anonymous?

1. 조건 Double free bug 가 가능해야 함 (해제된 fast chunk를 한 번 더 해제하는 것이 가능해야 함) 2. 공격 방법 1) 동일한 크기 fast chunk 3개 생성(malloc) 2) 첫 번째 fast chunk 해제(free) fastbinsY[6] = 0x602000 3) 두 번째 fast chunk 해제(free) fastbinsY[6] = 0x602080 -> 0x602000(fd) 4) 첫 번째 fast chunk 해제(free) -> double free fastbinsY[6] = 0x602000 -> 0x602080(fd) -> 0x602000(fd) 5) 공격 대상 영역과 같은 크기의 heap 3개 할당(malloc) -> 첫 번째 heap 영역과 세 번째 heap..

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:07

1. 환경 공격자가 heap 영역을 할당(malloc), 해제(free)할 수 있어야 한다. 2. 공격 방법 1) 2개의 Heap 영역 할당(malloc) 2) 첫 번째 Heap 영역 해제(free) 3) Heap 영역 할당(malloc) - Fastbin : 해제된 chunk가 fastbinsY에서 관리될 경우 해제된 Heap과 크기 동일하게 할당 - Unsorted bin : 해제된 chunk가 unsorted bin에서 관리되는 small, large chunk인 경우, 해제된 Heap의 크기와 같거나 작은 크기를 할당 4) 해제되었던 Heap 영역을 재할당받게 된다. 3. example vuln code 1) 크기 0x90인 힙 할당 2) 크기 0x100인 힙 할당 3) 크기 0x90인 힙 해제...

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:01

목적 : 공격자가 만든 fake chunk를 fastbin으로 반환해서 fastbinsY에 원하는 주소를 등록하는 것. malloc() 호출로 리턴된 chunk 주소를 포함하는 변수를 overwrite Ex. malloc(0x40) 이 성공적으로 되면 chunk 주소를 리턴해주는데, 이 chunk 주소 값을 buf 포인터 변수가 저장한다. buf는 할당된 chunk를 가리키게 된다. buf를 fake chunk에 대응하는 메모리 주소로 수정할 수 있음 방법은 1. fake chunk의 size를 malloc()이 요청되는 사이즈와 같게 만든다. -> “free(): invalid size” Security check 우회 2. glibc에서 free할 때, 뒤에 인접한 청크의 크기를 검사한다. 따라서 f..

SYSTEM HACKING/Exploit Tech 2019. 11. 11. 12:31

Heap 동적인 영역 1. Arena 메모리 관리 영역 프로세스에 할당된 heap 영역(non-mmapped) 1-1. main_arena brk 시스템 콜 사용하여 할당된 힙을 효율적으로 관리하기 위해 malloc.c에서 “malloc_state” 구조체 top chunk 크기보다 큰 사이즈 할당 요청의 경우: mmap 시스텥ㅁ 콜 사용해서 새로운 페이지 할당 -> 이 힙은 main_arena에서 관리하지 않는다. malloc을 하기 전에는 heap 메모리 공간이 없는데, malloc을 하고 나면 heap 메모리 공간이 생기는 것을 gdb로 확인할 수 있다. pwndbg> p main_arena 2. Chunk 할당 단위 -Allocated chunk -Top chunk 2.1 Allocated chu..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 12:56

1. JOP(Jump-Oriented Programming) -JMP 명령어를 이용하여 프로그램의 흐름을 제어하는 방법 -JOP의 gadget : “Exploit에 필요한 코드 + JMP 명령어” Ex. x64 환경에서 함수의 첫 번째 인자값에 0 저장 : “mov rdi, 0; jmp [R9]” 2. Vuln code -dlsym 함수로 prinf 함수 주소 leak -read(0, buf, 256) : 크기 50 바이트인 buf에 256 바이트 입력 -> overflow 취약점 * return address와 buf 변수 사이 거리 Bp1 : vuln 함수 첫 번째 명령어 -> return address Bp2 : vuln 함수 read 함수 호출 부분 -> buf 함수 주소 3. JOP 구조로 쉘 ..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:47

1. /lib/x86_64-linux-gnu/libc-2.23.so libc 라이브러리의 do_system() 함수 내에서 __execve() 함수를 이용해 shell을 호출한다. __execve (_PATH_BSHELL, (char *const *) args, __environ); 2. One gadget 찾기 1) strings strings 이용해서 라이브러리 파일에서 "/bin/sh" 문자열이 위치한 offset 주소를 구한다. $ strings -t x /lib/x86_64-linux-gnu/libc-2.23.so | grep "/bin/sh" 2) objdump $ objdump -M intel -d /lib/x86_64-linux-gnu/libc-2.23.so | grep -C8 18cd57..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:40

1. Gadgets – POP; POP; POP; RET ● x64의 호출 규약은 System V AMD64 ABI (x86의 호출 규약은 Cdecl(C declaration)) - 따라서 x64의 호출 규약으로 pop 명령어의 피연산자가 중요하다. - x64의 ROP에서 POP 명령어의 역할 -> ESP 레지스터의 값을 증가시켜 함수를 연속으로 호출 -> 호출할 함수에 전달될 인자 값을 레지스터에 저장 (인자 값은 Stack에 저장되어 있음) ● Gadgets - “pop rdi; ret” : 호출할 함수의 첫 번째 인자 값을 저장 - “pop rsi; ret” : 호출할 함수의 두 번째 인자 값을 저장 - “pop rdi; pop rdx; ret” : 호출할 함수의 첫 번째, 세 번째 인자값을 저장 ..

SYSTEM HACKING/Exploit Tech 2019. 8. 17. 17:12

1. Return Oriented Programming (ROP) – x86 - 공격자가 실행 간 보호 (NX-bit) 및 코드 서명(Code signing)과 같은 보안 방어가 있는 상태에서 코드를 실행할 수 있게 해주는 기술 RTL + Gadgets - Stack Overflow 취약성 (프로그램 흐름 변경) + “Gadgets(가젯)” (해당 프로그램이 사용하는 메모리에 이미 있는 기계 명령어) 2. Gadgets – POP; POP; POP; RET - ROP = RTL + Gadgets -- RTL 공격에서는 system 함수 이외 다른 라이브러리 함수 호출도 가능 - 여러 개의 함수 호출 위해 Gadgets 사용 -- “pop; pop; pop; ret” : 호출하는 함수의 인자가 3 개인 경..

SYSTEM HACKING/Exploit Tech 2019. 8. 17. 17:04

Return to Shellcode Return address 영역에 shellcode 저장된 주소를 넣어서 shellcode 호출하는 것 * CALL 명령, RET 명령의 이해 - CALL : CALL 명령어 다음 주소를 return address에 넣어서 다시 원래 함수로 리턴 시 return address에 저장된 주소로 이동할 수 있도록 한다. - RET : POP 명령어 이용해 RSP 레지스터가 가리키는 stack 영역에 저장된 값을 RIP(EIP)에 저장해서 해당 주소로 이동 Ex. Test.c Breakpoint 1 : vuln 함수 호출 전 Breakpoint 2 : vuln 함수 프롤로그 Breakpoint 3: vuln 함수 RET 명령어 Main 함수에서 vuln 함수 호출 전 rsp..

SYSTEM HACKING/Exploit Tech 2019. 8. 10. 12:45

RTL(Return into Libc) – x64 공유 라이브러리 함수 주소를 return address에 넣어서 해당 함수를 호출하는 방법 -RTL 공격으로 NX bit(DEP) 우회 가능 # 호출 규약 System V AMD64 ABI 호출 규약 *Solaris, Linux, FreeBSD, macOS에서 사용 *특징 인자 전달 방식 : 레지스터 RDI, RSI, RDX, RCX, R8, R9는 정수 및 메모리 주소 인수가 전달되고, 레지스터 XMM0, XMM1, XMM2, XMM3, XMM4, XMM5, XMM6, XMM7은 부동 소수점 인수가 전달된다. 인자 전달 순서 : 오른쪽에서 왼쪽 순서로 레지스터 저장 함수의 반환값 : EAX Stack 정리 : 호출한 함수가 호출된 함수의 stack 공간..

SYSTEM HACKING/Exploit Tech 2019. 7. 26. 00:07

Return into Libc(RTL) Return address를 공유 라이브러리 함수의 주소로 바꿔 해당 함수를 호출하는 방법 -> RTL 공격 이용해서 NX bit(DEP) 우회 가능 (NX bit(DEP) : 메모리 상에 저장만할 수 있고 실행할 수 없게 하는 보호기법) # calling convention (호출 규약) 인텔 x86 기반 시스템 -> C/C++ 에서 사용 Linux kernel : Cdecl ( C declaration) 호출 규약 사용 특징 : -인자 전달 방법 : stack 이용 -인자 전달 순서 : 오른쪽에서 왼쪽 순서로 stack 에 저장 -함수 return 값/반환값 : EAX 레지스터에 저장 -사용된 stack 정리 : 해당 함수를 호출한 함수가 Ex. 함수 호출 규약..

SYSTEM HACKING/Exploit Tech 2019. 7. 25. 23:56

1. NX Bit(MS : DEP) #NX Bit(Never eXecute bit, 실행 방지 비트) -프로세스 명령이나 코드 또는 데이터 저장을 위한 메모리 영역을 따로 분리하는 CPU 기술 -NX 특성으로 지정된 모든 메모리 구역은 데이터 저장을 위한 용도로만 사용되고, 프로세서 명령어가 그 곳에 상주하지 않음으로써 실행되지 않도록 만듦 # DEP(Date Execution Prevention) -마이크로소프트 윈도우 운영체제에 포함된 보안 기능으로, 악의적인 코드가 실행되는 것을 방지하기 위해 메모리를 추가로 확인하는 하드웨어 밑 소프트웨어 기술 -DEP는 두 가지 모드로 실행됨 --하드웨어 DEP : 메모리에 명시적으로 실행 코드가 포함되어 있는 경우를 제외하고 프로세스의 모든 메모리 위치에서 실..

SYSTEM HACKING/Exploit Tech 2019. 7. 3. 17:38