anonymous?

*IDA 기준으로 함수 이름 작성 * 메뉴1: sub_400DF8 함수 : malloc 함수 - 전역변수 buf, qword_6030f0, qword_603100, qword_6030e0, qword_603108, qword_6030e8 : heap 메모리 주소 저장하는 전역변수 - 전역변수 dword_603120, dword_603114, dword_603124, dword_603118, dword_603128, dword_60311c : 사용 상태 체크 변수 * 메뉴2 : sub_40120C 함수 : free 함수 * 메뉴3 : sub_4013E0 함수 : edit 함수 -> overwrite 전역변수에 heap 메모리 주소 저장한다. -> unsafe unlink 사용 가능 unk_603110 변수..

SYSTEM HACKING/CTF, etc 2020. 1. 10. 18:32

Partial RELRO → GOT Overwrite 가능 1. keep secret : calloc # small secret → fastChunk buf = calloc(1, 0x28); read(0, buf, 0x28); # big secret → largeChunk qword_6020c0 = calloc(1, 0xfa0); read(0, qword_6020c0, 0xfa0); # hug secret → largeChunk qword_6020c8 = calloc(1, 0x61a80); read(0, qword_6020c8, 0x61a80); 전역변수인 buf, qword_6020c0, qword_6020c8 에 할당된 heap 주소 저장 → 할당한 메모리를 전역변수에서 관리하므로 UAF 사용 X s..

SYSTEM HACKING/CTF, etc 2020. 1. 8. 00:28

1. 보호기법 확인 2. 과정 read로 buf변수에 입력받은 후 buf변수 값을 출력할 때 그냥 printf(&buf)로 출력해서 FSB(format string bug) 취약점이 존재한다. 1) %n 서식자 사용한 방법 1)-1. 0x000000da => 0x0 0x0 0x0 0xda 입력한 AAAA가 8번째에서 출력된다. 길이를 8자리로 맞추기 위해 2번째 ~ 6번째까지는 %08x 5개를 출력하고, 7번째에는 0xda 10진수(218) - (처음 magic 주소 길이 + %08x 5개 길이 = 44) = 174, 즉 %174c를 주고, ㅡmagic 주소가 위치한 곳에 %n을 출력해서 magic addr에 0xda의 값으로 덮히도록 한다. 1)-2. 0xfaceb00c => 0xb00c 0xface ..

SYSTEM HACKING/CTF, etc 2020. 1. 2. 18:19

1. 보호기법 확인 2. 과정 password가 매 실행마다 random으로 결정되는데 그 값을 출력해주지 않는다. 근데 password를 입력했을 때 이 password 변수의 값과 일치해야지 flag 파일 내용이 출력된다. 근데 이름을 buf 변수에 입력받고 출력할 때 그냥 printf(&buf)로 출력해서 format string bug 취약점이 존재한다. 따라서 이름을 입력받을 때 password의 주소를 알 수 있으므로 FSB를 사용해서 password 값을 leak하고, nptr 변수에 패스워드를 입력받을 때 이 leak 한 값을 줘서 flag가 출력되도록 한다. $를 사용하면 %n 전까지의 정확한 위치를 알지 않아도 구할 수 있다. payload를 pay = p32(password_addr)..

SYSTEM HACKING/CTF, etc 2020. 1. 2. 17:59

1. 보호기법 확인 2. offset 구하기 &puts - &system = 0x2a300 “pop rdi; ret” : 0x400bc3 puts – libc = libc.symbols[‘puts’] libc = puts- libc_puts_off binsh_addr = libc+libc_binsh_off system_addr = puts – puts_system_off 3. exploit code 그냥 puts 주소를 write로 leak 하고 libc, /bin/sh, system 주소를 구한 offset 주소로 구한다. Don’t break the rules…:( 뒤에 띄어쓰기가 있는 것을 주의.. 그리고 puts로 출력했기 때문에 \n을 같이 받는다. 4. exploit

SYSTEM HACKING/CTF, etc 2020. 1. 1. 16:54

1. 보호기법 확인 FULL RELRO + PIE PIE가 걸려있지만 실행 시 s의 주소를 출력해주므로 문제 X 2. IDA S 변수의 주소를 구해준다. S 변수의 크기는 0x12a = 298 바이트이고 [ebp-12Ah]에 위치하므로 S(298) + SFP(4) + RET(4) 인 stack 구조를 가질 것이다. 3. exploit S의 주소로 리턴해서 쉘을 실행할 수 있도록 쉘코드를 s에 올려준다. (NX가 걸려있지 않으니 가능)

SYSTEM HACKING/CTF, etc 2019. 8. 23. 14:27

1. 보호기법 확인 $ checksec shella-easy 2. IDA – pseudo code 확인 v5은 0xCAFEBABE 값을 가지고 있는데, 이 값을 0xDEADBEEF로 바꿔야 한다. 또한 gets 함수로 입력받아 overflow 취약점이 있으므로 return address를 덮어 변조할 수 있다. printf 함수로 s 변수의 주소를 출력해주므로 return address에 &s를 넣어서 리턴 시 s 시작주소로 이동할 수 있도록 한다. s 에는 shellcode를 넣는다. => return to shellcode 3. payload 변수 s의 시작주소에서부터 변수 v5 까지의 거리는 s가 [ebp-48h]에 위치하고, v5가 [ebp-8h]에 위치하므로 0x48 - 0x8로 구할 수 있다...

SYSTEM HACKING/CTF, etc 2019. 8. 23. 14:09

# code read 함수에서 256 바이트를 src에 저장하는데, strcpy 함수에서 이 256 바이트를 크기가 0x38 = 56 바이트인 dest 변수에 복사한다. 이때 overflow 취약점이 발생한다. 주소의 값을 알고싶은 주소를 입력하면 See_something 함수로 해당 주소의 값을 출력해준다. 주소가 ASLR로 계속 바뀌므로 이것을 이용해 libc 함수의 실행 시 주소를 받아 저장하고 system 함수와의 offset을 알면 system 함수 주소를 구할 수 있다. # 보호기법 확인 NX가 걸려있어서 shellcode를 못 올리니 RTL을 사용한다. # offset 구하기 Printf_system_offset : 0xe8d0 Printf_binsh_offset : 0x11239b # de..

SYSTEM HACKING/CTF, etc 2019. 8. 18. 00:42

1. NX 가 걸려있어서 쉘코드는 못 올리고…PIE가 있어서 메모리 주소가 계속 변한다… => offset 구하고 exploit 코드 짤 때 실행 시 libc base 주소나 libc function 주소 구하면 된다. 2 .최근 푸는 바이너리들은 disas main도 안 되서 디버깅을 못 했었는데 방법을 찾았다. => 그냥 run 하면 된다! (계속 오류떠서 안 되는 줄 알았다^^;) (bp를 잡아서 buffer와 return address 거리는 못 구하지만..이건 방법을 찾아봐야겠다.) 3. (gdb) set stop-on-solib-events 1 이번 r0pbaby 처럼 실행하면 while(1)이 계속 있어서 gdb 가 멈추기 힘든데… (gdb) set stop-on-solib-events 1 ..

SYSTEM HACKING/CTF, etc 2019. 8. 16. 23:32

1. 보호기법 확인 NX와 PIE 보호기법이 적용되어 있다. NX로 shellcode를 stack에 올리지 못하고(mprotect 함수 사용하면 되긴 하지만), PIE로 메모리 주소가 계속 변경된다. 따라서 RTL + gadgets 인 ROP를 사용하고, offset을 구해서 실행 시 정확한 주소를 구할 수 있다. * 그리고 64-bit 바이너리 파일이다! 2. IDA - pseudo code 확인 savedregs 변수는 rbp+0h에 위치 => SFP에 위치함 menu 1 : libc address 출력 menu 2 : 입력한 함수의 address 출력 => 실행 시 system 함수 주소 구해 따로 저장 menu 3 : 입력받을 문자열 길이를 입력하고, 문자열을 gets로 입력받고, 입력받은 것을 ..

SYSTEM HACKING/CTF, etc 2019. 8. 16. 23:28

1. IDA - pseudo code 확인 sub_80483f4 함수 : 0x88 = 136 바이트인 buf 변수에 256 바이트 입력받아서 overflow 취약점 있다. 2. protection tech 확인 3. read, write 함수의 plt, got 주소 구하기 read 함수와 write 함수 호출하려면 plt 주소가 필요하고, read_got를 system 함수 주소로 덮으려면 read_got 필요! -write의 plt 주소 -> write 함수 호출해 read_got 영역의 주소 출력 read_plt = 0x804832c read_got = 0x804961c write_plt = 0x804830c 4. ROP 컨셉 # method1 1. read(0, bss, len(shellcode))..

SYSTEM HACKING/CTF, etc 2019. 8. 15. 23:35