#file-structure

fopen이 돌려준 FILE 포인터가 그대로 read()의 버퍼로 넘어간다. 구조체를 통째로 위조해 fwrite가 내려가는 write(2)의 인자 셋 — fd·소스 주소·길이 — 을 전부 우리 값으로 바꾼다. _fileno=1, _IO_write_base=flag_buf로 두면 프로그램이 자기 flag를 소켓에 써 준다.

PNG 의 IHDR 청크만 CRC 가 어긋나 있다. 이미지 높이를 512에서 256으로 줄여 아래 절반에 있던 flag 를 잘라 숨긴 것이다. IDAT 를 압축 해제하면 실제로 512행이 나오고, 저장된 CRC 로 원래 높이를 역산할 수도 있다. IHDR 의 height 4바이트를 원래 값으로 되돌리면 숨겨졌던 flag 가 드러난다.