anonymous?

1) 2번 메뉴 V7과 v8이 0x10 차이 나므로 2에서 nationality를 ‘A’로 채우면 v8을 덮을 수 있다. 먼저 v8에 got를 넣고, 2) 3번 메뉴 3번에서 v8을 int형으로 입력받는데 (64비트에서 %d는 4바이트이다..) 이때 v8은 어떤 libc의 got이므로 덮고자하는 주소, 즉 win 함수 주소를 주면 got를 win 주소로 덮을 수 있다. V8은 scanf에서 %d로 받으므로 str(win)으로 준다. 처음에 got로 puts 함수를 사용하려고 했는데 puts got에 0x20 포함했다. 아스키 코드 20이 스페이스라서 scanf는 스페이스를 받지 않기 때문에 exit이 된다. 그리고 libc 함수들 중에서 아직 사용되지 않은, 호출되지 않은 주소를 사용해야 한다. exit..

SYSTEM HACKING/pwnable.xyz 2019. 11. 2. 13:02

Heap 동적인 영역 1. Arena 메모리 관리 영역 프로세스에 할당된 heap 영역(non-mmapped) 1-1. main_arena brk 시스템 콜 사용하여 할당된 힙을 효율적으로 관리하기 위해 malloc.c에서 “malloc_state” 구조체 top chunk 크기보다 큰 사이즈 할당 요청의 경우: mmap 시스텥ㅁ 콜 사용해서 새로운 페이지 할당 -> 이 힙은 main_arena에서 관리하지 않는다. malloc을 하기 전에는 heap 메모리 공간이 없는데, malloc을 하고 나면 heap 메모리 공간이 생기는 것을 gdb로 확인할 수 있다. pwndbg> p main_arena 2. Chunk 할당 단위 -Allocated chunk -Top chunk 2.1 Allocated chu..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 12:56

1. JOP(Jump-Oriented Programming) -JMP 명령어를 이용하여 프로그램의 흐름을 제어하는 방법 -JOP의 gadget : “Exploit에 필요한 코드 + JMP 명령어” Ex. x64 환경에서 함수의 첫 번째 인자값에 0 저장 : “mov rdi, 0; jmp [R9]” 2. Vuln code -dlsym 함수로 prinf 함수 주소 leak -read(0, buf, 256) : 크기 50 바이트인 buf에 256 바이트 입력 -> overflow 취약점 * return address와 buf 변수 사이 거리 Bp1 : vuln 함수 첫 번째 명령어 -> return address Bp2 : vuln 함수 read 함수 호출 부분 -> buf 함수 주소 3. JOP 구조로 쉘 ..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:47

1. /lib/x86_64-linux-gnu/libc-2.23.so libc 라이브러리의 do_system() 함수 내에서 __execve() 함수를 이용해 shell을 호출한다. __execve (_PATH_BSHELL, (char *const *) args, __environ); 2. One gadget 찾기 1) strings strings 이용해서 라이브러리 파일에서 "/bin/sh" 문자열이 위치한 offset 주소를 구한다. $ strings -t x /lib/x86_64-linux-gnu/libc-2.23.so | grep "/bin/sh" 2) objdump $ objdump -M intel -d /lib/x86_64-linux-gnu/libc-2.23.so | grep -C8 18cd57..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:40

이번 문제도 한번도 안 해본 방법(?)인 문제였다. 전체적인 형식은 add나 sub와 똑같아서 세 변수 중 두 변수로 값을 조절하고, 다른 한 변수로는 리턴할 곳을 조절하는 것으로 같았다. 하지만 이번에는 FULL RELRO가 적용되어 있어서 원하는 win 함수 주소를 쓸 수 있는 곳을 찾다가... 기계어까지 적게 되었다... 차근차근 해보자..! What can you access and what are you going to write? # checksec : 보호기법 확인 FULL RELRO, NX로 실행과 쓰기 권한이 제한된다! # IDA > win 함수 일단 win 함수에서 flag 를 출력하니까 return address를 win 함수 주소로 변조하던가 win 함수 주소로 리턴하는 형태일 것 ..

SYSTEM HACKING/pwnable.xyz 2019. 9. 28. 00:58

0x601160 주소를 0ㅌ601168 로 초기화 0x601168 주소는 "%s\n" 으로 초기화 read(0, buf, 0x10) : buf 변수에 16 바이트 입력받음. y 또는 Y를 입력만 하면 되므로 15 바이트가 남는다. src는 0x84 바이트 malloc 받음 - read(0, src, 0x80) 로 src에 0x80 바이트 입력받음 (null 포함 X) -> overflow는 발생 X strcpy(usr, src) : usr에 src 문자열 복사. 이때 null termination 추가되므로 usr + 0x80 주소는 0x00 값을 가진다. 근데 구해보면, usr + 0x80 은 0x601160 주소이며, printf 함수에 들어가는 format 문자열의 주소이다. 따라서 setup 함수..

SYSTEM HACKING/pwnable.xyz 2019. 9. 27. 21:36

# 파일 유형 확인 $ file challenge 64-bit 바이너리 파일 # IDA - pseudo code 확인 > main 함수 while 문으로 반복 v4 가 0이면 break. 1, 2, 0 이 아닌 수이면 Invalid를 출력하고 계속 제대로 된 숫자를 입력할 때까지 메뉴 출력 반복 > print_menu 함수 메뉴 출력 > read_int32 함수 (실제 함수 이름이 이렇진 않겠지만..!) atoi 함수 : 문자열을 int로 변환 read_int32 함수에서 일단 buf 변수에 32 바이트의 문자열을 받고, 이 문자열을 atoi로 숫자로 변환해서 main 함수의 v4 변수로 받는다. 메뉴 번호만 입력받아서 32 바이트나 필요없는데 이렇게 크기를 크게 받는다는 것은 이 공간을 사용하라는 의미..

SYSTEM HACKING/pwnable.xyz 2019. 9. 27. 20:43

# sz 명령어 사용을 위한 설정 윈도우에서 ubuntu로 바이너리 파일 복사를 위해, ubuntu에서 윈도우로 파일 복사를 위해서는 sz 명령어가 필요한데, lrzsz 패키지가 설치되어있어야 한다. #Pwntools 사용을 위한 설정 위의 과정대로 했는데 pwntools 설치가 잘 안되서 찾아보니 $ sudo pip install pwntools 명령어를 사용하면 됐다. 이 명령어를 사용하니 pwntools가 설치되었다. python을 실행해서 >>> from pwn import * 를 입력했을 때 error가 생기지 않으면 성공적으로 설치된 것이다. sudo apt-get install python-capstone 이걸 설치하면 ROP 사용 시 error 가 생기지 않는다고 하니 미리 설치해두자.

TOOLS/TIPS 2019. 9. 22. 18:02

Ubuntu가 어쩌다가 죽게 되어서 다시 깔게 되서 초기화 상태가 되었다... 따라서 편의를 위해 xshell로 ssh 연결을 해야 하는데 몇가지 필요한 과정이 있는 것 같다. # ufw allow 22/tcp SSH 서버 구동 전, 방화벽 프로그램에서 tcp 포트 22번 연결을 허용해야 한다. Ubuntu의 경우, root 권한으로 # ufw allow 22/tcp 명령어를 입력하여 설정한다. ssh 구동 상태를 확인한다. inactive 이면, sshd 서비스가 구동 중이 아닌 것이다. 확인해보니 SSH 서버가 참조하는 /etc/ssh/sshd_config 파일이 없다... 터미널에서 rpm 명령어로 서비스 설치 여부를 확인해봐서 결과가 나오지 않으면 openssh-server가 설치되지 않은 것이니..

TOOLS/TIPS 2019. 9. 22. 17:35

모음 배열의 원소에 대하여, 입력받은 문자열을 리스트로 바꾼 b에 있으면 remove 한다. 바깥 for문을 감싸준 이유는, 이게 없이 쓰면 모음 하나만 제거되고 중복되는 같은 모음은 제거되지 않고 남아있는 문제가 있어서이다.

PROGRAMMING/Algorithm 2019. 9. 18. 23:33

x를 int로 받고, 원소에 접근할 때는 str로 형변환해서 접근한다. a라는 빈리스트를 생성해서 a에 x의 digit을 넣는데, a에 있지 않으면 넣는다 이때 인덱스로 접근할 때 x가 숫자이므로 str(x)로 형변환을 해서 접근한다. 근데 넣을 때는 int로 바꿔서 넣는다. 이중으로 형변환을 해야하는 이유는 x가 숫자라서 리스트 개념을 적용할 수 없기 때문이다. 그리고 if문으로 a에 있는지 체크할 때 int형을 씌운 이유는 넣을 때 int로 바꿔서 넣었기 때문이다. (필요 없을 것 같긴 한데…) 파이썬이 없어서 제출은 안 되지만..

PROGRAMMING/Algorithm 2019. 9. 18. 19:33

N은 입력받지만 이 변수를 쓸 일은 없었다. 그냥 a를 입력받을 때 띄어쓰기에 따라 원소로 구분해서 a 리스트에 넣고, b 리스트에서 int형으로 바꾼 후(번거롭지만 역순 sort해서 더 간단하게 하기 위해) 역순으로 sort를 한 후, K 까지 합계를 더하는 s 변수에 원소를 더해서 최대 성적을 만들었다.

PROGRAMMING/Algorithm 2019. 9. 18. 18:31