xcafebabe
        // 正常结束程序
        // 溢出后覆盖修改key值为0xcafebabe
        // func(0xcafebabe);
        return 0;
}

char overflowme[32];
gets(overflowme);