anonymous?

이번에는 함수로 argv[1] 인자를 전달해서 포인터 변수 src가 가리키게 한다. Strncpy 함수로 buffer에 src을 41 길이만큼 복사한다. strncpy 함수가 strcpy 함수와 다른 점은, strcpy 함수가 null을 만날 때까지 복사했다면, strncpy 함수는 딱 주어진 n 바이트의 크기만 복사한다. 복사한 n 바이트에 null이 없으면, 복사한 것이 저장되는 buffer에는 null로 끝나지 않는 문자열인 것이다. 그렇다면 strncpy에서 41바이트를 복사하는 것은 buffer 크기에 1바이트를 더 복사한다는 것인데 1바이트만큼만 overflow를 발생시킬 수 있다. buffer 40byte 뒤의 1byte라면 sfp(프레임 포인터) 4byte 중 처음 1byte가 해당할 것이..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:24

★char buffer[40]: buffer의 크기는 40byte. 그럼 40(buffer)+sfp(4)+4(ret) 이렇게 있을 것이다. ★if(argc < 2): 인자의 수가 2개 이상이어야 한다. 기본 argv[0], argv[1]이 있어야 한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48byte 위치에 ‘\xbf’가 있어야 한다. 그 말은 45~48byte 위치에 ret이 위치해야 한다. ★strcpy(buffer, argv[1]): argv[1]의 문자열 내용을 buffer에 복사한다. Buffer의 크기에 상관없이 null을 만나기 전까지 buffer에 복사하므로 overflow 취약점이 있다. ★memset(buffer, 0, 44): buffer의 처음 시작주소..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:15

★if(argc 인자를 argv[1] 이상 줘야한다. ★egghunter: memset() 함수로 환경변수를 0으로 초기화한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48번째 원소가 ‘\xbf’가 아니면 종료. ret이 꼭 argv[1]의 45~48번째를 차지해야 한다. ★if(strlen(argv[1]) > 48): argv[1]의 크기가 48보다 크면 종료 =>argv[1]에는 NOP+shellcode를 줄 수 없고, 주려면 argv[0]이나 argv[2]에서 줘야한다. ★strcpy(buffer, argv[1]): argv[1]에 든 것을 buffer에 복사한다. 길이를 검사하지 않고 복사하므로 buff..

SYSTEM HACKING/LOB Redhat 2019. 5. 1. 20:12

★if(argc != 2) : 실행파일에 같이 주는 인자가 1개가 아니면 종료 =>인자를 argv[1]만 줘야한다. ★egghunter: memset() 함수로 환경변수를 0으로 초기화한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48번째 원소가 ‘\xbf’가 아니면 종료. Ret이 꼭 argv[1]의 45~48번째를 차지해야 한다. ★if(strlen(argv[1]) > 48): argv[1]의 크기가 48보다 크면 종료 ★strcpy(buffer, argv[1]): argv[1]에 든 것을 buffer에 복사한다. 길이를 검사하지 않고 복사하므로 bufferoverflow 취약점이 있다. ★memset(buffer, 0, 40): buffer의 40바이트를 0으로 초기화한다..

SYSTEM HACKING/LOB Redhat 2019. 4. 28. 14:00

취약점: gets() 함수는 버퍼가 over되어도 체크하지 않는다는 점에서 취약하다. 1) NOP 주소->ret Nopsled 기법 중 NOP의 주소를 ret에 넣는 방법 사용 buffer+sfp+ret(NOP주소)+NOP+shellcode ret 뒤의 NOP의 임의의 주소를 줘서 NOP에서 흘러가 shellcode가 실행될 수 있도록 하는 것이다. 2. ret 전까지 크기 구하기 함수 프롤로그 과정 이후(push %ebp/mov %esp, %ebp), sub $0x10, %esp 스택을 16바이트 확장했다. 코드에서 char buffer[16];에 해당함을 알 수 있다. 따라서 buffer(16) + sfp(4) + ret(4)의 구조를 가질 것이며 ret 전에 buffer + sfp, 총 20바이트를..

SYSTEM HACKING/LOB Redhat 2019. 4. 1. 15:54

고전적인 방법 -NOP(보통 \x90) 사용: nopsled 기법 -buffer + sfp(4byte) + ret(4byte) + NOP + shell code -buffer + sfp에는 NOP 또는 아무 문자들로 채워서 BOF을 발생시킨다. -ret(return address)에는 ret 뒤의 NOP 중 임의의 주소를 넣는다. -NOP의 역할은 ret에 임의의 NOP의 주소를 넣음으로써 쉘코드가 있는 곳까지 아무런 수행을 하지 않고 흘러들어 가게 하는 것이다. ->CPU는 NOP을 만나면 유효한 instruction이 있는 쉘코드의 시작점이 나올 때까지 한 바이트씩 EIP를 이동시킨다. ->NOP으로 쉘코드의 정확한 시작점을 주지 않아도 stack pointer가 흘러서 쉘코드 시작점까지 도달할 수 ..

SYSTEM HACKING/LOB Redhat 2019. 3. 29. 22:36

cobolt> 전에 우연히 알게된 방법인데 win을 누르면 login창으로 갈 수 있다. 지난 gremlin.c와의 차이는 buffer의 크기가 훨씬 작다는 것이다. 1. ret 전 채워야 할 dummy 구하기 strcpy() 함수가 리턴되고 add명령어가 실행되기 전까지의 크기를 구해야 하므로 add 명령어 부분에 breakpoint를 잡자. 인자로 “”A””*16의 dummy를 넣어서 buffer를 채운 후 주소를 출력해보면 0xbffffb78은 sfp이고, 0x400309cb가 ret 주소이다. 그러면 buffer(16) + sfp(4) + ret(4) 구조이므로 ret 전까지, 즉 20의 dummy를 넣으면 된다. 2. system() 함수의 실행 후 시작주소 구하기 간단한 system() 함수가..

SYSTEM HACKING/LOB Redhat 2019. 3. 28. 22:39

gremlin> gremlin파일에 setuid가 걸려있다. 저 주석이 힌트인 것 같은데, gremlin 파일을 사용하라는 것 같고, 간단한 BOF 문제라고 한다. main함수를 보면 인자를 인자를 받는다. 만약 argc는 인자의 개수이므로 argc < 2이면, 즉 인자를 주지 않으면 “argv error”를 출력하고 exit한다. 그렇지 않으면 argv[1]을 buffer에 복사한다. 그리고 buffer에 복사된 것을 출력한다. 그리고 strcpy함수는 문자열 길이를 검사하지 않기 때문에 취약점을 가지고, 따라서 버퍼오버플로우 공격이 가능한 것이다. ★RTL(Return-into-libc) 기법 사용 -RET 주소에 공유 라이브러리 함수의 주소를 넣어서 쉘 코드 없이도 exploit을 할 수 있는 방법..

SYSTEM HACKING/LOB Redhat 2019. 3. 28. 22:32