anonymous?

1. buf와 return address 사이 거리 구하기 return address의 정확한 위치를 구하는 것이 중요하다. strcpy 전 인자로 %eax를 넣는데 이 eax 레지스터에 들어있는 주소 값을 확인해보면 buf임을 알 수 있다. 이 주소와 처음 bp를 잡았을 때 출력한 주소 값의 차이 20 바이트가 offset이다. (buf + SFP) 2. 환경변수 등록 + 환경변수 주소 구하기 (return address를 덮을) 3. exploit NOP으로 쉘코드를 감싸줘야 제대로 익스가 된다. 더미를 주고 return address에 환경변수 주소를 주면 쉘이 따진다.

SYSTEM HACKING/LOB Redhat 2020. 1. 24. 16:05

항상 문제 풀 때마다 설정: $ bash2 $ ulimit -c unlimited 이 설정을 해야 쉘이 제대로 따짐. 최초에 1번만 하면 되는 설정: VMWare Workstation Player에 redhat linux 6.2 라는 LOB를 설치한 후에, LILO boot : 가 뜨면 linux-up 을 입력한다. 그러면 부팅이 완료된 후 이렇게 LOB 초기 로그인 창이 뜬다. (참고로 이 로그인 창은 window 키를 누르면 갈 수 있다!) 처음 레벨 아이디/비번은 gate/gate $ netconfig 명령어를 입력하면 다음과 같은 창이 된다. 키로 select. Yes를 누른다. Use dynamic IP configuration (BOOTP/DHCP) 에서 [ ] 안에 키를 눌러서 select ..

SYSTEM HACKING/LOB Redhat 2019. 12. 23. 14:40

들어가보면 txt 파일이 있다. 열어보자. LOB 완료!!

SYSTEM HACKING/LOB Redhat 2019. 6. 30. 21:21

★ #include : 소켓 생성 시 성공하면 빈 소켓의 파일기술자가 생성되지만, 소켓 생성 실패시 -1이 리턴되고 errno에 에러 코드가 저장된다. 따라서 errno.h 헤더파일을 사용한 것 같다. ★ char buffer[40] : buffer의 크기 40 ★ struct sockaddr_in server_addr : sockaddr_in 구조체의 변수 server_addr => server 주소 ★ struct sockaddr_in client_addr : sockaddr_in 구조체의 변수 client_addr => client 주소 ★ if((server_fd = socket(AF_INET, SOCK_STREAM, 0)) == -1) perror(“socket”); exit(1) : AF_IN..

SYSTEM HACKING/LOB Redhat 2019. 6. 30. 21:20

★fgets(buffer, 256, stdin) ★if(*(buffer+47) == ‘\xbf’) : buffer+47은 ret의 다음 부분이니까 return address 뒤에는 ‘\xbf’로 시작하면 안 된다. ★if(*(buffer+47) == ‘\x08’) : return address 뒤에‘\x08’로 시작하는 주소를 넣을 수 없다. => return address에 뒤의 4byte 주소에는 stack 영역의 addr(‘\xbf’로 시작)와 ‘\x08’로 시작하는 addr는 넣을 수 없지만, ‘\x40’으로 시작하는 addr는 아직 넣을 수 있다. Libc 영역의 주소는 넣을 수 있는 것이다. ★ memcpy(&ret_addr, buffer+44,4) : buffer+44부터 4byte를 ret..

SYSTEM HACKING/LOB Redhat 2019. 6. 30. 15:00

int socket(int domain, int type, int protocol); AF_INET은 socket의 인수에서 domain으로서 IPv4 네트워크 도메인 소켓으로 원격지까지 통신할 수 있다. (물론 로컬 호스트와 통신을 위해 로컬 루프백의 주소(ex. 127.0.0.1)에 연결 가능) 접두어 AF_는 Address Family의 의미이다. 소켓 타입을 의미하는 SOCK_STREAM은 socket의 type 인수로 스트림 소켓을 의미한다. SOCK_STREAM의 특징은 연결 지향형(connection oriented)으로, 연결을 맺고 1:1 통신을 한다. 연결 지향형인 SOCK_STREAM 소켓 타입을 구현한 프로토콜로 TCP가 대표적이고 일반적이다. cf. SOCK_DGRAM 소켓 타입은..

SYSTEM HACKING/LOB Redhat 2019. 6. 30. 14:53

★addr = (char*)&strcpy, if(memcmp(argv[1]+44, &addr, 4) != 0) : return address에 &strcpy가 들어가야 한다. ★memset(buffer+40+8, ‘A’, 4) : return address 영역 뒤가 A로 덮어진다. Strcpy의 ret에 해당한다 dest 포인터가 가리키고 있는 배열에 src 포인터가 가리키는 문자열을 복사한다. Strcpy 함수에서 dest에 src를 복사하는 것을 이용해서, strcpy의 ret이 A로 덮어진 것을 다시 src에 원하는 주소를 줘서 덮을 수 있다. 이때 payload 전달 시 strcpy의 ret을 주긴 해야 하므로 dummy로 채운다. 그리고 &dest에 strcpy의 ret의 주소를 넣으면 원하는..

SYSTEM HACKING/LOB Redhat 2019. 6. 28. 10:16

DO 함수에서부터 계속 함수를 불러서 check가 1, 2, 3, 4가 되고, 마지막에 최종적으로 check == 4일 때 MO 함수에서 system(cmd); 명령어를 수행하는 것이 최종 목표인 것 같다. System의 인자 cmd에 우리가 원하는 “/bin/sh”를 넣으면 될 것 같다. 그렇다면 main 함수에서의 모든 조건을 만족시킨 후, MO 함수의 위치를 찾아서, MO 함수 속의 system의 실행 시 주소를 알아내 ebp + 8 위치에 &“/bin/sh”를 넣으면 될 것 같다. 다만 그것이 main 함수의 조건에 위배되지 않을 경우이다. ★if(argc < 2) : 인수를 2개(실행파일 이름 포함) 이상 줘야 한다. ★if(strchr(argv[1], ‘\x40’)) : argv[1]의 처음 ..

SYSTEM HACKING/LOB Redhat 2019. 6. 28. 10:11

★strncpy(buffer, argv[1], 48): strncpy는 argv[1]을 딱 48byte만 복사한다. 다행인 것은 return address까지 복사하므로 return address에 원하는 주소를 넣을 수 있다. Buffer 영역을 사용해보면 좋겠다고 생각했다. 일단 return address에 &RET을 넣어서 RET으로 이동한 후, Buffer의 시작 주소를 RET의 이전 함수의 base pointer에 넣어서 buffer의 시작주소로 esp가 이동하면, buffer의 처음부터 &system + dummy 4byte + &“/bin/sh”로 payload를 주면 될 것 같다. #RET의 주소 RET의 address: 0x80484e0 Little endian => “\xe0\x84\x..

SYSTEM HACKING/LOB Redhat 2019. 6. 26. 12:42

★no stack, no RTL: stack overflow도 아니고, RTL도 아니라는 의미같다. ★buffer[40]: buffer의 크기가 40byte이므로, 스택은 buffer(40) + sfp(4) + ret(4)의 구조를 가질 것이다. ★if(argc < 2): 실행파일에 같이 줘야 하는 인자의 개수가 2개 이상 ★if(argv[1][47] == ‘\xbf’), if(argv[1][47] == ‘\x40’): buffer가 argv[1][0] ~ argv[1][39], sfp가 argv[1][40] ~ argv[1][43], ret이 argv[1][44] ~ argv[1][47]이므로 ret 영역의 주소가 ‘\xbf’ 또는 ‘\x40’으로 시작하면 안 된다. 스택 영역의 주소와 libc 영역의..

SYSTEM HACKING/LOB Redhat 2019. 6. 26. 12:33

memcpy(&ret, &(argv[1][44]), 4): argv[1][44]부터 4바이트를 복사해서 &ret에 저장한다. =>argv[1][44]부터 4byte는 0-39 buffer 40-43 sfp 44-47 ret이므로 return address에 해당한다. if(ret != execve_addr): 이 주소가 execve_addr(execve 주소)와 다르면 종료한다. => ret에는 execve의 주소만 들어갈 수 있다. #execve()의 주소 System() 함수의 주소를 구할 때와 똑같이, call 시점에서의 주소는 실행 후 execve()의 주소가 아니므로 main에서 breakpoint를 잡고 run을 해서 실행시킨 후 print execve를 하면 실행 후 execve() 함수의 ..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:35

★RTL(Return into Libc) 기법 사용 ★if(argv[1][47] == ‘\xbf’): buffer(40) + sfp(4) + ret(4)인데, argv[1][47]은 0-39 buffer, 40-43 sfp, 44-47 ret이므로 ret에 원하는 주소를 넣을 수 없다. RTL(Return-into-libc) 기법 -RET 주소에 libc 함수의 주소를 넣어서 쉘 코드 없이도 exploit이 가능한 방법 -overflow 공격에 기반하여 버퍼를 overflow시켜서 return address(RET)를 조작해 실행의 흐름을 libc 영역으로 돌려서 원하는 libc 함수를 수행하게 하는 것 Buffer overflow 취약점이 있는 버퍼를 공격한다. 버퍼를 overflow시켜서 buffer..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:32