anonymous?

★if(argc != 2) : 실행파일에 같이 주는 인자가 1개가 아니면 종료 =>인자를 argv[1]만 줘야한다. ★egghunter: memset() 함수로 환경변수를 0으로 초기화한다. ★if(argv[1][47] != ‘\xbf’): argv[1]의 48번째 원소가 ‘\xbf’가 아니면 종료. Ret이 꼭 argv[1]의 45~48번째를 차지해야 한다. ★if(strlen(argv[1]) > 48): argv[1]의 크기가 48보다 크면 종료 ★strcpy(buffer, argv[1]): argv[1]에 든 것을 buffer에 복사한다. 길이를 검사하지 않고 복사하므로 bufferoverflow 취약점이 있다. ★memset(buffer, 0, 40): buffer의 40바이트를 0으로 초기화한다..

SYSTEM HACKING/LOB Redhat 2019. 4. 28. 14:00

취약점: gets() 함수는 버퍼가 over되어도 체크하지 않는다는 점에서 취약하다. 1) NOP 주소->ret Nopsled 기법 중 NOP의 주소를 ret에 넣는 방법 사용 buffer+sfp+ret(NOP주소)+NOP+shellcode ret 뒤의 NOP의 임의의 주소를 줘서 NOP에서 흘러가 shellcode가 실행될 수 있도록 하는 것이다. 2. ret 전까지 크기 구하기 함수 프롤로그 과정 이후(push %ebp/mov %esp, %ebp), sub $0x10, %esp 스택을 16바이트 확장했다. 코드에서 char buffer[16];에 해당함을 알 수 있다. 따라서 buffer(16) + sfp(4) + ret(4)의 구조를 가질 것이며 ret 전에 buffer + sfp, 총 20바이트를..

SYSTEM HACKING/LOB Redhat 2019. 4. 1. 15:54

고전적인 방법 -NOP(보통 \x90) 사용: nopsled 기법 -buffer + sfp(4byte) + ret(4byte) + NOP + shell code -buffer + sfp에는 NOP 또는 아무 문자들로 채워서 BOF을 발생시킨다. -ret(return address)에는 ret 뒤의 NOP 중 임의의 주소를 넣는다. -NOP의 역할은 ret에 임의의 NOP의 주소를 넣음으로써 쉘코드가 있는 곳까지 아무런 수행을 하지 않고 흘러들어 가게 하는 것이다. ->CPU는 NOP을 만나면 유효한 instruction이 있는 쉘코드의 시작점이 나올 때까지 한 바이트씩 EIP를 이동시킨다. ->NOP으로 쉘코드의 정확한 시작점을 주지 않아도 stack pointer가 흘러서 쉘코드 시작점까지 도달할 수 ..

SYSTEM HACKING/LOB Redhat 2019. 3. 29. 22:36

cobolt> 전에 우연히 알게된 방법인데 win을 누르면 login창으로 갈 수 있다. 지난 gremlin.c와의 차이는 buffer의 크기가 훨씬 작다는 것이다. 1. ret 전 채워야 할 dummy 구하기 strcpy() 함수가 리턴되고 add명령어가 실행되기 전까지의 크기를 구해야 하므로 add 명령어 부분에 breakpoint를 잡자. 인자로 “”A””*16의 dummy를 넣어서 buffer를 채운 후 주소를 출력해보면 0xbffffb78은 sfp이고, 0x400309cb가 ret 주소이다. 그러면 buffer(16) + sfp(4) + ret(4) 구조이므로 ret 전까지, 즉 20의 dummy를 넣으면 된다. 2. system() 함수의 실행 후 시작주소 구하기 간단한 system() 함수가..

SYSTEM HACKING/LOB Redhat 2019. 3. 28. 22:39

gremlin> gremlin파일에 setuid가 걸려있다. 저 주석이 힌트인 것 같은데, gremlin 파일을 사용하라는 것 같고, 간단한 BOF 문제라고 한다. main함수를 보면 인자를 인자를 받는다. 만약 argc는 인자의 개수이므로 argc < 2이면, 즉 인자를 주지 않으면 “argv error”를 출력하고 exit한다. 그렇지 않으면 argv[1]을 buffer에 복사한다. 그리고 buffer에 복사된 것을 출력한다. 그리고 strcpy함수는 문자열 길이를 검사하지 않기 때문에 취약점을 가지고, 따라서 버퍼오버플로우 공격이 가능한 것이다. ★RTL(Return-into-libc) 기법 사용 -RET 주소에 공유 라이브러리 함수의 주소를 넣어서 쉘 코드 없이도 exploit을 할 수 있는 방법..

SYSTEM HACKING/LOB Redhat 2019. 3. 28. 22:32

Level 4의 패스워드는 inhere 디렉터리의 숨겨진 파일에 있다. 이번 레벨에서는 숨겨진 파일을 리스트하는 방법에 대해 알아가나보다. 숨겨진 파일을 리스트하려면 ls 명령어의 -a 옵션을 사용하면 된다. 홈 디렉터리에서 ls -al 명령어를 입력했더니 파일이름 앞에 .이 붙은 숨겨진 파일도 모두 리스트되었다. 그리고 필요한 inhere 디렉터리도 확인할 수 있었다. inhere 디렉터리는 숨겨진 파일이나 디렉터리가 아니라서 ls -l 명령어로도 리스트할 수 있긴 하다. find 명령어의 -name 옵션을 사용해서 inhere라는 이름을 찾으면 홈 디렉터리에 inhere라는 파일이나 디렉터리가 존재함을 확인할 수도 있다. cd 명령어로 inhere 디렉터리로 이동한다. ls -l 명령어로 inhere..

SYSTEM HACKING/Bandit 2019. 3. 28. 22:24

Level 3의 패스워드는 홈 디렉터리에 위치한 spaces on this filename 파일에 있다. 이번에는 파일이름에 스페이스가 있을 때 여는 방법을 공부하는 것 같다. ls 명령어로 spaces in this filename이 홈 디렉터리에 있는 것을 확인하고, cat 명령어로 이 파일을 읽으려고 했으나 역시 안 됐다. spaces까지를 파일이름으로 인식하고 이후부터는 다른 독립적인 명령어라고 생각할 것이기 때문에... 지난 단계에서 파일의 전체 경로를 명시해서 명령어를 사용하면? 이번에도 실패. 역시 spaces까지를 하나의 파일이름으로 인식한다. 따라서 "spaces in filename"으로 구글링해봤더니, 스페이스 전에 backslash를 사용하면 하나의 파일이름으로 인식한다고 한다. (..

SYSTEM HACKING/Bandit 2019. 3. 28. 22:21

Level 2의 패스워드는 홈 디렉터리에 위치한 - 파일에 있다. ls 명령어로 홈 디렉터리에 - 파일이 있는 것을 확인하고 cat - 명령어로 이 파일을 읽으려고 했는데 커서만 뜬다. ls -l 명령어로 이 파일에 대해 알아보니, bandit2라는 uid를 가진 사용자에게 읽기(r)와 쓰기(w)의 권한이 있고, bandit1이라는 gid를 가진 사용자에게는 읽기(r)의 권한만, 나머지 사용자에게는 권한이 없다. 지금 bandit1 사용자로 로그인했으므로 읽기의 권한이 있다. 따라서 이 dashed file을 읽는 방법이 따로 있는 것 같아서 Helpful Reading Material의 "dashed filename"을 들어가서 구글링해봤다. 리눅스에서 dash(-)로 시작하는 파일이름은 유효하다. 하..

SYSTEM HACKING/Bandit 2019. 3. 28. 22:21

Level 1의 패스워드는 홈 디렉터리의 readme 파일에 있다고 한다. readme 파일의 패스워드를 이용해서 level 0에서처럼 SSH를 이용해 포트 2220으로 bandit1로 로그인하면 된다. 처음에 일반적으로 홈 디렉터리에 위치하므로 바로 ls 명령어를 입력해서 readme 파일이 있는지 확인했다. cat readme 명령어로 readme 파일의 내용을 출력해 Level 1의 패스워드를 확인했다. bandit1 유저로 다시 로그인해야 하므로 exit 명령어로 로그아웃했다. $ ssh bandit1@bandit.labs.overthewire.org -p 2220 을 입력해서 서버에 접속한 후, readme 파일에 적힌 패스워드를 적으면 성공!! (패스워드에서 알파벳 O를 숫자 0으로 착각해서 ..

SYSTEM HACKING/Bandit 2019. 3. 28. 22:19

goal: SSH 이용하여 게임에 로그인하기 1. address: bandit.labs.overthewire.org 2. port: 2220 3. username: bandit0 4. passwd: bandit0 SSH는 리눅스의 경우 명령어를 이용해서 bandit 서버에 접속할 수 있다. 'How to use SSH on wikiHow'에 들어가보면, $ssh @ 이 명령어를 입력하는 것으로 SSH로 원격 서버에 접속하는 방법이 나오는데, 나는 이 방법이 안 됐다. (센토스에서도...) 포트번호를 줬는데 이것만 사용하지 않아서 포트번호를 써야한다고 생각했다.$ ssh @ -p [port_number] 이 방법을 찾아냈다. 이 명령어를 입력하면 overthewire 게임 서버에 성공적으로 접속할 수 ..

SYSTEM HACKING/Bandit 2019. 3. 28. 22:19