Tényleg csak félve kérdem, hogy Xorl blogja ( ami nem is olyan rég óta ismét megy :)) nem fedi le ezt eléggé ( bár tény, hogy nem magyar ) ?

xorl.wordpress.com/

@P1ngW1n: A kérdést nagyrészt már meg is válaszoltad. A dolog éppen arról szól, hogy valami olyasmit szeretnék nyújtani, mint ami xorl-nél van, de ehhez kevés vagyok egyedül, viszont remélem, hogy mindig lesz valaki, aki szívesen eldebugolgat, a tapasztalatokat meg megosztja a közösséggel.

Tegnap egyébként hegesztettem az oldalsó linkeken, most már többek között xorl is ott van.

megneztem a dolgot Snow Leopard-on, illetve egy live NetBSD-n (Jibbed), de meg nem jartam teljesen korbe.. erre jutottam eddig:

eloszor is, az emberke allitasa, miszerint "function getint() will be started a few times." hulyeseg (vagy marha faradt vagyok, es nagyon benezek valamit :) ).. printf talal egy csillagot a format string-ben, beolvassa a fieldwidth-et, aztan felzabalja az osszes utana kovetkezo csillagot.. viszont amikor a printf program hivja a printf fuggvenyt, akkor az az egesz format stringet megkapja parameterkent, mind az osszes csillaggal egyutt, es ezt o nem igazan szereti, jol el is szall tole..

SL-n maga a printf program nem enged tobb csillagot egymas utan a format string-ben, tehat ott igy nem lehet elohozni a hibat..

NetBSD-n nekem nem a __vprintf_unlocked-ban, hanem egyel "beljebb", a strlen-ben segfault-ol.. itt a strlen argumentuma a printf programnak megadott masodik argumentum (ha a peldanal maradunk, 666).. a strlen a 666 cimrol nem tud olvasni, ezert szall el.. a __vprintf_unlocked csak akkor hivja a strlen fuggvenyt, ha stringet akarunk megjeleniteni, ezert kell string tipus a format string-be..

hat, kb. ennyi..

Ha lenne idom, raneznek de jelenleg iszonyatosan el vagyok maradva. Majd jovore :)

synapse

ma volt idom melyebbre asni, ugyhogy telepitettem virtualis gepre egy NetBSD-t, elinditottam a SID Station-t, es nekialltam bitvadaszni :)

mint mar az elozo kommentemben is irtam, a printf fuggveny a ludas, az szall el.. tulajdonkeppen ugyanaz van vele, mint a printf programmal: nem csekkolja, hogy csillag utan csillag jon-e.. maradjunk a Maksymilian altal adott peldanal, tehat hivjuk meg igy a printf-et:

printf("%*********s", 666);

a printf-en belul meghivodik a __vfprintf_unlocked a kovetkezo parameterezessel:

__vfprintf_unlocked(fp, "%*********s", 666);

(az elso argumentum a standard out filepointere)

ez a fuggveny szepen fogja a format string-et, elmegy benne az elso csillagig (vfwprintf.c:878), veszi az argumentumlista elso elemet (666), es beallitja erre az ertekre a width-et.. ezutan fogja a format string kovetkezo karakteret, es mivel az is csillag, veszi az argumentumlista kovetkezo elemet, es megint beallitja a width-et.. a bokkeno az, hogy csak egy argumentumunk van, a 666.. szoval az a 8 felesleges csillag szepen szedegeti a stack-rol az ertekeket.. a kilencedik csillagnal mar benne jarunk a __vfprintf_unlocked-ot hivo printf stack frame-jeben, egesz pontosan a printf format string-jenek cimen vagyunk.. a kovetkezo ertek a stack-en ugye a printf-nek megadott 666..

a csillagok elfogytak, jon egy s, beolvassuk string cimnek a 666-ot.. mivel ez nem egy ervenyes cim, mikor megprobalja hasznalni a fuggveny (vfwprintf.c:1333), megkapjuk a varva vart SIGSEGV-t.. ha nem 's' szerepel a format string-ben, akkor ugye a 666-ot nem memoriacimkent hasznaljuk, ezert nem szall el..

egy megjegyzes: irtam az elozo kommentemben, hogy a live NetBSD-n a strlen-ben szallt el a program.. a tippem az, hogy a 'rendes' NetBSD-ben levo __vfprintf_unlocked-ban a strlen inline-kent van jelen, ezert az segfault-ol..

Nagyon jo leiras toma, koszonjuk :)

Kerestem gyorsan forrast:

cvsweb.netbsd.org/bsdweb.cgi/src/lib/libc/stdio/vfwprintf.c?annotate=1.18

Na itt 1333-on makrot fog ugye hivni. Ennek a define-jat nem talaltam meg sehol a fent emlitett oldalon, ami igy alapjaban veve eleg erdekes.

Viszont ami mindenkepp erdekelne, hogy miert van szerinted koze az inline -kent valo forditasnak ahhoz, hogy a segfault mashol jon elo.

synapse

orulok, hogy tetszett :)

ott van az a definicio, a 74. sorban..

ha a strlen inline-kent van jelen, akkor nem tortenik fuggvenyhivas, mert ugye a strlen kodja direktben ott van a __vfprintf_unlocked-ban.. szoval ugyananugy a strlen kodjan segfault-ol, csak csak ez a kod nem kulon fuggvenyben van..

Ahaha es tenyleg ott van, nagyonjo mert a gugli nem talalta meg :D

Erre gondoltam en is, persze ez a bug termeszeten semmit nem valtoztat, csak a gdb irja ki hogy ott meg van egy extra fgv hivas (meg egy elhanyagolhato prolog es epilog).

Anyway, nice work :)

buhera: Amugy a kezdemenyezesnek igencsak latom ertelmet, ha lenyugodtak nalam a kedelyek akkor majd esetleg betudok segiteni de nem igerek semmit a kozeljovoben. Ha ennek ellenere postolsz, azert ra probalok nezni.

synapse

Ezzazzzz! Erre gondoltam, kösz sghctoma, volt egy tippem, hogy az első megfejtők között leszel ;) Na, én belelkesedtem, jön még folytatás, hajrá!

Ja, és a sör természetesen behajtható!

@synapse:
ctrl+f csodakra kepes :P

persze, nem valtoztat semmit, csak azert irtam le, mert az elso hozzaszolasban mondtam, hogy mashol szall el, es tisztazni akartam a dolgot..

@buherator:
egyetertek synapse-szal, jo a kezdemenyezes, nagyon.. raadasul keves oram van, es jelenleg melo sincs, szoval fogok tudni idot szakitani ilyesmire..

a sort nem, de a tabla csokit behajtom :) nem iszom alkoholt.. ha meg nehanapjan megis, az tuti nem sor..

amugy most en is belelkesedtem, ez izgalmasabb, mint crackme-ket oldogatni..

@sghctoma: Ahh, sztrétedzshardkór, csak vigyázz el ne hízz! ;D

haaat, a sztretedzs azert messze all tolem; sose volt X a kezemen, meg imadom a jo kavet :) az elhizas mar reg bekovetkezett, az a csoki mar nem oszt, nem szoroz.. kulonben is, nem szerepelt az oszibarackle, mint opcio, kenytelen voltam csokit valasztani :P

@sghctoma: Velem lehet tárgyalni!

@buherator: OK, akkor kovetkezto buhera sorozesen targyalunk..

"ctrl+f csodakra kepes :P"

kicsit napirajzosan: fassegondoltavolna :D

synapse

@synapse: ha' latod, minden egyes nap tanul valamit aember :D

Szép volt, srácok :)
Ezt a posztot khm... imádom. Izgatottan várom a folytatást. Nem mellékesen, ez két buherator szobrot ér. Egyet az interaktív fejtörőért, egyet pedig a low-level témáért.

Mellékes kérdésként felvetem (bár valószínűleg feltevésem csak zsibbadtságomból adódik), hogy vajon ez a hiba képessé teszi-e kihasználóját az IP manipulálására?

Most jól magatokrahagylak, mert rendesen rámfér egy KV.

Utószó gyanánt még szeretném ismét megköszönni ezt a remek posztot. Csak így tovább :)

@conscience: IP alatt jelen esetben, természetesen az instruction pointerre gondolok. :)