anonymous?

# checksec / file # process Heap 주소 저장하는 포인터는 전역변수 ptr에서 관리된다. FULL RELRO라서 GOT overwrite은 불가능하므로 one gadget 사용해야 한다. edit하는 함수는 없으므로 one_gadget을 실행시키려면 전역변수의 ptr에 one_gadget 주소를 담아서 free나 puts 시 실행되도록 해야한다. read(0, ptr[a1], v2)를 보면 ptr은 8바이트일텐데 12바이트만큼 입력해준다. 따라서 4바이트 overflow가 발생한다. Fast dup into stack이 떠올랐다.. malloc_hook을 one_gadget으로 덮는데 fake chunk가 그 앞에 있어야 한다. 1. libc leak malloc 할 수 있는 개수..

SYSTEM HACKING/HackCTF 2020. 3. 9. 21:52

# process 1. canary leak v3에 입력을 받는데, 0x20 바이트 뒤에 v4 변수의 canary가 있다. 따라서 v3로 return address를 덮기 전에 canary 값을 알아야 한다. main 함수로 가보면 처음에 sub_806CC70() 함수를 호출한다. 이 함수를 보면 fork() 함수를 사용하는 것을 알 수 있다. 즉, fork()는 메모리까지 그대로 복사해주므로 부모와 자식의 canary 값이 같다. ATE ~ 로는 16바이트만 출력해줘서 직접적인 canary leak이 불가능하지만 처음에 v3에 size만큼 값을 줄 때 canary를 덮을 수 있다. 이때 canary 값이 다르면 *** stack smashed detected *** 가 출력된다. 이것을 이용해서 can..

SYSTEM HACKING/CTF, etc 2020. 3. 9. 21:24

# Protection Tech # process scanf() 함수로 입력받지만 입력받은 문자 마지막에 개행문자를 붇이기 때문에 leak이 불가능하다. get_choice() 함수에서 입력받은 값은 main함수의 eax 레지스터 값에 담겨서(v5 변수에 해당) error 메시지에서 출력해준다. 이것으로 cananry나 pie를 error 메시지에서 출력해준 것으로 1바이트씩 leak할 수 있다. 1) main 함수에서 v7에 message 입력 - 0x28 바이트 입력한다. 위의 노란색 값이 canary이고, 아래 노란색 값이 return address이다. return address에는 main 함수의 return address인 __libc_start_main+240이 들어있다. 이것으로 pie b..

SYSTEM HACKING/pwnable.xyz 2020. 2. 28. 18:55

# checksec / file # process V4+SFP 크기는 0x20인데 217 바이트 입력할 수 있어서 overflow 취약점 발생 1) ROP gadget 찾기 2) canary leak Buf(0x18) + ‘B’ p.recvuntil(‘B’) => 하위 바이트가 null byte라서 상관없다. canary = “\x00” + p.recv(7) *주의 : send로 개행문자 없이 보내야 canary가 제대로 leak된다. 3) read(0, bss, len(binsh)) - ROP - 입력 시 "/bin/sh" 입력한다. bss : 0x6cdb60 read : 0x440300 (stripped되어있어서 read 주소를 찾아야 했다.) 4) execve(bss, NULL, NULL) - sy..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 18:26

# checksec / file # process 2번 메뉴에서 S가 전역변수 아님 -> Format String Bug 가능 1번 메뉴에서 크기 0x410+0x8인 v5 변수에 0x5dc 입력 -> overflow 가능 1번 메뉴에서 overflow 가능한 것으로 return address를 one gadget으로 덮는다. 따라서 libc leak과 canary leak이 필요하다. (return address를 덮으면 되므로 pie leak은 필요없다.) AAAAAAAA을 입력했을 때 0x4141414141414141이 8번째에 출력된다. 즉, 8번째부터 stack 값이 출력되는 것이다. 따라서 libc leak과 canary leak을 하려면 8 offset을 더한 후에 해야한다. 1. canary..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 18:17

# protection tech/file info # process 1. 3개의 heap 할당 Add(10, ‘A’*10, 10, ‘B’*10) Add(10, ‘A’*10, 10, ‘B’*10) Add(10, ‘A’*10, len(binsh), binsh)) -> one gadget 사용할 경우 필요 X free의 got를 system으로 덮어서 system(“/bin/sh”)를 트리거할 것 마지막 heap의 description에는 “/bin/sh” 넣어놓음 2. 0번 free – unsorted bin에 등록됨 3. heap overflow pay = ‘A’*120 + 0x10 + 0x10 + p32(free_got) 0번 생성 시 1의 UserInfo->desc에 free got 넣음 => heap..

SYSTEM HACKING/HackCTF 2020. 2. 28. 17:53

# Protection Tech # file # code 1. add user - size 크기만큼 malloc해서 그 heap 주소를 desc 변수에 저장, 초기화 - 0x80 크기만큼 malloc해서 UserInfo 변수에 heap 주소 저장. 초기화 - UserInfo 구조체에서 desc 영역에 desc에 저장된 값 저장. - UserList 전역변수에 UserInfo 값 저장 - setName 함수로 UserList[count] + 4 영역에 124바이트만큼 name 입력받음. - update 함수로 desc 영역에 값 저장. 2) delete - index 값이 count보다 작고, UserList[index] 값이 0이 아닌 경우 - UserList[index] 값, 즉 UserList[ind..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 17:46

# Protection Tech # process validation 변수 값이 0이 아니면 win 함수를 호출해서 쉘 실행 가능하다. 1) small chunk 1개, large chunk 1개 할당 2) 0번 청크 제거 - unsorted bin에 등록된다. 3) UAF로 0번 청크에 validation-0x10 주소 값을 넣는다. bk 영역에 들어가 있는 것 확인할 수 있다. 4) 해제한 0번 청크와 같은 크기로 heap 할당 - unlink 과정에서 validation 값이 바뀌기 때문에 따로 값을 바꾸지 않아도 if 조건을 만족해서 win 함수가 호출될 수 있다. # exploit code #!/usr/bin/python from pwn import * #context.log_level = 'd..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 17:33

# Protection Tech # process Flag 출력해주는 magic 함수로 이동하는 것이 목표 초기 heap 상태. 0x20 사이즈의 청크로 데이터 영역에 hello_message와 goodbye_message에 대한 주소가 담겨있다. bss 영역에는 itemlist라는 전역변수가 있는데, heap을 추가할 때마다 itemlist에 해당 주소를 저장한다. 따라서 여기에 heap 주소가 아닌 got 주소로 바꿀 수 있다. 1) 3개의 heap 할당 2) 2번째 청크에 fake chunk 생성 - unsafe unlink - fd에 공격대상주소-0x18, bk에 공격대상주소 - 0x10을 넣는다. - 3번 청크에 prev_size는 fake chunk 크기(헤더 포함이므로 0x20), size는..

SYSTEM HACKING/CTF, etc 2020. 2. 28. 17:24

# Protection Tech # process Pie가 적용된 바이너리 경우 코드 영역 값이 offset 값이다. Offset 값 이용해 할당된 메모리 영역에 동적으로 위치할 수 있다. 할당받은 메모리 영역(0x555555554000)+ main 함수 코드 offset 값(0x7c3) = main 함수 시작주소(0x00005555555547c3) 구조 : [s][canary][SFP][RET] Payload = ‘A’*0x70 + canary(구해야 함) + ‘B’*8 + p64(pie + 0xd30) 따라서 canary leak과 pie leak으로 rtl을 진행해서 return address에 win 주소를 넣으면 된다. 1) canary leak 0x68 다음 8바이트가 canary이므로 0x6..

SYSTEM HACKING/pwnable.xyz 2020. 2. 28. 17:00

# Protection Tech # process 출력해준 buf 값을 받아서 입력 시 str로 변환한 값과 0으로 통과한다. 그러고 나면 shellcode executioner라고 쉘코드를 실행할 수 있다고 하는데 NX가 걸려있어서 불가능하다. 하지만 코드를 보면 key와 inpt을 xor해준 값에 mmap 함수를 사용하는데 메모리 매핑을 해주는 것이다. 그리고 flag 값이 34인데 실행권한을 부여해준다. xor만 안 하면 쉘코드를 넣으면 쉘코드에 실행권한이 부여되어서 쉘코드를 실행할 수 있다. strlen으로 반복해서 xor을 진행하는데, 처음에 null byte를 넣으면 strlen은 길이가 0인줄 알고 반복문을 하지 않는다. 이것으로 xor문을 우회하고 바로 쉘코드에 mmap으로 실행권한을 부여..

SYSTEM HACKING/pwnable.xyz 2020. 2. 28. 16:42

# Protection Tech # process 메뉴 1 : v6로 뛸 수 있다. v6를 win 함수로 변조할 수 있고 v5 == canary인 조건을 만족한다면 win 함수로 뛰어서 win 함수를 실행할 수 있다. 1. stack leak Environ 주소 받아서 rbp 주소 구한다. rbp = environ – 248 2. read_int8 함수에서 rbp의 하위 1바이트를 v6의 하위 1바이트로 변조한다. 메뉴 번호를 입력받는 read_int8() 함수에서 1바이트 overflow, 즉 off by one이 일어난다. 그럼 read_int8 함수가 리턴 시 rbp에 담긴 주소로 돌아가므로 v6로 갈 것이다. 원래 read_int8 시 rbp는 rbp-0x11인데 v6 위치인 rbp-0x8로 rb..

SYSTEM HACKING/pwnable.xyz 2020. 2. 28. 16:36