anonymous?

★fgets(buffer, 256, stdin) ★if(*(buffer+47) == ‘\xbf’) : buffer+47은 ret의 다음 부분이니까 return address 뒤에는 ‘\xbf’로 시작하면 안 된다. ★if(*(buffer+47) == ‘\x08’) : return address 뒤에‘\x08’로 시작하는 주소를 넣을 수 없다. => return address에 뒤의 4byte 주소에는 stack 영역의 addr(‘\xbf’로 시작)와 ‘\x08’로 시작하는 addr는 넣을 수 없지만, ‘\x40’으로 시작하는 addr는 아직 넣을 수 있다. Libc 영역의 주소는 넣을 수 있는 것이다. ★ memcpy(&ret_addr, buffer+44,4) : buffer+44부터 4byte를 ret..

SYSTEM HACKING/LOB Redhat 2019. 6. 30. 15:00

int socket(int domain, int type, int protocol); AF_INET은 socket의 인수에서 domain으로서 IPv4 네트워크 도메인 소켓으로 원격지까지 통신할 수 있다. (물론 로컬 호스트와 통신을 위해 로컬 루프백의 주소(ex. 127.0.0.1)에 연결 가능) 접두어 AF_는 Address Family의 의미이다. 소켓 타입을 의미하는 SOCK_STREAM은 socket의 type 인수로 스트림 소켓을 의미한다. SOCK_STREAM의 특징은 연결 지향형(connection oriented)으로, 연결을 맺고 1:1 통신을 한다. 연결 지향형인 SOCK_STREAM 소켓 타입을 구현한 프로토콜로 TCP가 대표적이고 일반적이다. cf. SOCK_DGRAM 소켓 타입은..

SYSTEM HACKING/LOB Redhat 2019. 6. 30. 14:53

★addr = (char*)&strcpy, if(memcmp(argv[1]+44, &addr, 4) != 0) : return address에 &strcpy가 들어가야 한다. ★memset(buffer+40+8, ‘A’, 4) : return address 영역 뒤가 A로 덮어진다. Strcpy의 ret에 해당한다 dest 포인터가 가리키고 있는 배열에 src 포인터가 가리키는 문자열을 복사한다. Strcpy 함수에서 dest에 src를 복사하는 것을 이용해서, strcpy의 ret이 A로 덮어진 것을 다시 src에 원하는 주소를 줘서 덮을 수 있다. 이때 payload 전달 시 strcpy의 ret을 주긴 해야 하므로 dummy로 채운다. 그리고 &dest에 strcpy의 ret의 주소를 넣으면 원하는..

SYSTEM HACKING/LOB Redhat 2019. 6. 28. 10:16

DO 함수에서부터 계속 함수를 불러서 check가 1, 2, 3, 4가 되고, 마지막에 최종적으로 check == 4일 때 MO 함수에서 system(cmd); 명령어를 수행하는 것이 최종 목표인 것 같다. System의 인자 cmd에 우리가 원하는 “/bin/sh”를 넣으면 될 것 같다. 그렇다면 main 함수에서의 모든 조건을 만족시킨 후, MO 함수의 위치를 찾아서, MO 함수 속의 system의 실행 시 주소를 알아내 ebp + 8 위치에 &“/bin/sh”를 넣으면 될 것 같다. 다만 그것이 main 함수의 조건에 위배되지 않을 경우이다. ★if(argc < 2) : 인수를 2개(실행파일 이름 포함) 이상 줘야 한다. ★if(strchr(argv[1], ‘\x40’)) : argv[1]의 처음 ..

SYSTEM HACKING/LOB Redhat 2019. 6. 28. 10:11

★strncpy(buffer, argv[1], 48): strncpy는 argv[1]을 딱 48byte만 복사한다. 다행인 것은 return address까지 복사하므로 return address에 원하는 주소를 넣을 수 있다. Buffer 영역을 사용해보면 좋겠다고 생각했다. 일단 return address에 &RET을 넣어서 RET으로 이동한 후, Buffer의 시작 주소를 RET의 이전 함수의 base pointer에 넣어서 buffer의 시작주소로 esp가 이동하면, buffer의 처음부터 &system + dummy 4byte + &“/bin/sh”로 payload를 주면 될 것 같다. #RET의 주소 RET의 address: 0x80484e0 Little endian => “\xe0\x84\x..

SYSTEM HACKING/LOB Redhat 2019. 6. 26. 12:42

★no stack, no RTL: stack overflow도 아니고, RTL도 아니라는 의미같다. ★buffer[40]: buffer의 크기가 40byte이므로, 스택은 buffer(40) + sfp(4) + ret(4)의 구조를 가질 것이다. ★if(argc < 2): 실행파일에 같이 줘야 하는 인자의 개수가 2개 이상 ★if(argv[1][47] == ‘\xbf’), if(argv[1][47] == ‘\x40’): buffer가 argv[1][0] ~ argv[1][39], sfp가 argv[1][40] ~ argv[1][43], ret이 argv[1][44] ~ argv[1][47]이므로 ret 영역의 주소가 ‘\xbf’ 또는 ‘\x40’으로 시작하면 안 된다. 스택 영역의 주소와 libc 영역의..

SYSTEM HACKING/LOB Redhat 2019. 6. 26. 12:33

memcpy(&ret, &(argv[1][44]), 4): argv[1][44]부터 4바이트를 복사해서 &ret에 저장한다. =>argv[1][44]부터 4byte는 0-39 buffer 40-43 sfp 44-47 ret이므로 return address에 해당한다. if(ret != execve_addr): 이 주소가 execve_addr(execve 주소)와 다르면 종료한다. => ret에는 execve의 주소만 들어갈 수 있다. #execve()의 주소 System() 함수의 주소를 구할 때와 똑같이, call 시점에서의 주소는 실행 후 execve()의 주소가 아니므로 main에서 breakpoint를 잡고 run을 해서 실행시킨 후 print execve를 하면 실행 후 execve() 함수의 ..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:35

★RTL(Return into Libc) 기법 사용 ★if(argv[1][47] == ‘\xbf’): buffer(40) + sfp(4) + ret(4)인데, argv[1][47]은 0-39 buffer, 40-43 sfp, 44-47 ret이므로 ret에 원하는 주소를 넣을 수 없다. RTL(Return-into-libc) 기법 -RET 주소에 libc 함수의 주소를 넣어서 쉘 코드 없이도 exploit이 가능한 방법 -overflow 공격에 기반하여 버퍼를 overflow시켜서 return address(RET)를 조작해 실행의 흐름을 libc 영역으로 돌려서 원하는 libc 함수를 수행하게 하는 것 Buffer overflow 취약점이 있는 버퍼를 공격한다. 버퍼를 overflow시켜서 buffer..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:32

이번에는 함수로 argv[1] 인자를 전달해서 포인터 변수 src가 가리키게 한다. Strncpy 함수로 buffer에 src을 41 길이만큼 복사한다. strncpy 함수가 strcpy 함수와 다른 점은, strcpy 함수가 null을 만날 때까지 복사했다면, strncpy 함수는 딱 주어진 n 바이트의 크기만 복사한다. 복사한 n 바이트에 null이 없으면, 복사한 것이 저장되는 buffer에는 null로 끝나지 않는 문자열인 것이다. 그렇다면 strncpy에서 41바이트를 복사하는 것은 buffer 크기에 1바이트를 더 복사한다는 것인데 1바이트만큼만 overflow를 발생시킬 수 있다. buffer 40byte 뒤의 1byte라면 sfp(프레임 포인터) 4byte 중 처음 1byte가 해당할 것이..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:24

★char buffer[40]: buffer의 크기는 40byte. 그럼 40(buffer)+sfp(4)+4(ret) 이렇게 있을 것이다. ★if(argc < 2): 인자의 수가 2개 이상이어야 한다. 기본 argv[0], argv[1]이 있어야 한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48byte 위치에 ‘\xbf’가 있어야 한다. 그 말은 45~48byte 위치에 ret이 위치해야 한다. ★strcpy(buffer, argv[1]): argv[1]의 문자열 내용을 buffer에 복사한다. Buffer의 크기에 상관없이 null을 만나기 전까지 buffer에 복사하므로 overflow 취약점이 있다. ★memset(buffer, 0, 44): buffer의 처음 시작주소..

SYSTEM HACKING/LOB Redhat 2019. 5. 15. 16:15

★if(argc 인자를 argv[1] 이상 줘야한다. ★egghunter: memset() 함수로 환경변수를 0으로 초기화한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48번째 원소가 ‘\xbf’가 아니면 종료. ret이 꼭 argv[1]의 45~48번째를 차지해야 한다. ★if(strlen(argv[1]) > 48): argv[1]의 크기가 48보다 크면 종료 =>argv[1]에는 NOP+shellcode를 줄 수 없고, 주려면 argv[0]이나 argv[2]에서 줘야한다. ★strcpy(buffer, argv[1]): argv[1]에 든 것을 buffer에 복사한다. 길이를 검사하지 않고 복사하므로 buff..

SYSTEM HACKING/LOB Redhat 2019. 5. 1. 20:12

★if(argc != 2) : 실행파일에 같이 주는 인자가 1개가 아니면 종료 =>인자를 argv[1]만 줘야한다. ★egghunter: memset() 함수로 환경변수를 0으로 초기화한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48번째 원소가 ‘\xbf’가 아니면 종료. Ret이 꼭 argv[1]의 45~48번째를 차지해야 한다. ★if(strlen(argv[1]) > 48): argv[1]의 크기가 48보다 크면 종료 ★strcpy(buffer, argv[1]): argv[1]에 든 것을 buffer에 복사한다. 길이를 검사하지 않고 복사하므로 bufferoverflow 취약점이 있다. ★memset(buffer, 0, 40): buffer의 40바이트를 0으로 초기화한다..

SYSTEM HACKING/LOB Redhat 2019. 4. 28. 14:00