anonymous?

flag 함수가 _ 함수로 있다. vtable가 있다. vtable을 통해 각 함수를 호출한다. vtable 주소로 이동해보면 각 함수의 주소가 적혀 있는 것을 알 수 있다. &vtable+v3으로 함수를 호출하는데, 이것으로 v3를 조절해서 원하는 함수를 호출할 수 있다. (또 v3

SYSTEM HACKING/pwnable.xyz 2019. 11. 11. 16:40

The House of Spirit 기법 + stack 문제 free() 시 현재 chunk size와 next chunk size 체크를 우회하기 위해 fake chunk 2개만 생성하면 free(buf); 를 에러없이 우회할 수 있고 return 0; 시 win 함수로 리턴 메뉴 3 : buf에 적힌 값의 16바이트를 v7에 저장함. v7은 buf-0x8에 위치해서 buf를 덮을 수 있음 -> buf가 저장하는 chunk 주소를 변조 가능 메뉴 1에서 값을 저장하고 메뉴 3에서 덮는 과정을 반복하면 됨. 1. return address 주소 구하기 buf에서부터 0x58 바이트 떨어져 있음 메뉴 2에서 buf 주소를 받아서 0x58을 더해서 구함 2. chunk 주소를 return address로 변..

SYSTEM HACKING/pwnable.xyz 2019. 11. 11. 13:14

목적 : 공격자가 만든 fake chunk를 fastbin으로 반환해서 fastbinsY에 원하는 주소를 등록하는 것. malloc() 호출로 리턴된 chunk 주소를 포함하는 변수를 overwrite Ex. malloc(0x40) 이 성공적으로 되면 chunk 주소를 리턴해주는데, 이 chunk 주소 값을 buf 포인터 변수가 저장한다. buf는 할당된 chunk를 가리키게 된다. buf를 fake chunk에 대응하는 메모리 주소로 수정할 수 있음 방법은 1. fake chunk의 size를 malloc()이 요청되는 사이즈와 같게 만든다. -> “free(): invalid size” Security check 우회 2. glibc에서 free할 때, 뒤에 인접한 청크의 크기를 검사한다. 따라서 f..

SYSTEM HACKING/Exploit Tech 2019. 11. 11. 12:31

1) 2번 메뉴 V7과 v8이 0x10 차이 나므로 2에서 nationality를 ‘A’로 채우면 v8을 덮을 수 있다. 먼저 v8에 got를 넣고, 2) 3번 메뉴 3번에서 v8을 int형으로 입력받는데 (64비트에서 %d는 4바이트이다..) 이때 v8은 어떤 libc의 got이므로 덮고자하는 주소, 즉 win 함수 주소를 주면 got를 win 주소로 덮을 수 있다. V8은 scanf에서 %d로 받으므로 str(win)으로 준다. 처음에 got로 puts 함수를 사용하려고 했는데 puts got에 0x20 포함했다. 아스키 코드 20이 스페이스라서 scanf는 스페이스를 받지 않기 때문에 exit이 된다. 그리고 libc 함수들 중에서 아직 사용되지 않은, 호출되지 않은 주소를 사용해야 한다. exit..

SYSTEM HACKING/pwnable.xyz 2019. 11. 2. 13:02

Heap 동적인 영역 1. Arena 메모리 관리 영역 프로세스에 할당된 heap 영역(non-mmapped) 1-1. main_arena brk 시스템 콜 사용하여 할당된 힙을 효율적으로 관리하기 위해 malloc.c에서 “malloc_state” 구조체 top chunk 크기보다 큰 사이즈 할당 요청의 경우: mmap 시스텥ㅁ 콜 사용해서 새로운 페이지 할당 -> 이 힙은 main_arena에서 관리하지 않는다. malloc을 하기 전에는 heap 메모리 공간이 없는데, malloc을 하고 나면 heap 메모리 공간이 생기는 것을 gdb로 확인할 수 있다. pwndbg> p main_arena 2. Chunk 할당 단위 -Allocated chunk -Top chunk 2.1 Allocated chu..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 12:56

1. JOP(Jump-Oriented Programming) -JMP 명령어를 이용하여 프로그램의 흐름을 제어하는 방법 -JOP의 gadget : “Exploit에 필요한 코드 + JMP 명령어” Ex. x64 환경에서 함수의 첫 번째 인자값에 0 저장 : “mov rdi, 0; jmp [R9]” 2. Vuln code -dlsym 함수로 prinf 함수 주소 leak -read(0, buf, 256) : 크기 50 바이트인 buf에 256 바이트 입력 -> overflow 취약점 * return address와 buf 변수 사이 거리 Bp1 : vuln 함수 첫 번째 명령어 -> return address Bp2 : vuln 함수 read 함수 호출 부분 -> buf 함수 주소 3. JOP 구조로 쉘 ..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:47

1. /lib/x86_64-linux-gnu/libc-2.23.so libc 라이브러리의 do_system() 함수 내에서 __execve() 함수를 이용해 shell을 호출한다. __execve (_PATH_BSHELL, (char *const *) args, __environ); 2. One gadget 찾기 1) strings strings 이용해서 라이브러리 파일에서 "/bin/sh" 문자열이 위치한 offset 주소를 구한다. $ strings -t x /lib/x86_64-linux-gnu/libc-2.23.so | grep "/bin/sh" 2) objdump $ objdump -M intel -d /lib/x86_64-linux-gnu/libc-2.23.so | grep -C8 18cd57..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:40

이번 문제도 한번도 안 해본 방법(?)인 문제였다. 전체적인 형식은 add나 sub와 똑같아서 세 변수 중 두 변수로 값을 조절하고, 다른 한 변수로는 리턴할 곳을 조절하는 것으로 같았다. 하지만 이번에는 FULL RELRO가 적용되어 있어서 원하는 win 함수 주소를 쓸 수 있는 곳을 찾다가... 기계어까지 적게 되었다... 차근차근 해보자..! What can you access and what are you going to write? # checksec : 보호기법 확인 FULL RELRO, NX로 실행과 쓰기 권한이 제한된다! # IDA > win 함수 일단 win 함수에서 flag 를 출력하니까 return address를 win 함수 주소로 변조하던가 win 함수 주소로 리턴하는 형태일 것 ..

SYSTEM HACKING/pwnable.xyz 2019. 9. 28. 00:58

0x601160 주소를 0ㅌ601168 로 초기화 0x601168 주소는 "%s\n" 으로 초기화 read(0, buf, 0x10) : buf 변수에 16 바이트 입력받음. y 또는 Y를 입력만 하면 되므로 15 바이트가 남는다. src는 0x84 바이트 malloc 받음 - read(0, src, 0x80) 로 src에 0x80 바이트 입력받음 (null 포함 X) -> overflow는 발생 X strcpy(usr, src) : usr에 src 문자열 복사. 이때 null termination 추가되므로 usr + 0x80 주소는 0x00 값을 가진다. 근데 구해보면, usr + 0x80 은 0x601160 주소이며, printf 함수에 들어가는 format 문자열의 주소이다. 따라서 setup 함수..

SYSTEM HACKING/pwnable.xyz 2019. 9. 27. 21:36

# 파일 유형 확인 $ file challenge 64-bit 바이너리 파일 # IDA - pseudo code 확인 > main 함수 while 문으로 반복 v4 가 0이면 break. 1, 2, 0 이 아닌 수이면 Invalid를 출력하고 계속 제대로 된 숫자를 입력할 때까지 메뉴 출력 반복 > print_menu 함수 메뉴 출력 > read_int32 함수 (실제 함수 이름이 이렇진 않겠지만..!) atoi 함수 : 문자열을 int로 변환 read_int32 함수에서 일단 buf 변수에 32 바이트의 문자열을 받고, 이 문자열을 atoi로 숫자로 변환해서 main 함수의 v4 변수로 받는다. 메뉴 번호만 입력받아서 32 바이트나 필요없는데 이렇게 크기를 크게 받는다는 것은 이 공간을 사용하라는 의미..

SYSTEM HACKING/pwnable.xyz 2019. 9. 27. 20:43

v5 + 7 의 값이 0xB000000B5 이어야 win() 함수를 호출한다. win() 함수에서는 system 함수를 통해 cat /flag 명령을 실행한다. flag 파일이 열리면서 flag를 출력할 것이다. 따라서 while문이 돌아가는 동안, v6, v7, v8의 값을 적절히 넣어줘서 최종적으로 v5 + 7 을 0xB000000B5으로 만들어야 한다. v5[v8 + 6] = v6 + v7; 이므로, v6 + v7을 통해 값을 넣어주고, v8을 통해 위치를 지정해야 한다. 주의해야 할 점은, 16진수 데이터는 들어가게 되면 리틀엔디언 방식으로 저장되므로, 그것을 고려해서 16진수 값을 10진수로 변환해서 값을 줘야한다. v5 + 7 값을 0x b000 0000 0000 00b5 = b000 0000..

SYSTEM HACKING/pwnable.xyz 2019. 9. 17. 21:59