pwnkidhn.github.io

ret주소를 무조건 strcpy로 덮어야한다. 그것 말고는 다른 조건은 없는것 같다. 우선 strcpy의 주소를 알아보자. 0x8048410이다. 그리고 ret주소 다음 4바이트를 A로 초기화한다. strcpy의 인자값은 2개이므로 buf + sfp (A *44) + strcpy + BBBB + CCCC + DDDD값을 줘보자. buf + sfp (A *44) + strcpy + BBBB + CCCC + DDDD 값을 줬는데 BBBB(42424242)값이 보이질 않는데 이는 위에서 AAAA로 덮어씌어지기 때문이다. 덮어씌어진 부분의 주소는 0xbffffa30이다. CCCC, DDDD는 strcpy의 인자들인데, CCCC에 strcpy가 끝난 후 ret주소의 주소를, DDDD에는 쉘코드 시작 주소의 주소를..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 11. 18:00

MO함수는 cmd를 인자로 받아서 system(cmd)를 한다. 여기서 cmd를 문자열 /bin/sh로 주면 될 것 같다. DO GYE GUL YUT MO 순서대로 함수를 호출하지 않으면 안된다. 또한 argv[1]를 \x40과 비교하므로 lib를 사용할 수 없다. payload는 buf + sfp + DO + GYE + GUL + YUT + MO + dummy + binsh주소 + /bin/sh\x00가 된다. 다음 단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 11. 14:13

역시 stack, rtl을 사용 할 수 없다. 그리고 strncpy로 48바이트를 읽어온다. 버퍼를 초기화하지 않으므로 버퍼에 쉘코드를 넣을 수 있다. 하지만 ret주소로 스택부분 \xbf가 오지 못하므로 방법을 찾아야한다. ebp를 변조하고, leave-ret 가젯위치로 ret을 덮어씌우면, 될 것 같다. Fake EBP 기법이다. sfp를 shellcode - 4 위치로 조작한 후 , ret 을 leave-ret 가젯으로 바꾸면 ebp = shellcode - 4 가 되며, leave (mov ebp, esp) (pop ebp) 를 하게된다. 이로인해 esp는 shellcode 실행 위치를 가리키며, 이상태에서 ret을 할 경우 eip는 쉘코드 실행위치로 jmp하게 된다. leave-ret 가젯 0x..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 11. 12:31

ret 주소에 \xbf, \x40이 오면 안되므로 stack과 rtl을 사용할 수없다. 그럼 어떻게 해야할까.? 중간 단계를 만들면 된다. ret 주소에 RET 명령어 주소를 넣고 그 뒤에 쉘코드가 있는 주소를 넣어준다면 어떻게 될까? 이것이 바로 RET Sled 기법이다. RET의 내부 동작은 pop eip, jmp eip 이다. 따라서 RET을 연속적으로 호출함으로 콜 스택을 조작할 수 있다. 우선 환경변수는 사용가능하므로 환경변수에 SHELLCODE를 넣어주자. 쉘코드의 위치를 찾았다. 그럼 RET명령어 주소를 찾아보자. 해당 주소를 사용하면 된다. 그럼 buf + sfp + RET +env(shellcode) 를 하게되면, RET명령을 한번 더 실행시키기 때문에 eip에는 쉘코드 실행 주소가 들어..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 11. 10:57

execve_addr를 사용해야 한다. 첫번째 popen으로 libc의 주소를 얻어오고, 두 번째 popen으로 libc에서의 execve의 offset을 얻어온다. libc start + execve offset = execve_addr 임을 알 수있다. libc 주소를 얻으려하는데 코드에서는 ldd /home/giant/assassin으로 되어있다. 아직 giant에 대한 권한이 없으므로 /home/bugbear/giant로 고쳐서 얻어보자. libc의 주소는 모두 같다. 0x40018000이다. 이제 libc.so.6에서의 execve의 offset을 찾아보자. 00091d48이다. 그러면 execve의 실제 주소는 0x40018000+00091d48인 0x400a9d48이다. execve의 인자로..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 11. 10:06

ret에 덮어쓸 주소가 \xbf으로 시작하면 안된다. 즉 stack으로 공격할 수 없다. RTL기법을 써보자. 우선 system함수의 위치를 알아보자. system함수에 인자로 들어갈 "/bin/sh"를 찾아보자. 이 문자열은 system 함수안에 있다. 따라서 코딩하여 /bin/sh문자열의 주소를 찾아보자. /bin/sh의 주소도 얻었다. RTL 기법대로 buf + sfp + ret + dummy + argv 에 맞춰 익스해보자. 다음 단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 10. 22:12

argv[1]를 인자로 problem_child 함수를 호출한다. FPO라고 되어있다. 즉 Frame Pointer Overwrite 문제인 것 같다. problem_child에서 strncpy를 하므로 해당 위치에 bp걸어보자. 이제 A를 40개 넣고 메모리 변화를 보겠다. 우선 main 함수의 ebp이다. 0xbffffae8임을 알 수 있다. 다음은 problem_child 함수에서 strncpy를 하고난 모습이다. 0x41이 40개 들어가고 다음에는 main함수의 ebp인 0xbffffae8이 와야하는데 마지막 1바이트가 0x00이다. 이는 strncpy로 41바이트를 읽어오기 때문에 A 40개 + 널바이트가 들어가게 되었다. 이 1바이트를 조작하여 쉘코드를 실행시키는 것이 FPO이다. 여기서 ma..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 10. 19:50

stack destroyer을 보니 모든 스택을 다 초기화 할 것 같다. 다음과 같이 env, buf, argv 모두 사용할 수 없다. 그렇다면 어떻게 해야할까? stack보다 더 낮은 영역에 쓰면 되겠다. 여기서 우리는 공유 라이브러리를 사용 할 수있다. 그렇다고 한다. 그러면 공유라이브러리 이름을 쉘코드로 만들어서 LD_PRELOAD를 환경변수에 추가해보자. 이제 해당 지역이 지워지는지 확인해보자. 해당영역은 초기화되지 않았으므로 사용할 수 있다. 해당 주소로 ret을 덮어보자. 다음 단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 10. 17:01