anonymous?

Background Kernel module 적재 가능한 커널 모듈(Loadable Kernel Module, LKM) 규격을 따르는 모듈 목적: 커널에 필요한 기능을 탈부착할 수 있게 하기 위해 커널에 부착 시 커널과 동일한 메모리 공간 사용한다. 커널 모듈에서 취약점 발생 시 커널 공격 가능하다. Kernel 메모리 할당자 종류 slab: 커널 동적 메모리 할당자(dynamic memory allocator) slub: 많은 CPU와 노드로 구성된 서버 환경에서 주로 사용되는 메모리 할당자 slob: 메모리가 제한적인 임베디드 환경에서 주로 사용되는 메모리 할당자 커널은 Slab(슬랩) 메모리 할당자(slab allocator)로 메모리를 관리한다. slab cache: 커널에서 자주 쓰이는 구조체 ..

SYSTEM HACKING/CTF, etc 2021. 11. 11. 23:19

이 쉬운 문제를 지금까지 왜 안 풀었나 싶다. nc host1.dreamhack.games 10255 shell에 위와 같이 입력해서 접속하면 플래그가 출력된다.

SYSTEM HACKING/Dreamhack 2021. 2. 9. 01:40

level 1부터 level5까지 총 5개의 레벨이 있었고, 레벨을 모두 클리어하면 바로 플래그가 출력된다. 지정된 키대로 위,아래,오른쪽,왼쪽을 선택하면서 게임을 진행하고 128, 256, 512, 1024, 2048(아마 이렇게 5레벨이 맞을 것이다.)을 각 레벨마다 완성하면 다음 레벨로 넘어간다. 노가다성 문제로 레벨 올라가면서 망할각이 보여서 리트할 뻔 했지만 다행히 한판에서 2048까지 만들고 플래그를 얻을 수 있었다. (시간은 좀 걸렸다.) 마지막에 플래그 얻은 부분만 캡쳐해놨다.

SYSTEM HACKING/CTF, etc 2021. 1. 2. 19:53

_IO_FILE : 리눅스 시스템의 표준 라이브러리에서 파일 스트림을 나타내기 위한 구조체 프로그램이 fopen과 같은 함수 통해 파일 스트림을 열 때 힙에 할당된다. 예제1 //gcc -o file1 file1.c #include #include #include int main(){ FILE *fp; char buf[0x100] = {0,}; strcpy(buf, "THIS IS TESTFILE!"); fp = fopen("testfile", "w"); fwrite(buf, 1, strlen(buf), fp); fclose(fp); return 0; } buf에 strcpy 함수를 사용해서 문자열을 복사한 후, testfile이라는 파일에 buf 길이만큼 문자열을 쓴다. fwrite 후 없었던 힙이 생..

SYSTEM HACKING/Exploit Tech 2021. 1. 1. 19:57

libc32.so.6파일과 바이너리 파일이 제공된다. libc32.so.6이 제공되는 것을 보고 32bit 문제임을 예상했고, oldschool 바이너리를 아이다로 열어봐서 코드를 본 후 바로 32bit ROP 문제임을 알았다. 일반적인 32bit ROP 문제와 동일하다. 그래서 블로그에 포스팅했던 32bit rop 문제의 exploit code를 복붙하고, offset만 따로 구해줬다. 환경 vuln 함수에서 단순히 read 함수로 0x100만큼 입력받고, return address를 충분히 덮고 ROP를 할 수 있을 정도로 입력받는다. 여기서 바로 블로그에 포스팅한 32bit ROP 문제 exploit code를 복붙했고, 디버깅으로 offset만 따로 구해서 바꿔줬다. Exploit Code #!/..

SYSTEM HACKING/CTF, etc 2021. 1. 1. 19:52

환경 Exploit Flow 1. libc leak - unsorted bin에 들어갈 청크와 일반 tcache 사이즈 청크 2개 할당- ptr = realloc(ptr, 0) 이렇게 할당할 경우, size가 0이 되어 realloc이 처리할 때 해당 ptr을 free한다. unsorted bin에 들어가는 청크를 free하면 해당 청크의 fd와 bk에 main arena 영역의 주소가 적힌다. Check 메뉴에서 해당 청크가 할당되어 있지 않으면 데이터를 출력해주지 않으므로 0번 청크를 다시 할당해준다. Check 메뉴에서 0번 청크 데이터가 출력되면, bk 부분이 출력된 main arena 영역 주소를 leak한다. 데이터 A를 입력해서 한 바이트가 덮인 상태라 libc base를 구할 때 이 부분을..

SYSTEM HACKING/CTF, etc 2020. 12. 18. 21:19

환경 Exploit Flow1. tcache chunk, unsorted bin chunk, tcache chunk 차례로 create 마지막 chunk는 2번째 청크 free 시 top chunk와 합쳐지는 것을 방지하기 위해 할당 2. 첫번째 청크 free - 청크 데이터를 확인해보면 ptr+0x8 부분에 e→key가 있는데, e→key는 Double Free를 검증하기 위한 tcache 포인터이다. 같은 청크가 이후에 해제되면 e→key를 확인하고 같으면 Double Free 에러 출력 후 비정상 종료된다. - 이 e→key 값을 조작할 수 있으면 Double Free 검증을 우회하고 같은 청크를 free하는 Double Free를 발생시켜 tcache와 fd에 같은 청크 포인터를 적어 fd를 원하..

SYSTEM HACKING/CTF, etc 2020. 12. 18. 21:11

환경 Exploit Flow 1. libc leak 릭을 하다보면 13번째 위치의 __libc_start_main+240 부분 주소가 눈에 띄어서, 해당 주소를 출력해서 libc leak을 진행했다. exit got에 써진 주소에서 다른 부분인 총 6바이트를 덮으면 되는데, onegadget을 그대로 사용하면 안 돼서 low, middle, high로 나누어 구해줬다. 2. 스택 포인터에 exit got, exit got+2, exit got+4 적기 여기에서 주소 중 스택 포인터를 값으로 가지는 것을 고른다. 스택 포인터는 자기 주소보다 높은 위치에 있어야 한다. 해당 값의 주소를 통해 값으로 exit got를 적고, 해당 주소 값의 위치(exit got를 적은)를 통해 one gadget을 주면 ex..

SYSTEM HACKING/CTF, etc 2020. 12. 18. 21:11

ubuntu 19에서 사용하는 glibc 버전이니 리모트는 ubuntu 19에서 다시 해볼 것 1. Double free tcache entry와 첫번째 청크 fd에 첫 번째 청크 주소가 적힌다. 2. fd를 got로 바꾼다. (UAF) got에 system이 있어서 혹시나 해서 .rodata 영역을 확인했는데 get_shell 함수가 있었다.. (아니다. 그냥 확인해도 get_shell 함수가 있다.) printf@got에 할당받을 때 데이터로 get_shell을 주면, printf 시 쉘이 실행될 수 있다. 3. Create 이때는 tcache에 적힌 첫 번째 free 청크 영역에 재할당된다. tcache에는 fd에 적힌 printf@got가 등록된다. 4. Create fd에 적혔던 printf@g..

SYSTEM HACKING/Dreamhack 2020. 8. 29. 02:41

v5에는 힙 주소가 적히고 (할당된 힙 청크에 영역의 주소), 데이터로 table_func을 적는다. 만약 값이 적혀있으면 해당 v5에 적힌 주소를 실행한다. 따라서 v5에 적힌 값을 get_shell로 변조하면 쉘을 딸 수 있다. v3 포인터가 가리키는 힙 영역을 가장 먼저 할당하는데 scanf로 입력받아서 heap overflow 취약점이 존재한다. 이를 이용해서 table_func->get_shell로 바꾼다. 초기 힙 상태를 보면 2개가 할당되어 있는 것을 확인할 수 있다. scanf 시 첫 번째 노란색 부분부터 입력받아서 0x08048694를 덮어야 한다. 4*10 + p32(get_shell) 페이로드 전당 후 get_shell이 데이터 영역에 적힌 것을 확인할 수 있다. call 로 get_..

SYSTEM HACKING/Dreamhack 2020. 7. 8. 13:07

switch ( v3 ) { case 2: printf("Name: %s\n", &buf); printf("Age: %d\n", v5); break; %s는 null을 만나기 전까지 모두 출력해준다. 따라서 0이 없도록 buf와 v5를 모두 채워주면 3번 메뉴에서 s에 flag를 넣고 2번 메뉴에서 flag까지 출력되도록 할 수 있다. #!/usr/bin/python from pwn import * context.log_level = 'debug' p = remote("host1.dreamhack.games", 8336) #p = process("./memory_leakage") elf = ELF("./memory_leakage") def Join(name, age): p.sendlineafter("> ..

SYSTEM HACKING/Dreamhack 2020. 7. 8. 12:46

tcache에서 라이브러리 영역 주소 릭하는 방법 1. 7개의 tcache_entry 모두 채워서 tcache를 사용하지 않도록 한 후 unsorted bin을 만든다. 2. tcache에서 허용하지 않는 크기 할당 후 해제해 unsorted bin을 만든다. -tcache에 들어가는 청크 크기: 0x10 ~ 0x408 -0x420 이상 할당 후 해제 시 unosorted bin에 들어간다. 3. _IO_FILE_Arbitrary Read + tcache dup 사용한다. 1, 2 방법은 기존의 2.23에서 unsorted bin을 다루는 과정과 동일하다. (2.26 이상 버전에서는 청크 크기만 0x420 이상 할당/해제해주면 된다.) 방법2: tcache에서 허용하지 않는 크기 할당 후 해제해 unso..

SYSTEM HACKING/Exploit Tech 2020. 6. 13. 16:41