#stack

인코딩 결과를 스택 버퍼로 strcpy 하는데 길이 검사가 없다. 목적지에서 64바이트 뒤가 종료 메뉴에서 system 에 넘어가는 커맨드 버퍼라, 출력 65번째 글자부터가 그대로 명령이 된다. base64 알파벳과 4의 배수 제약을 동시에 만족하는 네 글자를 찾으면 셸이 열린다.

sprintf 로 날짜 문자열을 조립하는데 길이 인자가 없다. 앞부분 20바이트는 고정이고 연도만 scanf("%d") 원값이 그대로 찍히므로, 12월 25일이 일요일인 8자리 연도를 찾아 넣으면 개행 한 바이트가 buf 바로 뒤 판정 변수에 정확히 떨어진다.

read_str 안의 ptr[len] = 0 이 딱 한 바이트를 버퍼 밖으로 흘린다. 20바이트를 정확히 채워 넣으면 그 NUL 이 바로 뒤에 붙은 int age 의 최하위 바이트를 0으로 덮고, age == 0 분기가 열리며 get_shell 이 실행된다. 오버플로우 한 바이트로 분기 하나를 뒤집는 전형적인 off-by-one.