anonymous?

스택은 임시 데이터를 저장하는 공간이다. 메모리에서 계속 데이터를 가져오기보다, 스택에 저장해서 접근하는 방식이다. 빈번하게 사용하는 데이터를 레지스터에 넣는다. 함수 프롤로그와 에필로그에서 스택 포인터를 조정한 후, 스택 포인터를 사용해서 데이터를 push하고 pop한다. x86 Stack Frame Intel x86 Stack Frame은 아래로 커진다. (high address -> low address 방향으로) 즉, 메모리 상의 임의의 주소부터 더 낮은 주소 아래로 자란다. 따라서 x86에서 스택의 맨 위를 말한다면 스택이 메모리에서 차지하는 주소의 공간 중 가장 낮은 곳을 말한다. (가장 낮은 주소) x86에서는 ESP(Extended Stack Pointer) 레지스터가 스택과 함께 작동한다..

SYSTEM HACKING/Exploit Tech 2020. 5. 30. 16:22

1. RET Overwrite Exploitation Stack buffer overflow 취약점을 이용해서 공격하는 방법이다. 이 취약점의 경우 주로 stack의 return address를 덮는 공격을 사용한다. Return address : 함수가 종료하고 돌아갈 이전 함수의 주소이다. Return address를 함수 종료 후 공격자가 실행하고자 하는 코드의 주소로 덮어서 실행의 흐름을 조작한다. 2. stack buffer overflow // gcc -o example1 example1.c -fno-stack-protector -z execstack -mpreferred-stack-boundary=2 -m32 #include int vuln(char *src) { char buf[32] = ..

SYSTEM HACKING/Exploit Tech 2020. 4. 6. 12:00

1. JMPREL, SYMTAB, STRTAB 각 JMPREL, SYMTAB, STRTAB 주소는 $ readelf -a babystack | grep "" 로 구할 수 있다. SYMTAB : 0x80481cc JMPREL : 0x80482b0 STRTAB : 0x804822c 1) JMPREL JMPREL segment (rel.plt) 는 Relocation table이라는 테이블을 가지고있다. 각 엔트리는 symbols에 맵핑되어 있다. 이 엔트리들의 타입은 Elf32_Rel이다. 하나의 entry 크기는 8바이트이다. 테이블에서 하나의 엔트리를 살펴보자면, Sym.Name : Symbols의 이름 : read@GLIBC_2.0 Offset은 symbol에 대한 GOT entry 주소 : 0x080..

SYSTEM HACKING/Exploit Tech 2020. 2. 21. 09:03

1. Conditions 1) 0x200 이상의 heap 영역 : 공격 대상 heap 영역을 할당, 해제할 수 있어야 한다. Fast bin 이상의 heap 영역(Heap size : 0x80 이상) : 공격 대상 영역에 할당 heap 영역 2) 공격자에 의해 free chunk의 size 영역의 1바이트를 null로 변경할 수 있어야 한다. 3) 공격자에 의해 free chunk의 size보다 작은 heap 영역을 2개 할당할 수 있어야 한다. 4) 공격자에 의해 free chunk의 size보다 작은 heap 영역 2개를 할당할 수 있어야 한다. 2. Exploit plan 1) 3개의 heap 할당 - heap1(0x80), heap2(0x200), heap3(0x80) 2) heap2의 heade..

SYSTEM HACKING/Exploit Tech 2020. 1. 30. 22:05

Overlapping chunks1과의 차이점 : 1. Overlapping Chunks1 : chunk의 size를 수정해서 다음 청크가 TopChunk를 가리키게 한다. 2. Overlapping Chunks2 ; Chunk의 size를 수정해서 다음 청크가 FreeChunk를 가리키게 한다. Conditions 1. 공격자에 의해 free chunk를 생성할 수 있어야 한다. 2. 공격자에 의해 free chunk의 size 영역에 값을 저장할 수 있어야 한다. Exploit plan 1. 5개의 heap 생성 * malloc_usable_size() malloc_usable_size – 힙에서 할당한 메모리 블록의 크기 얻기 #include size_t malloc_usable_size(void ..

SYSTEM HACKING/Exploit Tech 2020. 1. 26. 17:03

1. Condition 1) free chunk를 생성할 수 있어야 한다. 2) free chunk의 size 영역에 값을 저장할 수 있어야 한다. - size 영역을 변조해서 다음 청크를 overwrite해야 하므로 2. Exploit Plan 1) 3개의 heap 생성 ex. malloc(0x100) malloc(0x100) malloc(0x80) 2) 2번째 heap 영역 해제 - 해제하는 청크는 다음 청크의 다음 청크가 top chunk여야 한다. - 해제된 chunk는 unsorted bin에 들어간다. (small chunk 이상 사이즈로 할당) 3) free chunk의 size 영역에 재할당 받을 크기 값 저장 - 재할당 받을 크기 값 : 해제된 heap 크기(0x100+0x10) + 3번..

SYSTEM HACKING/Exploit Tech 2020. 1. 17. 12:14

1. Condition 1. 할당받기 원하는 영역에 fake chunk 구조를 가지고 있어야 한다. -> malloc()의 smallbins corruption check 우회 위해 2. small chunk, large chunk의 할당과 해제가 자유로워야 한다. 3. freed chunk의 bk 영역에 원하는 값을 저장할 수 있어야 한다. 2. Exploit Plan 1. 공격 대상 - fake chunk 구조 가질 수 있는 memory 영역 - fake chunk 구조 저장할 수 있는 memory 영역 - fake chunk 생성 시 prev_size, size는 신경쓰지 않아도 되고 fd와 bk 값만 제대로 주면 된다. fd에는 heap 영역에 있는 청크의 bk에 fake chunk 주소가 저장된..

SYSTEM HACKING/Exploit Tech 2020. 1. 15. 14:54

1. idea topChunk의 size를 덮고 원하는 크기만큼 malloc해서 malloc이 특정 주소를 리턴하도록 하는 기법 * topChunk - topChunk는 메모리의 마지막에 있는 특별한 chunk이다. - malloc이 os에 더 많은 공간을 요구할 때 topChunk는 resize된다. - topChunk 크기보다 작은 크기의 청크 요청 시 topChunk에서 chunk를 떼어주고, topChunk 크기보다 더 큰 크기 요청 시 sbrk() 이용해 힙 영역을 확장해서 topChunk 사이즈를 키운 후 topChunk에서 떼어준다. -topChunk에서 떼어주면 topChunk 주소는 현재 topChunk 주소 + 요청한 chunk 사이즈 -> topChunk 사이즈를 0xfffffffff..

SYSTEM HACKING/Exploit Tech 2020. 1. 12. 21:40

1. 목적 Unsorted Bin에 들어있는 unsorted chunk를 다시 할당할 때 unlink 과정에서 발생하는 취약점을 이용해서 main_arena 영역의 주소를 특정 메모리에 저장하는 것 * Unsorted Bin : 해제된 small chunk, large chunk 관리 2. Exploit Plan 1) 2개의 chunk 할당(malloc) 2) 1번째 chunk 해제(free) -> 해제된 1번째 chunk가 unsorted bin에 등록된다. 3) 1번째 chunk의 bk에 (해제되면 chunk의 user data 영역이 fd와 bk가 됨) 공격 대상 주소를 적는다. -> 64bit : &공격대상주소 - 0x10 * unlink() 과정에서 bck->fd = unsorted_chunks..

SYSTEM HACKING/Exploit Tech 2020. 1. 9. 16:08

how2heap의 unsafe_unlink.c와 Lazenca 문서를 보고 공부했다. Conditions 1. 공격자에 의해 생성된 heap 영역이 전역 변수와 같이 주소를 예상할 수 있는 영역에서 관리되어야 한다. 2. 공격자에 의해 크기가 0x80 이상의 heap 영역이 할당될 수 있어야 한다. Exploit plan 1. global 변수 chunk0_ptr 선언 이 포인터를 원하는 메모리 주소로 옮기고 이 포인터를 이용해 값을 적는 것이 목표 2. smallChunk 이상 크기의 chunk 2개 할당. - 0x80 크기의 청크 2개 할당 : 첫 번째 chunk는 전역변수에 저장한다. 실제 chunk 크기는 헤더(0x10) 포함 0x90 3. 첫 번째 chunk 안에 fakeChunk 1개 만든다...

SYSTEM HACKING/Exploit Tech 2020. 1. 5. 15:59

1. heap에서 병합이 일어나는 경우 1) prev_inuse 비트가 해제된 청크를 해제(free) 시 prevChunk와 병합 또는 prev_inuse 비트가 해제된 청크 앞으로 두 번째 청크가 해제됐을 때 그 뒤 청크와 병합 2) largeChunk 할당(malloc) 시 fastbinChunk와 인접해있는 경우 fastbinChunk와 병합 2. fastbin_dup_consolidate - 청크 병합 시 발생하는 취약점 - largeChunk를 할당했을 때 fastbinChunk와 인접해있지 않은 경우 fastbinChunk가 smallbin으로 이동하는 것을 이용한 기법 fastbin에서 해제되고 fastbinsY[i]에 있던 경우 bins[i+1]에 들어간다. 이후 다음 fastChunk의 ..

SYSTEM HACKING/Exploit Tech 2020. 1. 1. 16:47

1. 조건 Double free bug 가 가능해야 함 2. 공격 방법 1) 동일한 크기 fast chunk 3개 생성(malloc) 2) 첫 번째 fast chunk 해제(free) 3) 두 번째 fast chunk 해제(free) 4) 첫 번째 fast chunk 해제(free) -> double free 5) 동일한 크기의 fast chunk 2개 재할당(malloc) 6) 재할당 받은 첫 번째 chunk 영역에 fd에 stack 주소 저장 -> stack 주소 값 + 0x8 영역에는 동일한 chunk size 저장되어야 함 (fastbin에서 재할당 시 chunk size가 요청한 size와 같은지 확인하기 때문) 7) 동일한 크기의 fast chunk 할당 -> fd + 0x10 주소가 리턴된다..

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:13