anonymous?

SYSTEM HACKING/LOB Fedora Core 2019. 7. 25. 23:41

SYSTEM HACKING/LOB Fedora Core 2019. 7. 25. 23:40

cruel 파일에 SetUID가 걸려있으니 이 파일을 실행시키면 cruel의 권한을 얻게 된다. 이번에도 shell에 대한 심볼릭 링크 파일을 만들어서 사용하는 것 같다. strcpy 함수로 인해 bufferoverflow 취약점이 있는 간단한 공격 파일 코드이다. 하지만 random library라서 fake ebp와 RET sleding을 사용할 수 없다고 한다. RTL 공격은 할 수 있을 것 같은데… $ gdb -q cr (gdb) b main (gdb) r (gdb) disass execve Execve 함수가 esp + 12, esp + 16, esp + 20 으로 각각 첫 번째, 두 번째, 세 번째 인자를 받는다. 따라서 ebp 변조를 통해, 즉 SFP를 변조해서 RTL 기법을 사용할 수 없게..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 14. 18:12

1. Fedora Core 4 의 방어 매커니즘 FC3 -> FC4로 넘어오면서 함수의 인자 참조 방식이 ebp에서 esp로 바뀌었다. $ gdb -q cr (gdb) b main (gdb) r (gdb) disass execve execve 함수가 esp + 12, esp + 16, esp + 20 으로 각각 첫 번째, 두 번째, 세 번째 인자를 받는다. 따라서 ebp 변조를 통해, 즉 SFP를 변조해서 RTL 기법을 사용할 수 없게 되었다. (fake ebp 사용 불가능) 하지만 다수의 ret instruction으로 RTL 기법은 사용할 수 있다. Ret instruction을 이용하여 스택 상 return address보다 낮은 곳에 있는, 즉 높은 주소에 있는 곳으로 esp를 내려 원하는 인자의..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 14. 18:00

Fedora Core 4에서는 Fedora Core 3 환경에서 몇 가지 추가되었다. Stack Dummy O => stack에 dummy가 붙는다. gdb로 SFP까지의 거리를 알아야 한다. Down privileage of bash O Random Library O => ASLR 보호 기법 관련. Random Stack O => ASLR 보호 기법: 스택, 힙, 라이브러리 등의 주소를 랜덤하게 배치해 target addr 예측 어려 움. 프로그램이 실행될 때마다 주소가 바뀜. ASCII Armor O ASCII Armor: 공유 라이브러리 주소에서 최상위 바이트가 0x00인 메모리 영역 Libc address는 공유라이브러리의 주소 값을 의미하는데, Fedora Core에서는 16M 미만이므로 첫 바..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 13. 20:27

FC3 끝!!! 이번 FC3은 LOB Redhat보다 확실히 난이도가 있었다. 특히 fake ebp가 어려웠다. FC4로 가보자.

SYSTEM HACKING/LOB Fedora Core 2019. 7. 12. 17:54

[FC3] evil_wizard -> dark_stone : POP POP RET / Remote -TCP 8888 Dark_eyes와 hell_fire의 짬뽕이다. 지난 레벨과 payload는 똑같고, dark_stone 권한으로 xinetd.d가 실행하므로 recv 후 payload 전달, recv 하면 될 듯 하다. &Strcpy_plt &Printf_plt &Printf_got &Ppr &Binsh system 함수 각 문자 주소 buffer+SFP는 더미로 채운다. 여기서 buffer가 0으로 초기화되지만 사용하지 않으므로 상관X ppr 시 esp가 원하는 곳을 가리킬 수 있게 한다. 여기서는 printf_got를 가리키게 해서, 처음 4 byte 값을 system 각 문자 4개로 덮는다. 그러..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 12. 17:52

[FC3] hell_fire -> evil_wizard : POP POP RET hint : GOT overwriting ★ memcpy(saved_sfp, buffer+264, 4) : buffer로부터 SFP까지의 거리가 264이다. Buffer(256) + dummy(4) + SFP(4) ★ strcpy(buffer, argv[1]) : argv[1] 인자로 받은 문자열을 buffer에 복사. 문자열 길이에 상관없이 NULL까지 문자열을 모두 받으므로 bufferoverflow 취약점 존재 ★ memset(buffer+length, 0, (int)0xff000000 - (int)(buffer+length)) : RET Sleding을 방해하는 것이라고 한다. (int)0xff000000-(int)(..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 12. 17:45

another fake ebp or got overwriting 공격파일에 setuid가 걸려있지 않다…uid, gid 권한 모두 root…! 그래도 다른 user에게 hell_fire에 실행권한이 있고, hell_fire.c를 읽을 수 있다. $ cat /etc/services | grep hell_fire hell_fire 이름으로 7777 포트에서 서비스가 돌어가고 있음 $ find / -name hell_fire 2>/dev/null 서비스를 구동하는 파일 찾기 xinetd는 여러가지 서비스 데몬이 모여있는 슈퍼 데몬 네트워크 서버들은 요청을 기다리며 대기하고 있는 서브 프로세스가 없는데, 이 일은 inetd라는 인터넷 슈퍼 서버가 대신하게 된다. inetd는 설정된 모든 네트워크 포트에서 기다리..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 12. 17:32

# RET Sleding 기법 return address에 ret 명령의 주소를 적는 기법 ret은 pop eip jump eip 수행 과정(지난 shellcode를 사용했을 때 ret sled) 1. esp가 ret을 가리키고 있다. 2. 정상적으로 ret 명령 수행 시 esp는 esp+4가 된다. Esp+4가 되어 esp가 가리키는 곳에 ret의 주소가 들어있다. 3. ret 명령이 한 번 더 수행된다. 이때 ret 명령으로 점프하게 되는 주소는 &shellcode 4. shellcode의 실행 이렇게 이해하고 적용하면 될 것 같다. $ ls -al $ cat dark_eyes.c ★ hint : RET Sleding => RET Sleding은 LOB Redhat에서 한 두번 다룬적이 있다. ★ c..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 6. 13:36

Fake_SFP + Ascii Armor #Fake_SFP + AScii Armor Fake_SFP : 함수 에필로그에서 leave 명령어는 mov %ebp, %esp와 pop %ebp 실행하는데, leave 명령어가 실행되는 스택의 위치가 SFP(Save Frame Pointer)이다. SFP는 전 스택 프레임의 ebp값을 저장하고 있는데 이 SFP값을 바꾸면 ebp를 조작하는게 가능하다. Ascii Armor : 공유 라이브러리의 최상위 바이트가 0x00이라서 연속적인 payload 전달 불가 #필요한 것 버퍼부터 SFP, RET까지의 거리 return address를 덮고 실행할 함수 주소 SFP를 덮고 ebp를 바꿔서 인자로 참조하기에 적당한 주소 ex.py -> LOB level 20에서 작성한..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 5. 18:38

1. Stack Dummy O => 이전 LOB에서는 입력받는 문자열이 저장되는 buffer에 dummy가 붙지 않아서 크기가 40 byte면 40으로, 256 byte면 256으로 생각했는데, stack에 dummy가 붙음. 2. Down privileage of bash O 3. Random Library X => ASLR 보호 기법 관련. 4. Random Stack O => ASLR 보호 기법: 스택, 힙, 라이브러리 등의 주소를 랜덤하게 배치해 target addr 예측 어려움. 프로그램이 실행될 때마다 주소가 바뀜. 5. Random Program Binary Mapped X 6. ASCII Armor O ASCII Armor: 공유 라이브러리 주소에서 최상위 바이트가 0x00인 메모리 영역 ..

SYSTEM HACKING/LOB Fedora Core 2019. 7. 4. 22:11