anonymous?

# 보호기법 / file # Process SFP에 bss 영역의 주소를 넣으면 leave ret 시 bss로 이동한다. 그리고 다음으로 이동할 주소를 setup 이후 코드 주소로 준다. (다시 fgets로 입력받기 위해) 그럼 먼저 bss 영역에서 fgets() 함수로 입력받는다. 그 이유는 입력을 rbp+s로 하기 때문에 이전 SFP에 담긴 주소로 이동된 것이다. bss 영역 앞부분에는 stdout같은 것이 담겨있으므로 bss+0x200으로 이동하도록 했다. 두 번째 fgets에서는 쉘코드를 넣어주는데 한 번에 입력이 안 된다. 따라서 디버깅으로 확인하면서 fgets 2번에 나눠서 담아줘야 한다. 그리고 다시 setup 다음으로 돌아가는 주소도 넣어줘야 한다. 쉘코드를 담고 확인해보면 b0 0b cd..

SYSTEM HACKING/HackCTF 2020. 4. 20. 16:24

# 보호기법 # Process gift 함수를 보면 mov rcx, [rdi] ; ret 가젯이 있다. 이 문제에는 BOF도 일어나지만 libc leak을 할 함수가 fwrite밖에 없는데, 이 함수는 인자 4개가 필요하다. 하지만 가젯을 찾아보면 pop rdi ; ret 말고는 충분하지 않다. 따라서 fwrite 함수로 libc leak을 위해 RTC (Return to csu)를 사용한다. 1. fwrite 함수의 인자 구성을 알아보자. size_t fwrite(const void *ptr, size_t size, size_t count, FILE *file) fwrite(&got, 1, 6, 0x601050) 첫 번째 인자 : 읽을 메모리 주소. ptr이 가리킬 것이므로 got 주소로 준다. fge..

SYSTEM HACKING/HackCTF 2020. 4. 20. 16:23

jw security 블로그의 64bit FSB 글을 참고하면서 풀었다. # checksec # process V5변수가 rbp-8에 위치한 것으로 보아 canary임을 알 수 있다. AAAAAAAA가 6번째에 출력된다. 즉, 스택값이 6번째부터 들어있는 것이다. Offset은 6이 된다. Canary가 있을 경우 프로그램 종료 전 __stack_chk_fail 함수가 호출된다고 한다. 이 함수의 GOT를 변조하면 된다. 1. libc leak libc leak을 위해 libc_start_main+240이 출력되는 위치와 스택이 출력되기 시작하는 위치와의 offset을 구해야 한다. offset은 15가 된다. libcbase offset은 0x20830으로 libc_start_main+240을 구하고나..

SYSTEM HACKING/HackCTF 2020. 3. 25. 18:32

# checksec # process IDA에서 ctrl + u 를 누르면 String Window로 갈 수 있다. 바이너리를 넣었을 때 Flag와 Top secret 파일이 같이 생겨서 String Window를 봤다. 그럼 Statically linked binary에서 main함수를 더 빨리 찾을 수 있을 것이다. 바이너리를 실행시켰을 때 Input name이 출력됐으므로 Input name을 따라가면 main함수를 찾을 수 있을 것이다. 전역변수 unk_6CCD60에 입력받는다. scanf면 길이제한은 없다. (다만 뒤에 null byte가 같이 붙음) return address를 덮을 수 있다. TOP_SECRET을 따라가보면 이것도 MAIN함수에서 사용되는데, INPUT NAME 출력위한 함수..

SYSTEM HACKING/HackCTF 2020. 3. 25. 18:08

main함수를 보면 password를 체크하는 함수로 검사한다. Check_password함수를 보면 입력을 인자로 전달하는데 마지막에 특정 n 길이만큼 s1과 비교한다. 저 문자열이 패스워드일 것이다. 디코딩해서 보면.. 플래그를 얻을 수 있다.

SYSTEM HACKING/HackCTF 2020. 3. 9. 22:14

# checksec # process 1. canary leak canary leak하는 페이로드는 src에 보낸다. 2. libc leak 출력하는 기능을 하는 함수로 leak을 해야 하는데 printf@plt를 사용해야 제대로 leak이 됐다. 그리고 leak하는 함수는 널 바이트를 포함하지 않는 함수를 사용한다. setvbuf 함수를 사용하니까 됐다. libc leak한 것으로 one_gadget 주소를 구하고 src에서 입력할 때 return address를 one gadget으로 덮으면 된다. 마지막에 No를 입력해야 main의 ret으로 뛸 수 있다. (위에서도 main의 ret으로 뛰기 위해 페이로드 전달 후 No를 입력했었다.그리고 rop 후 main 주소를 줘서 다시 main으로 뛰도록 ..

SYSTEM HACKING/HackCTF 2020. 3. 9. 22:05

# checksec / file # process Heap 주소 저장하는 포인터는 전역변수 ptr에서 관리된다. FULL RELRO라서 GOT overwrite은 불가능하므로 one gadget 사용해야 한다. edit하는 함수는 없으므로 one_gadget을 실행시키려면 전역변수의 ptr에 one_gadget 주소를 담아서 free나 puts 시 실행되도록 해야한다. read(0, ptr[a1], v2)를 보면 ptr은 8바이트일텐데 12바이트만큼 입력해준다. 따라서 4바이트 overflow가 발생한다. Fast dup into stack이 떠올랐다.. malloc_hook을 one_gadget으로 덮는데 fake chunk가 그 앞에 있어야 한다. 1. libc leak malloc 할 수 있는 개수..

SYSTEM HACKING/HackCTF 2020. 3. 9. 21:52

# protection tech/file info # process 1. 3개의 heap 할당 Add(10, ‘A’*10, 10, ‘B’*10) Add(10, ‘A’*10, 10, ‘B’*10) Add(10, ‘A’*10, len(binsh), binsh)) -> one gadget 사용할 경우 필요 X free의 got를 system으로 덮어서 system(“/bin/sh”)를 트리거할 것 마지막 heap의 description에는 “/bin/sh” 넣어놓음 2. 0번 free – unsorted bin에 등록됨 3. heap overflow pay = ‘A’*120 + 0x10 + 0x10 + p32(free_got) 0번 생성 시 1의 UserInfo->desc에 free got 넣음 => heap..

SYSTEM HACKING/HackCTF 2020. 2. 28. 17:53

# description register라면 등록하다 또는 CPU 레지스터로 해석해볼 수 있다. 이 문제의 경우, CPU 레지스터를 사용한 sysROP 문제이다. # Protection Tech # 정리 ** 주요 시그널 처리 함수들 ** signal(sig, handler) : signal 14가 발생하면 handler 포인터를 반환한다. raise(sig) : raise() 함수는 프로세스가 자기자신에게 신호를 보낼 때 쓰이는 함수이다. 따라서 프로세스는 signal 14를 자기 자신에게 보낸다. alarm(sec) : 지정한 시간이 되면 자기자신에게 SIGALRM 시그널을 전송한다. 프로세스는 SIGALRM을 받으면 종료한다. sleep(sec) : 지정한 시간 동안 대기 상태가 된다. 지정한 시간..

SYSTEM HACKING/HackCTF 2020. 2. 10. 00:40

# description return to csu 문제이다. # code read로 buf에 입력받는데 return address를 덮을 수 있을만큼 충분히 입력받는다. # process 1. loc_4006B6 주소(0x4006b6)로 return address를 덮는다. - 리턴 시 이 곳으로 이동할 것이다. 2. 우리는 0x4006a0 주소의 rdx, rsi, edi 레지스터들을 사용하기 위해 r13, r14, r15에 적절히 원하는 값을 넣어야 한다. mov rdx, r13 : r13 값을 rdx 레지스터에 적는다. mov rsi, r14 : r14 값을 rsi 레지스터에 적는다. mov edi, r15d : r15 값을 edi 레지스터에 적는다. call qword ptr [r12+rbx*8] ..

SYSTEM HACKING/HackCTF 2020. 2. 3. 00:29

# code - get_tier(v6) : v6 변수 값이 75보다 크면 result = 4가 되서 v5 변수에 저장된다. (v5 == 1인 것은 flag가 출력되는 조건이다.) - get_tier() 호출 이후 printf(v5)를 하는데, 이 printf got를 play_game으로 덮으면 play_game(4)를 호출하게 된다. - printf(v5); 에서 Format String Bug 취약점이 발생해서 got 값을 덮을 수 있다. # process - AAAAAAAA를 입력해서 출력되는 위치를 확인해보면 6번째이다. - 64bit는 32bit와 다르게 바로 스택 주소가 leak되지 않고 레지스터 주소부터 leak된다. 그래서 스택 offset이 6부터 시작한다. offset 6 : %4196..

SYSTEM HACKING/HackCTF 2020. 1. 31. 14:56

statically linked binary이다. statically linked는 바이너리 내에서 함수를 로드해서 사용한다. 이 문제의 경우 system 함수가 없었다. 그래서 이번엔 syscall을 사용해서 execve("/bin/sh", NULL, NULL); 을 실행시키는 sysROP 방법으로 문제를 풀어봤다. # process 1. sysROP 과정 1) 레지스터에 필요한 인자 저장 - 필요한 인자 pop eax; ret => \x0b : execve의 syscall id pop ebx; ret => "/bin/sh" pop ecx; ret => 0 pop edx; ret => 0 2) int 0x80 명령어 실행 - syscall 시 필요하다. - 필요한 인자 int 0x80; ret 2. R..

SYSTEM HACKING/HackCTF 2020. 1. 31. 10:40