pwnkidhn.github.io

BackGround 32 bit Binary의 경우 64bit와 달리 스택을 16 바이트 경계에 정렬하는 코드가 추가된다. x86-64 ABI는 16 바이트 스택 정렬이 필요하다. ABI와 호환되지 않는 환경에서 스택 공간을 제한해서 사용하기 위해서다. 펜티엄 III에서 SSE(Streaming SIMD Extension) 데이터 유형 __m128이 16 바이트 정렬되지 않으면 올바르게 작동하지 않을 수 있다. Stack alignment at 16-byte boundary 다음과 같이 16byte 경계에 스택을 정렬하기 위한 코드는 다음과 같이 동작한다. main() 함수가 시작 되는 부분에서는 이전 함수에서 사용하던 Frame Pointer를 Stack에 저장하기 전에 Stack alignment을 ..

Pwnable Exploitation/05.Frame Pointer Overwrite 2020. 6. 26. 17:05

5.5.3 사상 방식 - 각 주기억장치 블록이 어느 캐시 라인에 적재될 것인 지를 결정해주는 방식으로서, 캐시 내부 조직을 결정 1. 직접 사상(direct mapping) 2. 완전-연관 사상(fully-associative mapping) 3. 세트-연관 사상(set-associative mapping) 1. 직접 사상 - 각 주기억장치의 블록이 지정된 하나의 캐시 라인으로만 적재됨 - 주기억장치 주소 형식 > 태그 필드(t 비트) : 태그 번호(라인에 적재되어 있는 블록의 번호) > 라인 번호(l 비트) : 캐시의 m = 2^t 개의 라인들 중의 하나를 지정 > 단어 필드(w 비트) : 각 블록 내 2^w 개 단어들 중의 하나를 구분 - 주기억장치의 블록 j가 적재될 수 있는 캐시라인의 번호 i :..

Computer Science/Computer Architecture 2020. 5. 8. 10:18

캐시 메모리 (Cache memory) - CPU와 주기억장치의 속도 차이로 인한 CPU 대기 시간을 최소화 시키기 위하여, CPU와 주기억장치 사이에 설치하는 고속 반도체 기억장치 특징 - 주기억장치(DRAM)보다 엑세스 속도가 더 높은 칩(SRAM)사용 - 가격 및 제한된 공간 때문에 용량이 적다 - 캐시 적중(cache hit) : CPU가 원하는 데이터가 캐시에 있는 상태 - 캐시 미스(cache miss) : CPU가 원하는 데이터가 캐시에 없는 상태 (주기억장치로부터 데이터를 읽음) - 적중률(hit ratio) : 캐시에 적중되는 정도(H) - 캐시의 미스율(miss ratio) = (1-H) - 평균 기억장치 엑세스 시간(Ta) (Tc는 캐시 엑세스 시간, Tm은 주기억장치 엑세스 시간) ..

Computer Science/Computer Architecture 2020. 5. 8. 10:02

Frame faking이란 ? - 가짜 스택 프레임 포인터(Stack Frame Pointer)를 만들어 프로그램의 실행 흐름을 제어하는 것이다. Return Address영역 까지만 덮어쓸수 있을 경우 사용 가능하다. leave-ret Gadget을 사용하여 IP(Instruction Pointer)를 조작한다. LEAVE & RET instruction LEAVE 명령어는 다음과 같이 동작한다. RBP(EBP) 레지스터에 저장된 값을 RSP(ESP) 레지스터에 저장한다. RSP(ESP) 레지스터가 가리키는 Stack영역에 값을 RBP(EBP) 레지스터에 저장한다. RET 명령어는 다음과 같이 동작한다. RSP(ESP) 레지스터가 가리키는 Stack영역에 값을 RIP(EIP) 레지스터에 저장한다. JM..

Pwnable Exploitation/04.Frame faking(Fake ebp) 2020. 5. 6. 21:27

RTL이란 ? - Return address 영역에 공유 라이브러리 함수의 주소로 변경해, 해당 함수를 호출하는 방식이다. 해당 기법을 이용해 NX bit(DEP)를 우회 할 수 있다. Calling Convention System V AMD64 ABI Solaris, Linux, FreeBSD, macOS 에서 "System V AMD64 ABI" 호출 규약을 사용하기 때문이다. Unix, Unix계열 운영체제의 표준이라고 할 수있다. 해당 호출 규약은 다음과 같은 특징이 있다. 레지스터 RDI, RSI, RDX, RCX, R8 및 R9는 정수 및 메모리 주소 인수가 전달된다. 레지스터 XMM0, XMM1, XMM2, XMM3, XMM4, XMM5, XMM6 및 XMM7은 부동 소수점 인수가 전달된다...

Pwnable Exploitation/03.RTL(Return to libc) 2020. 5. 5. 23:17

RTL이란 ? - Return address 영역에 공유 라이브러리 함수의 주소로 변경해, 해당 함수를 호출하는 방식이다. 해당 기법을 이용해 NX bit(DEP)를 우회 할 수 있다. Calling Convention Cdecl(C declaration) 해당 호출 규약(Calling Convention)은 인텔 x86 기반 시스템의 C/C ++ 에서 사용되는 경우가 많다. 기본적으로 Linux kernel에서는 Cdecl 호출 규약(Calling Convention)을 사용한다. 다음과 같은 특징이 있다. 함수의 인자 값을 Stack에 저장하며, 오른쪽에서 왼쪽 순서로 스택에 저장한다. 함수의 Return 값은 EAX 레지스터에 저장된다. 사용된 Stack 정리는 해당 함수를 호출한 함수가 정리한다...

Pwnable Exploitation/03.RTL(Return to libc) 2020. 5. 5. 14:40

Return to Shellcode란 ? - Return address 영역에 Shellcode가 저장된 주소로 변경해, Shellcode를 호출하는 방식이다. CALL & RET instruction - Return to Shellcode를 이해하기 위해 CALL,RET 명령어에 대한 이해가 필요하다. CALL 명령어는 Return address(CALL 명령어 다음 명령어의 위치(주소 값))를 Stack에 저장하고, 피연산자 주소로 이동한다. RET 명령어는 POP 명령어를 이용해 RSP 레지스터가 가리키는 Stack영역에 저장된 값을 RIP(EIP)에 저장 후, 해당 주소로 이동한다. 즉, Stack영역에 저장된 Return address 값을 변경할 수 있다면 프로그램의 흐름을 변경 할 수 있다...

Pwnable Exploitation/02.Return to Shellcode 2020. 5. 4. 23:56

Local Shellcode - shellcraft 모듈에서는 sh() 함수를 이용해 간단하게 "/bin/sh" 를 실행하는 shellcode를 생성할 수 있다. 해당 함수는 aarch64,amd64,arm,i386,mips,thumb 아키텍처의 linux, freebsd 운영체제에 맞는 shellocode를 생성 할 수 있다. 다음과 같이 아키텍처와 운영체제를 선택한 후 sh() 함수를 호출하면, 해당 조건에 맞는 shellcode를 리턴한다. shellcraft.i386.linux.sh() [EXAMPLE] Bind Shellcode - shellcraft 모듈에서는 bindsh() 함수를 이용해 간단하게 bind shellcode를 생성 할 수 있다. 해당 함수는 amd64,mips,thumb 아키..

Pwnable Exploitation/01.Shellcode 2020. 5. 4. 20:37