anonymous?

# 보호기법 확인 # IDA - pseudo code memset(v7, 0, 80) : v7 시작주소에서부터 80 바이트를 0 값으로 설정한다. %ld는 signed long int의 형식문자열로, signed long int의 유효범위는 -2147483648 ~ 2147483647이다. win 함수에서 flag를 출력해주니까 win 함수로 리턴해서 flag를 출력할 방법을 찾아야 한다. v7[v6] = v4 + v5 argv = (const char**)v7[v6]; v7의 위치는 [rbp-60h], 즉 rbp-96에 위치한다. 하지만 rbp+8에 return address가 위치한다. (64bit이므로 주소가 4 바이트가 아닌 8 바이트!) 따라서 v7으로부터 -96 + x = 8을 만족하는 x는 ..

SYSTEM HACKING/pwnable.xyz 2019. 9. 5. 17:39

# 보호기법 확인 # IDA 어떻게 빼도 4919를 만들 수 없고, v4, v5 모두 4919 값을 가질 수 없으므로 오버플로우다! 그러면 v4는 4918 값을 주고, v5는 오퍼플로우되어 -1 값이 나오도록 unsigned long int형의 최댓값인 4294967295값을 주면 4919 값을 만들 수 있다. (unsigned long int 형의 유효범위 : 0 ~ 4294967295) # exploit nc 명령어로 서버에 연결해서 구한 값을 입력하면 flag를 얻을 수 있다! # exploit code + exploit #!/usr/bin/python from pwn import * p = remote("svc.pwnable.xyz", 30001) v4 = 4918 v5 = 4294967295 p..

SYSTEM HACKING/pwnable.xyz 2019. 9. 5. 13:30

1. IDA v3가 NULL이면 flag를 출력한다. v3 주소를 실행 시 leak해주므로, 이것을 이용해서 어떻게 문제를 해결할지 생각해보자. v5[size - 1] = 0 이것이 처음에는 단순히 문자열 끝에 NULL을 넣는 것이라고 생각했다. 하지만 이것과 v3 시작주소를 이용해서 v3를 0 값으로 만들 수 있다. v5 = (char*)malloc(size); malloc은 메모리 할당에 실패하면 NULL을 리턴한다. 따라서 size의 최대 크기보다 오버해서 read 함수로 size 크기를 받을 경우, 메모리 할당에 실패해서 v5에는 0이 리턴될 것이다. 따라서 v5가 0이 되고 나면, 0[size-1] = 0 이 되고, 결국 size - 1 위치에 0이 들어가게 된다. size를 (v3의 시작주소 ..

SYSTEM HACKING/pwnable.xyz 2019. 9. 4. 20:09

1. 보호기법 확인 FULL RELRO + PIE PIE가 걸려있지만 실행 시 s의 주소를 출력해주므로 문제 X 2. IDA S 변수의 주소를 구해준다. S 변수의 크기는 0x12a = 298 바이트이고 [ebp-12Ah]에 위치하므로 S(298) + SFP(4) + RET(4) 인 stack 구조를 가질 것이다. 3. exploit S의 주소로 리턴해서 쉘을 실행할 수 있도록 쉘코드를 s에 올려준다. (NX가 걸려있지 않으니 가능)

SYSTEM HACKING/CTF, etc 2019. 8. 23. 14:27

1. 보호기법 확인 $ checksec shella-easy 2. IDA – pseudo code 확인 v5은 0xCAFEBABE 값을 가지고 있는데, 이 값을 0xDEADBEEF로 바꿔야 한다. 또한 gets 함수로 입력받아 overflow 취약점이 있으므로 return address를 덮어 변조할 수 있다. printf 함수로 s 변수의 주소를 출력해주므로 return address에 &s를 넣어서 리턴 시 s 시작주소로 이동할 수 있도록 한다. s 에는 shellcode를 넣는다. => return to shellcode 3. payload 변수 s의 시작주소에서부터 변수 v5 까지의 거리는 s가 [ebp-48h]에 위치하고, v5가 [ebp-8h]에 위치하므로 0x48 - 0x8로 구할 수 있다...

SYSTEM HACKING/CTF, etc 2019. 8. 23. 14:09

# code read 함수에서 256 바이트를 src에 저장하는데, strcpy 함수에서 이 256 바이트를 크기가 0x38 = 56 바이트인 dest 변수에 복사한다. 이때 overflow 취약점이 발생한다. 주소의 값을 알고싶은 주소를 입력하면 See_something 함수로 해당 주소의 값을 출력해준다. 주소가 ASLR로 계속 바뀌므로 이것을 이용해 libc 함수의 실행 시 주소를 받아 저장하고 system 함수와의 offset을 알면 system 함수 주소를 구할 수 있다. # 보호기법 확인 NX가 걸려있어서 shellcode를 못 올리니 RTL을 사용한다. # offset 구하기 Printf_system_offset : 0xe8d0 Printf_binsh_offset : 0x11239b # de..

SYSTEM HACKING/CTF, etc 2019. 8. 18. 00:42

1. Gadgets – POP; POP; POP; RET ● x64의 호출 규약은 System V AMD64 ABI (x86의 호출 규약은 Cdecl(C declaration)) - 따라서 x64의 호출 규약으로 pop 명령어의 피연산자가 중요하다. - x64의 ROP에서 POP 명령어의 역할 -> ESP 레지스터의 값을 증가시켜 함수를 연속으로 호출 -> 호출할 함수에 전달될 인자 값을 레지스터에 저장 (인자 값은 Stack에 저장되어 있음) ● Gadgets - “pop rdi; ret” : 호출할 함수의 첫 번째 인자 값을 저장 - “pop rsi; ret” : 호출할 함수의 두 번째 인자 값을 저장 - “pop rdi; pop rdx; ret” : 호출할 함수의 첫 번째, 세 번째 인자값을 저장 ..

SYSTEM HACKING/Exploit Tech 2019. 8. 17. 17:12

1. Return Oriented Programming (ROP) – x86 - 공격자가 실행 간 보호 (NX-bit) 및 코드 서명(Code signing)과 같은 보안 방어가 있는 상태에서 코드를 실행할 수 있게 해주는 기술 RTL + Gadgets - Stack Overflow 취약성 (프로그램 흐름 변경) + “Gadgets(가젯)” (해당 프로그램이 사용하는 메모리에 이미 있는 기계 명령어) 2. Gadgets – POP; POP; POP; RET - ROP = RTL + Gadgets -- RTL 공격에서는 system 함수 이외 다른 라이브러리 함수 호출도 가능 - 여러 개의 함수 호출 위해 Gadgets 사용 -- “pop; pop; pop; ret” : 호출하는 함수의 인자가 3 개인 경..

SYSTEM HACKING/Exploit Tech 2019. 8. 17. 17:04

1. NX 가 걸려있어서 쉘코드는 못 올리고…PIE가 있어서 메모리 주소가 계속 변한다… => offset 구하고 exploit 코드 짤 때 실행 시 libc base 주소나 libc function 주소 구하면 된다. 2 .최근 푸는 바이너리들은 disas main도 안 되서 디버깅을 못 했었는데 방법을 찾았다. => 그냥 run 하면 된다! (계속 오류떠서 안 되는 줄 알았다^^;) (bp를 잡아서 buffer와 return address 거리는 못 구하지만..이건 방법을 찾아봐야겠다.) 3. (gdb) set stop-on-solib-events 1 이번 r0pbaby 처럼 실행하면 while(1)이 계속 있어서 gdb 가 멈추기 힘든데… (gdb) set stop-on-solib-events 1 ..

SYSTEM HACKING/CTF, etc 2019. 8. 16. 23:32

1. 보호기법 확인 NX와 PIE 보호기법이 적용되어 있다. NX로 shellcode를 stack에 올리지 못하고(mprotect 함수 사용하면 되긴 하지만), PIE로 메모리 주소가 계속 변경된다. 따라서 RTL + gadgets 인 ROP를 사용하고, offset을 구해서 실행 시 정확한 주소를 구할 수 있다. * 그리고 64-bit 바이너리 파일이다! 2. IDA - pseudo code 확인 savedregs 변수는 rbp+0h에 위치 => SFP에 위치함 menu 1 : libc address 출력 menu 2 : 입력한 함수의 address 출력 => 실행 시 system 함수 주소 구해 따로 저장 menu 3 : 입력받을 문자열 길이를 입력하고, 문자열을 gets로 입력받고, 입력받은 것을 ..

SYSTEM HACKING/CTF, etc 2019. 8. 16. 23:28

1. IDA - pseudo code 확인 sub_80483f4 함수 : 0x88 = 136 바이트인 buf 변수에 256 바이트 입력받아서 overflow 취약점 있다. 2. protection tech 확인 3. read, write 함수의 plt, got 주소 구하기 read 함수와 write 함수 호출하려면 plt 주소가 필요하고, read_got를 system 함수 주소로 덮으려면 read_got 필요! -write의 plt 주소 -> write 함수 호출해 read_got 영역의 주소 출력 read_plt = 0x804832c read_got = 0x804961c write_plt = 0x804830c 4. ROP 컨셉 # method1 1. read(0, bss, len(shellcode))..

SYSTEM HACKING/CTF, etc 2019. 8. 15. 23:35

1. 보호기법 확인 $ checksec simplerop NX 걸려있다. Stack에 읽기만 가능하고 쉘코드 등을 올려서 실행할 수 없다. 따라서 쓰기 권한의 영역을 찾아서 그 섹션에 쉘코드를 넣고, mprotect 함수로 mprotect(writableArea, len(shellcode), 7)로 실행권한을 주면 쉘코드가 실행될 수 있다. 2. IDA – pseudo code 확인 V4 변수 크기는 20 바이트인데 100 바이트를 입력받아서 overflow 취약점 존재 3. v4 에서 return address 까지 거리 Bp 1 : main 함수 첫 번째 명령어 -> return address Bp 2 : read 함수 호출 전 -> v4 시작 주소 Read 함수 호출 전 eax를 넣으므로 eax 값..

SYSTEM HACKING/CTF, etc 2019. 8. 15. 18:02