CTF PWN实战：从CGfsb看格式化字符串漏洞的任意地址读写艺术

1. 格式化字符串漏洞的本质与危害

我第一次接触格式化字符串漏洞是在2018年参加某次CTF比赛时，当时面对一道看似简单的题目却束手无策。那道题就是利用printf函数的特性来实现任意内存读写，最终获取flag。这种漏洞之所以危险，是因为它打破了程序对内存访问的边界控制。

格式化字符串漏洞的核心在于C语言中printf系列函数的设计缺陷。当程序员错误地使用类似printf(user_input)这样的代码时（正确做法应该是printf("%s", user_input)），攻击者就可以通过精心构造的输入字符串来操控函数的执行流程。这种漏洞在IoT设备中尤其常见，去年我在分析某款智能家居设备固件时，就发现了三处类似的漏洞。

从技术实现来看，这类漏洞主要利用了两个关键特性：

• printf函数不会验证参数数量是否与格式化字符串中的占位符匹配
• 通过%n等特殊格式符可以实现内存写入操作

在实际漏洞利用中，攻击者通常需要解决三个关键问题：

1. 确定用户输入在栈帧中的偏移位置
2. 构建能够实现特定内存操作的payload
3. 精确控制写入的内存地址和数值

2. CGfsb题目深度解析

让我们以攻防世界的CGfsb题目为例，看看如何将理论知识转化为实际攻击。这道题完美展示了格式化字符串漏洞的完整利用链。

首先用checksec检查程序保护机制：

bash复制checksec CGfsb
[*] '/home/kali/CGfsb'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

关键发现是PIE（位置无关可执行文件）保护未开启，这意味着所有符号的地址都是固定的。用IDA反编译后，可以清晰看到漏洞点：

c复制printf(&s);  // 存在格式化字符串漏洞

程序逻辑很简单：如果全局变量pwnme的值被改为8，就会打印flag。我们的攻击目标就是利用格式化字符串漏洞修改这个变量。

3. 漏洞利用的关键步骤

3.1 确定栈偏移量

首先需要通过爆破确定用