anonymous?

# description Can you authenticate to this service and get the flag? Connect with nc 2018shell3.picoctf.com 27114 # code s 변수에 "yes"가 없으면 printf(&s); 로 출력해주는데 이때 Format String Bug 취약점이 발생한다. _bss_start에 입력한 값을 64바이트만 s에 저장한다. _bss_start가 뭔가 봤더니 그리고 yes를 입력하면 read_flag() 함수를 호출해준다. read_flag() 함수 : read_flag() 함수는 authenticated 값이 0인지 아닌지 if문으로 확인하는데 0이 아닐 때 flag() 함수를 호출해준다. 현재 authenticated 값은 ..

SYSTEM HACKING/CTF, etc 2020. 1. 31. 12:56

# file statically linked binary이다. # checksec # code - vuln : gets로 단순히 입력을 받아서 BOF 취약점이 발생한다. look at me에서 사용한대로 gets로 bss 영역에 “/bin/sh” 문자열을 넣고, syscall로 execve(“/bin/sh”, NULL, NULL); 을 실행해서 쉘이 실행되도록 할 것이다. # process 1. 필요한 인자 EAX 0x0b : execve syscall id ECX NULL EBX “/bin/sh” EDX NULL 2. 필요한 gadget & 주소 - pop eax; ret : 0x80b84d6 - pop ecx; ret : 0x80dece1 - pop ebx; ret : 0x80481c9 - pop r..

SYSTEM HACKING/CTF, etc 2020. 1. 31. 12:43

statically linked binary이다. statically linked는 바이너리 내에서 함수를 로드해서 사용한다. 이 문제의 경우 system 함수가 없었다. 그래서 이번엔 syscall을 사용해서 execve("/bin/sh", NULL, NULL); 을 실행시키는 sysROP 방법으로 문제를 풀어봤다. # process 1. sysROP 과정 1) 레지스터에 필요한 인자 저장 - 필요한 인자 pop eax; ret => \x0b : execve의 syscall id pop ebx; ret => "/bin/sh" pop ecx; ret => 0 pop edx; ret => 0 2) int 0x80 명령어 실행 - syscall 시 필요하다. - 필요한 인자 int 0x80; ret 2. R..

SYSTEM HACKING/HackCTF 2020. 1. 31. 10:40

1. Conditions 1) 0x200 이상의 heap 영역 : 공격 대상 heap 영역을 할당, 해제할 수 있어야 한다. Fast bin 이상의 heap 영역(Heap size : 0x80 이상) : 공격 대상 영역에 할당 heap 영역 2) 공격자에 의해 free chunk의 size 영역의 1바이트를 null로 변경할 수 있어야 한다. 3) 공격자에 의해 free chunk의 size보다 작은 heap 영역을 2개 할당할 수 있어야 한다. 4) 공격자에 의해 free chunk의 size보다 작은 heap 영역 2개를 할당할 수 있어야 한다. 2. Exploit plan 1) 3개의 heap 할당 - heap1(0x80), heap2(0x200), heap3(0x80) 2) heap2의 heade..

SYSTEM HACKING/Exploit Tech 2020. 1. 30. 22:05

# process stripped(안티디버깅)되어있어서 symbol을 load할 수 없다. 그리고 read 함수만 있다. 이때 syscall을 사용한 ROP 기법을 사용해서 익스할 수 있다. 일반적으로 함수 하위 세자리는 offset으로 고정적이다. 그리고 read 함수를 확인해보면 syscall이 존재한다. 이 read의 syscall을 이용할 것이다. 1. data 영역에 "/bin/sh" 문자열을 넣는다. read 함수는 3개 인자를 필요로하므로 "pop rax; pop rdi; pop rsi; ret" gadget을 사용한다. x64 인자 구성 순서는 rdi, rsi, rdx 이므로 인자 순서대로 값을 넣어주면 된다. "/bin/sh" 문자열은 read로 data 영역에 입력받을 때 send한다...

SYSTEM HACKING/HackCTF 2020. 1. 30. 00:55

Hint : This program prints any input you give it. Can you leak the flag? Connect with nc 2018shell3.picoctf.com 57169 # 보호기법 확인 # 실행 while문으로 계속 반복해서 >을 출력해주면서 표준입력받는다. (서버가 열려있다..!) # code v6와 s 변수의 거리는 0x40(60)바이트이다. v6에 64바이트의 flag를 fgets로 쓰고, fgets로 표준입력받은 것을 s에 64바이트를 쓴다. 그리고 printf(&s); 로 출력해준다. 이때 Format String Bug가 발생한다. 이 printf(&s); 에서의 printf 호출 부분에 bp를 잡고 확인해본다. 표준입력한 값이 들어가는 0xffffc..

SYSTEM HACKING/CTF, etc 2020. 1. 29. 23:01

x32 Format String Bug 문제이다. # 보호기법 확인 # code val의 값이 24이면 flag를 출력해준다. 그리고 printf(&buf); 로 서식지정자를 사용하지 않고 buf 값을 바로 출력해서 Format String Bug 취약점이 있다. 그리고 그 전에 val 주소도 출력해준다. 출력해주는 val 주소를 받아서 read 시 FSB를 사용하면 printf(&buf) 시 val 주소가 위치한 곳을 알 수 있고, 이 위치에 값을 24로 주면 될 것이다. # process 6번째에 출력된다. 따라서 처음에는 p32(val)로 val 주소를 주면 6번째에 출력이 되는데, 처음 주는 주소 길이는 4바이트이다. 6번째 %n에 들어가는 값이 24가 되게 해야하므로 20바이트를 그 사이 5개에..

SYSTEM HACKING/CTF, etc 2020. 1. 29. 22:45

Overlapping chunks1과의 차이점 : 1. Overlapping Chunks1 : chunk의 size를 수정해서 다음 청크가 TopChunk를 가리키게 한다. 2. Overlapping Chunks2 ; Chunk의 size를 수정해서 다음 청크가 FreeChunk를 가리키게 한다. Conditions 1. 공격자에 의해 free chunk를 생성할 수 있어야 한다. 2. 공격자에 의해 free chunk의 size 영역에 값을 저장할 수 있어야 한다. Exploit plan 1. 5개의 heap 생성 * malloc_usable_size() malloc_usable_size – 힙에서 할당한 메모리 블록의 크기 얻기 #include size_t malloc_usable_size(void ..

SYSTEM HACKING/Exploit Tech 2020. 1. 26. 17:03

1. buf와 return address 사이 거리 구하기 return address의 정확한 위치를 구하는 것이 중요하다. strcpy 전 인자로 %eax를 넣는데 이 eax 레지스터에 들어있는 주소 값을 확인해보면 buf임을 알 수 있다. 이 주소와 처음 bp를 잡았을 때 출력한 주소 값의 차이 20 바이트가 offset이다. (buf + SFP) 2. 환경변수 등록 + 환경변수 주소 구하기 (return address를 덮을) 3. exploit NOP으로 쉘코드를 감싸줘야 제대로 익스가 된다. 더미를 주고 return address에 환경변수 주소를 주면 쉘이 따진다.

SYSTEM HACKING/LOB Redhat 2020. 1. 24. 16:05

# 보호기법 확인 # process 일단, heap에서 각 변수들의 위치가 어디인지 확인하기 위해 디버깅을 해봤다. name 입력한 후 heap 상태 : name을 'A'*0x10으로 준 후 상태를 확인해보니, 데이터 영역에 name 값이 적혀있고, name+0x8 위치에 play_game 주소가 적혀있는 것을 확인할 수 있다. play_game 한 후 heap 상태 : 게임에서 지게되면 score를 -1점을 받는다. heap을 확인해보면 name 다음에 0xffff로 score 값이 적혀있다. 즉, name + score + play_game 상태이다. save_game한 후 (malloc 한 후) heap 상태 save_game으로 새로 heap이 할당되어서 0x30 크기의 청크가 있고, name +..

SYSTEM HACKING/pwnable.xyz 2020. 1. 22. 23:29

# 보호기법 # pseudo code main 함수 : flag 함수 : # process main 함수의 코드를 따라가서 heap 상태를 확인한다. v3 값을 1로 만든다고 했으니 1 값을 가지는 부분이 v3 일 것이다. 그럼 v3+1 에 malloc 한 heap의 주소 값을 적으니까 0xbe5030이 두 번째 malloc 한 청크 주소. 바로 뒤의 0x0 + 0x21(size) + data(0x10) 에 해당한다. 그 뒤에 2 값이 적혀있는 부분은 v4 이다. v4 + 1에는 세 번째 malloc한 청크의 주소가 적혀있다. 그리고 바로 뒤에 해당 청크가 있다. 자, 이제 다음 단계를 확인하기 위해 main함수를 다시 보자. fgets 함수로 변수 s에 0x1000 바이트 입력받고, v3+1에 strc..

SYSTEM HACKING/CTF, etc 2020. 1. 22. 23:29

Def Camp 2016 Warm Heap와 완전히 똑같은 문제이다. # 보호기법 확인 # pseudo code # process 1번째 fgets 후 heap 상태 : 1번째 strcpy 후 heap 상태 : v4+1이 exit@got로 덮힌 것 확인 가능 두 번째 fgets와 strcpy가 끝난 후 : exit@got(0x601068) 에 flag 함수 주소(0x400826) 값이 적혀있다. # exploit code pwn import * #p = process("./beginner_heap.bin") p = remote("ctf.j0n9hyun.xyz", 3016) #gdb.attach(p) elf = ELF("./beginner_heap.bin") flag = 0x400826 exit_got =..

SYSTEM HACKING/HackCTF 2020. 1. 22. 23:28