SAVEDATAでクラッシュ

[tumugi]

件名: SAVEDATAでクラッシュ

v0に41414141と入れることに成功。ただ、この状態でexploitになるかどうか・・・

これExploitだよ多分。

0x0883CDF0　lw $v0 8($v0)
0x0883CDF4　?
0x0883CDF8　?
0x0883CDFC jalr $v0

　追記：

disasm　0x0883CDF0 5 と打ってもらえます？

あと、上の　==OOO system・・・・
っていう文字列も消したほうがいいよ。ゲーム特定できるから。

とりあえず、v0コントロールの場合から。(aを24個)
お願いします。

[tumugi]

a1Full(aを36個)

[tumugi]

v1フル(aが54個)

[パチュリー]

おっ！
これはかなり可能性高いですね(^o^)
私から見ても、80%の確率でexploitだと
思います。
応援していますので、がんばって下さいね(^o^)

[mamosuke]

初めてレジスタの状態分かったのでコメントしてみます。

最初にexploitかもと指摘していたneur0nさんがexploitじゃなかったとツイッターで指摘していたのが気になりますが、
v1フル(aが54個)
のパターンでセーブデータの状態にもよりますが任意のアドレスに飛ばせる可能性あります。問題は任意のアドレスを本当に入れる事が出来るのか、です。

[j416]

ちょっと返事遅れましたが・・・。

aが54個のとき、EPCが変わってますね。
その際はdisasmの数値も変更する必要があります。

このままだと一見できそうですが、disasmしてる場所とまったく違う場所でクラッシュしてるので・・・。
おそらく無理なのかなと。

ちなみに、もしこんな感じでクラッシュした直後のコードがこのような状態になっていればexploitです。
この場合セーブデータ等にジャンプさせたいアドレスを書き、そのアドレスに-208したアドレスをセーブデータのちょうど$v1に入る部分に入れればジャンプできます。

[パチュリー]

おっ！
これはかなり可能性高いですね(^o^)
私から見ても、80%の確率でexploitだと
思います。
応援していますので、がんばって下さいね(^o^)

間違った発言すいませんm(_ _)m
まだまだ、私の知らない事の多さを知れて。
勉強になりましたm(_ _)m
以後、こういった発言は慎ます。
tumugiさん、応援してるので
頑張って下さいね(>_<)
では、失礼しましたm(_ _)m

[neur0n]

とりあえず、v0コントロールの場合から。(aを24個)

私はこの状態を見て「Exploitかもしれない」と書きました。

コード: 全て選択

0x0883CDF0　lw $v0 8($v0)　　　<--Crash!
0x0883CDF4　?
0x0883CDF8　?
0x0883CDFC jalr $v0

そして、「？」の部分を埋めたのがこちらです。

コード: 全て選択

0x0883CDF0　lw $v0 8($v0)
0x0883CDF4　sw $v0 128($sp)
0x0883CDF8　lw $v0 208($v1)　　<--　この命令が無ければExploitだった
0x0883CDFC jalr $v0


0x0883CDF0　lw $v0 8($v0)　にて$v0　任意の値を入れることは可能ですが、0x0883CDF8　lw $v0 208($v1)　で$v0に別の値が上書きされてしまします。
(aを24個)のパターンでは無理だと思います。

[mamosuke]

ちょっと返事遅れましたが・・・。

aが54個のとき、EPCが変わってますね。
その際はdisasmの数値も変更する必要があります。

あ、ほんとだ。変わってる。今気が付いた。

私はこの状態を見て「Exploitかもしれない」と書きました。

コード: 全て選択

0x0883CDF0　lw $v0 8($v0)　　　<--Crash!
0x0883CDF4　?
0x0883CDF8　?
0x0883CDFC jalr $v0

そして、「？」の部分を埋めたのがこちらです。

コード: 全て選択

0x0883CDF0　lw $v0 8($v0)
0x0883CDF4　sw $v0 128($sp)
0x0883CDF8　lw $v0 208($v1)　　<--　この命令が無ければExploitだった
0x0883CDFC jalr $v0


すいません。これはコントロールできない$v1が絡んでたのでダメだったのが、a54個にしたら$v1がコントロールできるように変わったのだと勘違いしちゃいました。

[tumugi]

もうダメっぽいですが、もう少し調べてみました。
ちょっと時間がないので、v0のやつはできませんでしたが・・・
とりあえずv1Full修正