anonymous?

보호기법 확인 1번 메뉴: create signed int __cdecl create(signed int a1) { size_t size; // [esp+0h] [ebp-8h] unsigned int v3; // [esp+4h] [ebp-4h] v3 = __readgsdword(0x14u); if ( a1 > 10 ) return 0; printf("Size: "); __isoc99_scanf("%d", &size); ptr[a1] = malloc(size); if ( !ptr[a1] ) return -1; printf("Data: "); read(0, ptr[a1], size); printf("%p: %s\n", ptr[a1], ptr[a1]); return 0; } - size 입력 - 입력한 siz..

SYSTEM HACKING/Dreamhack 2020. 6. 13. 00:38

static void * _int_malloc (mstate av, size_t bytes) { INTERNAL_SIZE_T nb; /* normalized request size */ ... mchunkptr remainder; /* remainder from a split */ unsigned long remainder_size; /* its size */ ... use_top: victim = av->top; size = chunksize (victim); if ((unsigned long) (size) >= (unsigned long) (nb + MINSIZE)) { remainder_size = size - nb; remainder = chunk_at_offset (victim, nb); av-..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 23:04

해제된 청크 연결하는 이중 연결 리스트에서 청크 연결을 해제하는 매크로 unlink를 이용해서 임의 주소 쓰기를 하는 공격 기법이다. 주소를 알 수 있는 위치(ex. 전역 버퍼)에 unlink될 청크 주소가 저장되어 있는 경우 사용 가능하다. unlink 매크로: 인접한 2개 이상의 청크를 연속해서 해제할 때 인접한 청크를 병합하기 위해 사용된다. (smallbin, largebin 경우. fastbin에서는 인접해도 병합되지 않는다.) if(!prev_inuse(p)){ prevsize = p->prevsize; size += prevsize; p = chunk_at_offset(p, -((long)prevsize)); unlink(av, p, bck, fwd); } 현재 청크의 prev_inuse 비..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 18:38

NULL off by one 발생으로 취약점이 발생하는 것을 이용한 공격 기법이다. 한 바이트의 NULL을 추가로 입력해 인접한 청크 size의 하위 1바이트를 덮을 수 있을 때 다른 기법과 연계해서 공격하는 기법이다. NULL off by one: 한 바이트의 NULL을 추가로 입력하는 것. 예제1 //gcc -o null1 null1.c #include #include #include int readdata(char *buf, int len){ read(0, buf, len); *(char*)(buf + len) = '\x00'; } int main(){ char *buf1; char *buf2; buf1 = malloc(0x28); buf2 = malloc(0xf0); readdata(buf1, 0..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 15:38

익스 시나리오 (1) 힙 할당 (2) Double Free double free 시 청크의 next 포인터에 자기 자신의 주소가, tcache_entry에 자기 자신에 대한 포인터가 적힌다. 만약 청크에 대한 포인터가 ptr이라면 ptr -> ptr 인 것이다. (3) 재할당 - tcache_entry에 적힌 같은 크기의 청크 주소에 할당해준다. - 이때 next 포인터에 printf got를 적는다. ptr -> printf@got 가 된다. (4) 2번째 재할당 - 아직 tcache_entry에는 첫 번째 청크에 대한 주소가 적혀있으므로 재할당해준다. - tcache_enry에는 next 포인터에 적힌 printf@got가 적힌다. (5) printf@got에 할당 - size 체크를 하지 않기 때문..

SYSTEM HACKING/Dreamhack 2020. 6. 12. 01:29

스택 영역의 주소를 알 수 있는 상황에서 스택 영역에 fake chunk를 해제해 tcache_entry에 등록하고 이 영역을 할당받을 때 힙 청크 포인터를 원하는 주소로 바꿀 수 있는 기법이다. 위에서부터 차례로 ptr, v5(size) ptr 변수가 2개가 있는데, 하나는 지역변수이고 다른 하나는 bss 세션에 있는 전역변수이다. 청크 할당 시 전역변수 ptr에 청크에 대한 포인터를 저장하고 입력한 v5(size)만큼 데이터를 입력받는다. 지역변수 ptr은 2번 메뉴에서 해제하고자 하는 청크에 대한 포인터 주소를 입력하면 해당 청크를 해제하기 위해 있는 변수이다. (1) name에 p64(0) + p64(0x50) 입력한다. - 헤더(0x10) + 데이터(0x40) = 0x50 (2) name+0x1..

SYSTEM HACKING/Dreamhack 2020. 6. 12. 01:12

unsorted bin: small chunk, large chunk 크기의 청크들이 재할당을 위해 사용되는 bin 공격 방법: 해제된 BK 포인터를 조작해서 원하는 영역에 main_arena 영역의 주소를 쓸 수 있는 공격 기법 fastbin 크기가 아닌 청크를 처음 해제하면, FD와 BK 포인터에 main_arena+88 주소가 적힌다. 같은 크기로 재할당 시 해당 포인터의 FD를 찾아서 해당 주소에 재할당해준다. 예제1 (1) 힙 2개 할당 - 힙 해제 시 top chunk와 합쳐지지 않게 하기 위해 힙 2개를 할당한다. (2) 힙 1개 해제 해제된 청크의 FD와 BK 포인터에 main_arena+88 주소가 적힌다. 이후 힙을 재할당하면 0x602000 영역의 힙 청크를 재할당해준다. 해당 포인터..

SYSTEM HACKING/Exploit Tech 2020. 6. 11. 16:05

free 함수의 인자를 조작해서 임의의 메모리를 해제할 수 있을 때 원하는 주소에 힙을 할당해 임의의 주소에 값을 쓸 수 있다. 새로 할당되는 힙은 힙 영역이 아닌 스택 영역에 할당되므로, House of spirit 기법을 사용하려면 스택 주소를 알고 해당 영역을 해제할 수 있어야 한다. 예제1 // gcc -o spirit1 spirit1.c -no-pie #include #include int main() { long long fake_chunk[10] = {0,}; fake_chunk[0] = 0; fake_chunk[1] = 0x31; fake_chunk[2] = 0x41414141; free(&fake_chunk[2]); char *fake_alloc = malloc(0x20); printf(..

SYSTEM HACKING/Exploit Tech 2020. 6. 11. 14:23

1. Double Free 검증 우회 - old와 p 포인터에 대한 청크 주소를 다르게 주면 된다. - 2개의 힙 청크 할당 후 각각의 힙에 대한 포인터가 ptr1, ptr2라면, free(ptr1) free(ptr2) free(ptr1) 으로 old와 p 값이 같은지 체크하는 것을 우회해서 double free를 진행한다. Double Free 후 fd에 각각의 청크 주소가 적혀있다. ptr1 -> ptr2 -> ptr1 로 되어있고, 다음 청크 할당 시 ptr2가 할당된다. 이때 fd 값을 overwrite_me로 덮으면 ptr1 -> ptr2 -> ptr1 -> overwrite_me 로 바뀔 것이다. 2. 힙 재할당 - 1번째 청크 할당받는다. - 이때 데이터로 overwrite_me를 줘서 fd..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 18:38

Double Free ptmalloc2 할당자에서 fastbin dup에서는 이전에 해제된 청크인 old와 현재 해제될 청크인 p가 같은지 여부를 비교해서 동일한 힙 청크를 연속해서 해제할 경우 "double free or corruption (fasttop)"을 출력하고 비정상 종료한다. if (__builtin_expect (old == p, 0) { errstr = "double free or corruption (fasttop)"; goto errout; } ★ 취약점 원인: Double Free 미검증, size 비교 미검증 #if USE_TCACHE { size_t tc_idx = csize2tidx (size); if (tcache && tc_idx < mp_.tcache_bins && tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 16:56

1. Tcache(Thread local Caching) glibc 2.26 버전 이후 힙 메모리 관리 매커니즘 -> 주어진 라이브러리 버전을 보고 Tcache 여부 판단한다. 힙 메모리 관리 속도 향상 위해 추가 -> 이전 버전보다 공격이 쉽다. malloc() 함수로 동적 할당 요청이 들어오면 __libc_malloc 호출된다. __libc_malloc 함수: MAYBE_INIT_TCACHE 매크로 호출해 tcache_init 함수 호출한다. #define MAYBE_INIT_TCACHE() \ if (__glibc_unlikely (tcache == NULL)) \ tcache_init(); void * __libc_malloc (size_t bytes) { ... MAYBE_INIT_TCACHE ..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 14:51

HackCTF의 Unexploitable 문제를 풀어보고 영감(?)을 받아서 만들어본 64bit ROP 문제이다.system과 read만 사용하는 상황에서 libc leak을 할 수 있다는 것을 알려주기 위해 만들어봤다. system 함수의 경우 인자로 명령어를 주지 않으면 해당 명령어가 없다고 오류 메시지를 출력해준다.그렇다면 system 함수의 인자로 어떤 함수의 got를 주면 함수 주소를 출력해주면서 오류 메시지를 출력해줄 것이다.출력해주는 것을 leak해서 libc leak을 진행하고, libc base를 구해서 one gadget을 구하면 끝난다. 다시 입력받기 위해 main 함수로 리턴해서 return address를 one gadget으로 덮으면 쉘이 따지는 문제이다. int init() {..

SYSTEM HACKING/CTF, etc 2020. 6. 8. 10:57