anonymous?

# checksec / file # process 2번 메뉴에서 S가 전역변수 아님 -> Format String Bug 가능 1번 메뉴에서 크기 0x410+0x8인 v5 변수에 0x5dc 입력 -> overflow 가능 1번 메뉴에서 overflow 가능한 것으로 return address를 one gadget으로 덮는다. 따라서 libc leak과 canary leak이 필요하다. (return address를 덮으면 되므로 pie leak은 필요없다.) AAAAAAAA을 입력했을 때 0x4141414141414141이 8번째에 출력된다. 즉, 8번째부터 stack 값이 출력되는 것이다. 따라서 libc leak과 canary leak을 하려면 8 offset을 더한 후에 해야한다. 1. canary..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 18:17

# Protection Tech # file # code 1. add user - size 크기만큼 malloc해서 그 heap 주소를 desc 변수에 저장, 초기화 - 0x80 크기만큼 malloc해서 UserInfo 변수에 heap 주소 저장. 초기화 - UserInfo 구조체에서 desc 영역에 desc에 저장된 값 저장. - UserList 전역변수에 UserInfo 값 저장 - setName 함수로 UserList[count] + 4 영역에 124바이트만큼 name 입력받음. - update 함수로 desc 영역에 값 저장. 2) delete - index 값이 count보다 작고, UserList[index] 값이 0이 아닌 경우 - UserList[index] 값, 즉 UserList[ind..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 17:46

# Protection Tech # process validation 변수 값이 0이 아니면 win 함수를 호출해서 쉘 실행 가능하다. 1) small chunk 1개, large chunk 1개 할당 2) 0번 청크 제거 - unsorted bin에 등록된다. 3) UAF로 0번 청크에 validation-0x10 주소 값을 넣는다. bk 영역에 들어가 있는 것 확인할 수 있다. 4) 해제한 0번 청크와 같은 크기로 heap 할당 - unlink 과정에서 validation 값이 바뀌기 때문에 따로 값을 바꾸지 않아도 if 조건을 만족해서 win 함수가 호출될 수 있다. # exploit code #!/usr/bin/python from pwn import * #context.log_level = 'd..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 17:33

# Protection Tech # process Flag 출력해주는 magic 함수로 이동하는 것이 목표 초기 heap 상태. 0x20 사이즈의 청크로 데이터 영역에 hello_message와 goodbye_message에 대한 주소가 담겨있다. bss 영역에는 itemlist라는 전역변수가 있는데, heap을 추가할 때마다 itemlist에 해당 주소를 저장한다. 따라서 여기에 heap 주소가 아닌 got 주소로 바꿀 수 있다. 1) 3개의 heap 할당 2) 2번째 청크에 fake chunk 생성 - unsafe unlink - fd에 공격대상주소-0x18, bk에 공격대상주소 - 0x10을 넣는다. - 3번 청크에 prev_size는 fake chunk 크기(헤더 포함이므로 0x20), size는..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 17:24

# Protection Tech # process 1. 2개의 marimo 생성 marimo는 Buy() 함수에서 사서 malloc 할 수 있는데, 돈이 부족하다. main 함수의 switch 문 전의 while 문에서 메뉴 선택 값을 저장하는 변수 v3 값을 매개변수로 넘겨서 조건을 확인하는 코드가 있다. v3로 "show me the marimo"를 주면 청크가 0x18 크기인 marimo 하나를 생성해준다. 이때 size와 가격은 각각 1과 5로 지정되어있다. 그리고 sub_400eed 함수를 호출해서 v1(heap 주소), 1(marimo size), 5(price)를 넘겨준다. marimo의 구조를 확인할 수 있다. marimo 2개를 생성한 후 heap 구조는 위와 같다. 2. heap ove..

SYSTEM HACKING/CTF, etc 2020. 2. 9. 23:16

# description x32 Format String Bug 문제이다. # protection tech # code - printf(&buf) : 바로 buf 변수 값을 출력함 -> Format String Bug 취약점 발생 # process 위의 코드를 보면 printf(&buf)에서 FSB가 발생하기도 하지만 이 코드를 보면 printf@got를 system@plt로 덮고 buf에 "/bin/sh"을 주면 쉘을 실행할 수 있다고도 생각해볼 수 있다. 이렇게 하려면 먼저 printf@got를 덮고 다시 입력받아서 "/bin/sh" 문자열을 buf 변수에 입력해야 해서 최소 2번은 vuln 함수가 필요하다. 출력 이후 puts 함수 호출 2번을 해서 출력해주는데 이것을 이용해볼 수 있겠다. puts..

SYSTEM HACKING/CTF, etc 2020. 2. 7. 00:49

# description Can you authenticate to this service and get the flag? Connect with nc 2018shell3.picoctf.com 27114 # code s 변수에 "yes"가 없으면 printf(&s); 로 출력해주는데 이때 Format String Bug 취약점이 발생한다. _bss_start에 입력한 값을 64바이트만 s에 저장한다. _bss_start가 뭔가 봤더니 그리고 yes를 입력하면 read_flag() 함수를 호출해준다. read_flag() 함수 : read_flag() 함수는 authenticated 값이 0인지 아닌지 if문으로 확인하는데 0이 아닐 때 flag() 함수를 호출해준다. 현재 authenticated 값은 ..

SYSTEM HACKING/CTF, etc 2020. 1. 31. 12:56

# file statically linked binary이다. # checksec # code - vuln : gets로 단순히 입력을 받아서 BOF 취약점이 발생한다. look at me에서 사용한대로 gets로 bss 영역에 “/bin/sh” 문자열을 넣고, syscall로 execve(“/bin/sh”, NULL, NULL); 을 실행해서 쉘이 실행되도록 할 것이다. # process 1. 필요한 인자 EAX 0x0b : execve syscall id ECX NULL EBX “/bin/sh” EDX NULL 2. 필요한 gadget & 주소 - pop eax; ret : 0x80b84d6 - pop ecx; ret : 0x80dece1 - pop ebx; ret : 0x80481c9 - pop r..

SYSTEM HACKING/CTF, etc 2020. 1. 31. 12:43

Hint : This program prints any input you give it. Can you leak the flag? Connect with nc 2018shell3.picoctf.com 57169 # 보호기법 확인 # 실행 while문으로 계속 반복해서 >을 출력해주면서 표준입력받는다. (서버가 열려있다..!) # code v6와 s 변수의 거리는 0x40(60)바이트이다. v6에 64바이트의 flag를 fgets로 쓰고, fgets로 표준입력받은 것을 s에 64바이트를 쓴다. 그리고 printf(&s); 로 출력해준다. 이때 Format String Bug가 발생한다. 이 printf(&s); 에서의 printf 호출 부분에 bp를 잡고 확인해본다. 표준입력한 값이 들어가는 0xffffc..

SYSTEM HACKING/CTF, etc 2020. 1. 29. 23:01

x32 Format String Bug 문제이다. # 보호기법 확인 # code val의 값이 24이면 flag를 출력해준다. 그리고 printf(&buf); 로 서식지정자를 사용하지 않고 buf 값을 바로 출력해서 Format String Bug 취약점이 있다. 그리고 그 전에 val 주소도 출력해준다. 출력해주는 val 주소를 받아서 read 시 FSB를 사용하면 printf(&buf) 시 val 주소가 위치한 곳을 알 수 있고, 이 위치에 값을 24로 주면 될 것이다. # process 6번째에 출력된다. 따라서 처음에는 p32(val)로 val 주소를 주면 6번째에 출력이 되는데, 처음 주는 주소 길이는 4바이트이다. 6번째 %n에 들어가는 값이 24가 되게 해야하므로 20바이트를 그 사이 5개에..

SYSTEM HACKING/CTF, etc 2020. 1. 29. 22:45

# 보호기법 # pseudo code main 함수 : flag 함수 : # process main 함수의 코드를 따라가서 heap 상태를 확인한다. v3 값을 1로 만든다고 했으니 1 값을 가지는 부분이 v3 일 것이다. 그럼 v3+1 에 malloc 한 heap의 주소 값을 적으니까 0xbe5030이 두 번째 malloc 한 청크 주소. 바로 뒤의 0x0 + 0x21(size) + data(0x10) 에 해당한다. 그 뒤에 2 값이 적혀있는 부분은 v4 이다. v4 + 1에는 세 번째 malloc한 청크의 주소가 적혀있다. 그리고 바로 뒤에 해당 청크가 있다. 자, 이제 다음 단계를 확인하기 위해 main함수를 다시 보자. fgets 함수로 변수 s에 0x1000 바이트 입력받고, v3+1에 strc..

SYSTEM HACKING/CTF, etc 2020. 1. 22. 23:29

Unsorted Bin Attack 문제이다. # 보호기법 확인 # pseudo code flag를 출력해주는 함수는 l33t() 함수인데, 이 함수를 호출하는 조건은 위와 같다. 메뉴를 입력받는 변수 값이 4869이어야 하는데, magic 이라는 bss 섹션에 존재하는 전역변수 값이 0x1305보다 커야한다. 0x1305는 10진수로 4869이다. 그렇다면 unsorted bin attack 기법을 사용해서 조건 만족시킨 후 &magic-0x10을 bk에 넣으면, malloc() 호출 시 할당해주는 주소가 magic 위치가 된다. 따라서 다음 malloc 시 0x1305보다 큰 값을 주면 if문 조건을 만족하고, 메뉴 입력 시 4869를 주면 l33t() 함수를 호출할 수 있다. 이제 unsorted ..

SYSTEM HACKING/CTF, etc 2020. 1. 12. 17:37