anonymous?

# Protection Tech # process 출력해준 buf 값을 받아서 입력 시 str로 변환한 값과 0으로 통과한다. 그러고 나면 shellcode executioner라고 쉘코드를 실행할 수 있다고 하는데 NX가 걸려있어서 불가능하다. 하지만 코드를 보면 key와 inpt을 xor해준 값에 mmap 함수를 사용하는데 메모리 매핑을 해주는 것이다. 그리고 flag 값이 34인데 실행권한을 부여해준다. xor만 안 하면 쉘코드를 넣으면 쉘코드에 실행권한이 부여되어서 쉘코드를 실행할 수 있다. strlen으로 반복해서 xor을 진행하는데, 처음에 null byte를 넣으면 strlen은 길이가 0인줄 알고 반복문을 하지 않는다. 이것으로 xor문을 우회하고 바로 쉘코드에 mmap으로 실행권한을 부여..

SYSTEM HACKING/pwnable.xyz 2020. 2. 28. 16:42

# Protection Tech # process 메뉴 1 : v6로 뛸 수 있다. v6를 win 함수로 변조할 수 있고 v5 == canary인 조건을 만족한다면 win 함수로 뛰어서 win 함수를 실행할 수 있다. 1. stack leak Environ 주소 받아서 rbp 주소 구한다. rbp = environ – 248 2. read_int8 함수에서 rbp의 하위 1바이트를 v6의 하위 1바이트로 변조한다. 메뉴 번호를 입력받는 read_int8() 함수에서 1바이트 overflow, 즉 off by one이 일어난다. 그럼 read_int8 함수가 리턴 시 rbp에 담긴 주소로 돌아가므로 v6로 갈 것이다. 원래 read_int8 시 rbp는 rbp-0x11인데 v6 위치인 rbp-0x8로 rb..

SYSTEM HACKING/pwnable.xyz 2020. 2. 28. 16:36

# procss FSB 취약점처럼 보이는데 name과 desc가 전역변수라 FSB 취약점이 일어나지 않는다. 하지만 printf@got를 win 함수 주소로 덮으면 된다. 1번 메뉴에서 maxlen = maxlen - readline(v4, v7) 을 하는데, readline() 함수의 반환값이 음수이면 maxlen 값을 증가시킬 수 있다. readline() 함수를 보면 v2-1 값을 리턴하는데 v2 변수는 strlen(name)의 결과, 즉 name의 길이이다. 따라서 길이는 음수가 될 수 없고, 가장 작게 줄 수 있는 경우는 길이가 0일 때이다. 다행히 리턴값이 v2-1로 v2 = 0이면 -1로 만들 수 있어서 maxlen 값을 1씩 증가시킬 수 있다. 따라서 name에는 항상 길이가 0이 되도록 ..

SYSTEM HACKING/pwnable.xyz 2020. 2. 27. 13:26

1. JMPREL, SYMTAB, STRTAB 각 JMPREL, SYMTAB, STRTAB 주소는 $ readelf -a babystack | grep "" 로 구할 수 있다. SYMTAB : 0x80481cc JMPREL : 0x80482b0 STRTAB : 0x804822c 1) JMPREL JMPREL segment (rel.plt) 는 Relocation table이라는 테이블을 가지고있다. 각 엔트리는 symbols에 맵핑되어 있다. 이 엔트리들의 타입은 Elf32_Rel이다. 하나의 entry 크기는 8바이트이다. 테이블에서 하나의 엔트리를 살펴보자면, Sym.Name : Symbols의 이름 : read@GLIBC_2.0 Offset은 symbol에 대한 GOT entry 주소 : 0x080..

SYSTEM HACKING/Exploit Tech 2020. 2. 21. 09:03

# description FSOP(File Stream Oriented Programming) 기법을 사용하는 문제이다. # code fclose 함수로 input을 인자로 파일을 닫는다. input 변수는 전역변수로 FILE 포인터이다. # process bss 섹션(0x601000)을 보면, stdout과 stdin이 구조체(struct _IO_FILE_plus)로 구조화되어있다. glibc이 사용하는 FILE 구조체로, 최근 vtable이 추가되었다. vtable 포인터는 FILE 구조체의 마지막 8바이트에 위치하며, vtable 포인터가 가리키는 vtable은 해당 포인터가 가지는 주소에 위치한다. vtable 구조체(struct _IO_jump_t)에는 함수의 주소들이 적혀있다. 1. input..

SYSTEM HACKING/pwnable.xyz 2020. 2. 10. 12:34

# description register라면 등록하다 또는 CPU 레지스터로 해석해볼 수 있다. 이 문제의 경우, CPU 레지스터를 사용한 sysROP 문제이다. # Protection Tech # 정리 ** 주요 시그널 처리 함수들 ** signal(sig, handler) : signal 14가 발생하면 handler 포인터를 반환한다. raise(sig) : raise() 함수는 프로세스가 자기자신에게 신호를 보낼 때 쓰이는 함수이다. 따라서 프로세스는 signal 14를 자기 자신에게 보낸다. alarm(sec) : 지정한 시간이 되면 자기자신에게 SIGALRM 시그널을 전송한다. 프로세스는 SIGALRM을 받으면 종료한다. sleep(sec) : 지정한 시간 동안 대기 상태가 된다. 지정한 시간..

SYSTEM HACKING/HackCTF 2020. 2. 10. 00:40

# Protection Tech # process 1. 2개의 marimo 생성 marimo는 Buy() 함수에서 사서 malloc 할 수 있는데, 돈이 부족하다. main 함수의 switch 문 전의 while 문에서 메뉴 선택 값을 저장하는 변수 v3 값을 매개변수로 넘겨서 조건을 확인하는 코드가 있다. v3로 "show me the marimo"를 주면 청크가 0x18 크기인 marimo 하나를 생성해준다. 이때 size와 가격은 각각 1과 5로 지정되어있다. 그리고 sub_400eed 함수를 호출해서 v1(heap 주소), 1(marimo size), 5(price)를 넘겨준다. marimo의 구조를 확인할 수 있다. marimo 2개를 생성한 후 heap 구조는 위와 같다. 2. heap ove..

SYSTEM HACKING/CTF, etc 2020. 2. 9. 23:16

# description x32 Format String Bug 문제이다. # protection tech # code - printf(&buf) : 바로 buf 변수 값을 출력함 -> Format String Bug 취약점 발생 # process 위의 코드를 보면 printf(&buf)에서 FSB가 발생하기도 하지만 이 코드를 보면 printf@got를 system@plt로 덮고 buf에 "/bin/sh"을 주면 쉘을 실행할 수 있다고도 생각해볼 수 있다. 이렇게 하려면 먼저 printf@got를 덮고 다시 입력받아서 "/bin/sh" 문자열을 buf 변수에 입력해야 해서 최소 2번은 vuln 함수가 필요하다. 출력 이후 puts 함수 호출 2번을 해서 출력해주는데 이것을 이용해볼 수 있겠다. puts..

SYSTEM HACKING/CTF, etc 2020. 2. 7. 00:49

# description 간단한 heap 문제이다. 디버깅으로 변수들의 구조를 확인하면 쉽게 풀 수 있을 문제이다. # process s : 스택에 위치한 변수로, heap 주소가 저장된다. (정확히는 heap의 데이터 영역 주소가 저장된다.) cur : s를 가리키는 포인터. s 변수 주소를 저장한다. buf : 스택에 위치한 age 값 저장하는 변수이다. s와 buf 간의 관계를 디버깅으로 확인해볼 수 있다. 디버깅하다가 edit_usr을 할 때 age 값을 넣는 스택 주소를 확인할 수 있었다. (익스 성공할 때 디버깅 상태이다.) edit_usr 함수에서 age 값을 'D'*0x10 + puts@got로 줬더니 위와 같이 값이 들어갔다. 근데 cur 변수에 저장된 s 변수 주소 값을 확인해보면 다음..

SYSTEM HACKING/pwnable.xyz 2020. 2. 5. 18:16

Ubuntu 18.04 LTS를 VMware Workstation Pro 에 설치할 것이다. (기존의 16.04를 잘 쓰고 있지만 18.04의 필요성도 느껴서 설치하기로 했다...) # 다운로드 ubuntu 사이트 : https://ubuntu.com/download/desktop Download Ubuntu Desktop | Download | Ubuntu Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things. ubuntu.com 또는 국내 미러 사이트에서 iso 파일을 다운 받는다. 똑같은 iso 파일을 다운로드하는 것인데..

TOOLS/TIPS 2020. 2. 4. 15:36

# description return to csu 문제이다. # code read로 buf에 입력받는데 return address를 덮을 수 있을만큼 충분히 입력받는다. # process 1. loc_4006B6 주소(0x4006b6)로 return address를 덮는다. - 리턴 시 이 곳으로 이동할 것이다. 2. 우리는 0x4006a0 주소의 rdx, rsi, edi 레지스터들을 사용하기 위해 r13, r14, r15에 적절히 원하는 값을 넣어야 한다. mov rdx, r13 : r13 값을 rdx 레지스터에 적는다. mov rsi, r14 : r14 값을 rsi 레지스터에 적는다. mov edi, r15d : r15 값을 edi 레지스터에 적는다. call qword ptr [r12+rbx*8] ..

SYSTEM HACKING/HackCTF 2020. 2. 3. 00:29

# code - get_tier(v6) : v6 변수 값이 75보다 크면 result = 4가 되서 v5 변수에 저장된다. (v5 == 1인 것은 flag가 출력되는 조건이다.) - get_tier() 호출 이후 printf(v5)를 하는데, 이 printf got를 play_game으로 덮으면 play_game(4)를 호출하게 된다. - printf(v5); 에서 Format String Bug 취약점이 발생해서 got 값을 덮을 수 있다. # process - AAAAAAAA를 입력해서 출력되는 위치를 확인해보면 6번째이다. - 64bit는 32bit와 다르게 바로 스택 주소가 leak되지 않고 레지스터 주소부터 leak된다. 그래서 스택 offset이 6부터 시작한다. offset 6 : %4196..

SYSTEM HACKING/HackCTF 2020. 1. 31. 14:56