pwnkidhn.github.io

환경변수 사용불가, buf 사용불가, argv 전체 사용불가. 모두 사용불가이므로 쉘코드를 어디에 넣어야할지 모르겠다. 우선 main함수가 끝나기 전의 모두 초기화된 메모리를 확인해보자. 전부 다 0으로 초기화 되었지만, 마지막에 초기화가 안된 값을 찾을 수 있었다. 이 값이 무엇을 의미하는지 확인해보자. 이 값은 argv[0]와 동일한 값이다. argv가 저장되는 영역은 위에서 이미 다 초기화 됐는데, 초기화되지 않은 영역에있는 값이 argv[0]값과 같은 걸 알았으니 argv[0]를 쉘코드로 바꿔보자. 쉘코드로 바꾼 후 초기화 하기 전의 모습이다. 값들을 다 확인할 수 있다. main함수 ret직전에 bp를 걸어서 확인해본 결과 저 부분을 제외하고는 모두 다 초기화되는게 맞다. 이제 저 주소를 ret..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 10. 10:51

ret에 덮을 주소가 0xbfff로 시작하면 안된다. 즉 ff보다 낮은 주소에 있어야 한다. 스택은 높은주소에서 낮은주소로 자라기 때문에 인자값을 길게 주면 0xbffe 주소까지 쓸 수 있을 것 이다. 확인해보자. 다음과 같이 argv[1]의 인자를 길게 주었을때, 0xbffe주소에서 입력한 A와 \x90 + 쉘코드를 찾을 수 있었다. 이 주소로 ret을 덮으면 되겠다. 다음 단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 10. 09:18

env 사용불가, buf 사용불가, argv[1] 사용불가, argv[2]이상 사용불가, 우리가 쓸 수 있는 곳은 한 곳 남아있다. argv[0]이다. argv[0]은 파일 명이므로 파일명을 쉘코드로 만들고 argv[0]가 들어있는 주소를 ret로 덮어보자. argv[0]가 들어있는 주소를 찾았다. 그러면 쉘코드를 이름으로 하여 링크를 걸어보자. 여기서 \x2f는 /를 의미하므로 \x2f가 없는 쉘코드를 사용해야 한다. 다음과 같이 만든 후 디버거를 켜서 이름의 위치를 찾아보자. 0xbfffff66에 이름이 있는것을 확인할 수 있다. Segmentation fault가 발생했고 core 파일이 생겼다. 확인해 보자. 주소를 0xbfffff92사용하여 다시 해보니 쉘이 따졌다. 원래 파일에서도 성공적으로 ..

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 9. 23:34

이전 문제에서 argv[0] != 77 부분이 추가되었다. 이 부분말고는 똑같기 때문에 그냥 넘어가겠다. argv[0]은 실행파일의 이름이다. 이름은 orge 4글자로 고정되어있다. 이 값을 77로 늘려주는 방법은 폴더에 넣는 방법과 심볼릭 링크를 이용하는 방법이다. 먼저 심볼릭 링크를 이용 해보자. 실행시킬때 ./가 붙으므로 77에서 2를뺀 75개의 A로 심볼릭 링크를 걸어보았다. 이 방법 말고도, 이름의 길이가 72인 폴더 안에 orge를 넣고 실행시켜도 된다. 다음단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 9. 21:17

egghunter + bufferhunter + check argv len 가 있다. 환경변수 env 사용불가, buffer 사용 불가, argv[1]의 len이 48을 넘기면 안된다. 아무래도 출제자의 의도는 04. goblin -> orc : buffer 사용하여 풀기, 05. orc -> wolfman : argv[1] 사용하여 풀기, 이번문제는 argv[2] 사용하여 푸는 것 이라 생각된다. 이미 04. goblin -> orc 문제를 argv[2]를 사용해서 풀었지만.. 다시 한 번 풀어보자. argv[1]의 조건을 맞춰주고 argv[2]에 "\x90"*100 + 쉘코드를 입력하였다. 0xbffffb8c를 사용하겠다. ret값을 이 주소로 덮어주면 된다. 다음단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 9. 19:00

이 문제는 이전문제에서 + buffer hunter 기능이 있다. 환경변수 env 영역과 buffer를 모두 0으로 초기화 해준다. 사실 이전문제와 같이 argv로 쉘코드를 전달해주면 된다. 문제의 의도를 파악해보면 원래 이전문제를 buffer에다 넣고 풀었어야 했나보다.. ㅎㅎ 이전문제를 argv로 풀었기 때문에 똑같이 풀면 된다. 다만 이번에는 argv[1] argv[2]를 나누지않고 argv[1]에 쭉 이어서 쉘코드까지 입력해보았다. 다음단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 9. 18:44

egghunter. 코드를 분석해보면 환경변수가 저장되어있는 부분을 모두 0으로 초기화 시킨다. 따라서 환경변수에 쉘코드를 저장하는 방식을 막는것을 알 수 있다. 또한 argv[1][47]이 \xbf이여야한다. argv[1]로 주었던, "A"*47+\xbf를 확인할 수 있고, 그 윗 영역인 env 부분은 모두 0으로 초기화되어있다. 환경변수를 사용할 수 없으니 쉘코드를 argv로 전달해주면 된다. argv영역은 초기화 하지 않으므로 argv[2]로 주었던 \x90 *100 + 쉘코드를 찾을 수 있다. 주소값 0xbffffb8c를 사용하여 ret을 덮어보자. 다음단계로 넘어가보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 9. 18:32

small buffer + stdin / buffer가 작으면서 stdin을 이용해 쉘코드를 입력받는다. 이 전 문제와 비슷하게 환경변수에 쉘코드를 저장하고, 입력을 stdin으로 하면 될 것 같다. 환경변수에 추가한 후 주소를 찾아보자. 0xbffffeec 값을 사용하겠다. buf에서 ret까지의 거리를 확인해 보자. 이전 문제와 같이 buf[16] + sfp [4] + ret [4] 임을 알 수있다. stdin으로 입력 받을 경우 cat을 사용하여 입력해 줄 수 있다. 다음으로 넘어가 보자.

Pwnable Write-Up/02.hackerschool L.O.B 2020. 3. 9. 17:37