anonymous?

메타 문자(meta characters) . ^ $ * + ? { } [ ] \ | ( ) - 원래 그 문자가 가진 뜻이 아닌 특별한 용도로 사용하는 문자 - 위는 정규 표현식에서 사용하는 메타 문자이다. 1. 문자 클래스 [ ] - [ ] 사이의 문자들과 매치 [abc] [abc]는 "a, b, c 중 하나의 문자와 매치"를 의미한다. "a" : "a"가 정규식과 일치함. 매치 "before" : "b"가 정규식과 일치함. 매치 "dude" : 정규식과 일치하는 문자가 없음. 매치되지 않는다. | >>> print(re.search('Crow|Servo', 'CrowHello')) - A | B 정규 표현식은 A 또는 B라는 의미이다. - or ^ >>> print(re.search('^Life', '..

카테고리 없음 2020. 7. 9. 15:52

v5에는 힙 주소가 적히고 (할당된 힙 청크에 영역의 주소), 데이터로 table_func을 적는다. 만약 값이 적혀있으면 해당 v5에 적힌 주소를 실행한다. 따라서 v5에 적힌 값을 get_shell로 변조하면 쉘을 딸 수 있다. v3 포인터가 가리키는 힙 영역을 가장 먼저 할당하는데 scanf로 입력받아서 heap overflow 취약점이 존재한다. 이를 이용해서 table_func->get_shell로 바꾼다. 초기 힙 상태를 보면 2개가 할당되어 있는 것을 확인할 수 있다. scanf 시 첫 번째 노란색 부분부터 입력받아서 0x08048694를 덮어야 한다. 4*10 + p32(get_shell) 페이로드 전당 후 get_shell이 데이터 영역에 적힌 것을 확인할 수 있다. call 로 get_..

SYSTEM HACKING/Dreamhack 2020. 7. 8. 13:07

switch ( v3 ) { case 2: printf("Name: %s\n", &buf); printf("Age: %d\n", v5); break; %s는 null을 만나기 전까지 모두 출력해준다. 따라서 0이 없도록 buf와 v5를 모두 채워주면 3번 메뉴에서 s에 flag를 넣고 2번 메뉴에서 flag까지 출력되도록 할 수 있다. #!/usr/bin/python from pwn import * context.log_level = 'debug' p = remote("host1.dreamhack.games", 8336) #p = process("./memory_leakage") elf = ELF("./memory_leakage") def Join(name, age): p.sendlineafter("> ..

SYSTEM HACKING/Dreamhack 2020. 7. 8. 12:46

주차 과제 1주차 (7/6-7/12) 1. BaskinRobins31 2. r0pbaby 3. xshell 설치: xshell 상에서 ssh 연결로 우분투 사용하기 참고: https://koharinn.tistory.com/104?category=826585 4. lrzsz 패키지 설치: sudo apt install lrzsz - xshell에서 lrzsz 사용하면 우분투에서 호스트(윈도우)로 파일을 복사하거나, 호스트에서 우분투로 파일 복사 가능. 5. lrzsz 패키지 내 명령어 사용해서 우분투(VM)->윈도우(호스트)로 파일 옮기는 것, 윈도우(호스트)->우분투(VM)에서 파일 옮기는 것 해보고 캡쳐 2주차 (7/13-7/19) 1. ROP Emporium - write4(x64) 2. HackC..

SISS/2020 2020. 6. 27. 01:24

tcache에서 라이브러리 영역 주소 릭하는 방법 1. 7개의 tcache_entry 모두 채워서 tcache를 사용하지 않도록 한 후 unsorted bin을 만든다. 2. tcache에서 허용하지 않는 크기 할당 후 해제해 unsorted bin을 만든다. -tcache에 들어가는 청크 크기: 0x10 ~ 0x408 -0x420 이상 할당 후 해제 시 unosorted bin에 들어간다. 3. _IO_FILE_Arbitrary Read + tcache dup 사용한다. 1, 2 방법은 기존의 2.23에서 unsorted bin을 다루는 과정과 동일하다. (2.26 이상 버전에서는 청크 크기만 0x420 이상 할당/해제해주면 된다.) 방법2: tcache에서 허용하지 않는 크기 할당 후 해제해 unso..

SYSTEM HACKING/Exploit Tech 2020. 6. 13. 16:41

보호기법 확인 1번 메뉴: create signed int __cdecl create(signed int a1) { size_t size; // [esp+0h] [ebp-8h] unsigned int v3; // [esp+4h] [ebp-4h] v3 = __readgsdword(0x14u); if ( a1 > 10 ) return 0; printf("Size: "); __isoc99_scanf("%d", &size); ptr[a1] = malloc(size); if ( !ptr[a1] ) return -1; printf("Data: "); read(0, ptr[a1], size); printf("%p: %s\n", ptr[a1], ptr[a1]); return 0; } - size 입력 - 입력한 siz..

SYSTEM HACKING/Dreamhack 2020. 6. 13. 00:38

static void * _int_malloc (mstate av, size_t bytes) { INTERNAL_SIZE_T nb; /* normalized request size */ ... mchunkptr remainder; /* remainder from a split */ unsigned long remainder_size; /* its size */ ... use_top: victim = av->top; size = chunksize (victim); if ((unsigned long) (size) >= (unsigned long) (nb + MINSIZE)) { remainder_size = size - nb; remainder = chunk_at_offset (victim, nb); av-..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 23:04

해제된 청크 연결하는 이중 연결 리스트에서 청크 연결을 해제하는 매크로 unlink를 이용해서 임의 주소 쓰기를 하는 공격 기법이다. 주소를 알 수 있는 위치(ex. 전역 버퍼)에 unlink될 청크 주소가 저장되어 있는 경우 사용 가능하다. unlink 매크로: 인접한 2개 이상의 청크를 연속해서 해제할 때 인접한 청크를 병합하기 위해 사용된다. (smallbin, largebin 경우. fastbin에서는 인접해도 병합되지 않는다.) if(!prev_inuse(p)){ prevsize = p->prevsize; size += prevsize; p = chunk_at_offset(p, -((long)prevsize)); unlink(av, p, bck, fwd); } 현재 청크의 prev_inuse 비..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 18:38

NULL off by one 발생으로 취약점이 발생하는 것을 이용한 공격 기법이다. 한 바이트의 NULL을 추가로 입력해 인접한 청크 size의 하위 1바이트를 덮을 수 있을 때 다른 기법과 연계해서 공격하는 기법이다. NULL off by one: 한 바이트의 NULL을 추가로 입력하는 것. 예제1 //gcc -o null1 null1.c #include #include #include int readdata(char *buf, int len){ read(0, buf, len); *(char*)(buf + len) = '\x00'; } int main(){ char *buf1; char *buf2; buf1 = malloc(0x28); buf2 = malloc(0xf0); readdata(buf1, 0..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 15:38

익스 시나리오 (1) 힙 할당 (2) Double Free double free 시 청크의 next 포인터에 자기 자신의 주소가, tcache_entry에 자기 자신에 대한 포인터가 적힌다. 만약 청크에 대한 포인터가 ptr이라면 ptr -> ptr 인 것이다. (3) 재할당 - tcache_entry에 적힌 같은 크기의 청크 주소에 할당해준다. - 이때 next 포인터에 printf got를 적는다. ptr -> printf@got 가 된다. (4) 2번째 재할당 - 아직 tcache_entry에는 첫 번째 청크에 대한 주소가 적혀있으므로 재할당해준다. - tcache_enry에는 next 포인터에 적힌 printf@got가 적힌다. (5) printf@got에 할당 - size 체크를 하지 않기 때문..

SYSTEM HACKING/Dreamhack 2020. 6. 12. 01:29

스택 영역의 주소를 알 수 있는 상황에서 스택 영역에 fake chunk를 해제해 tcache_entry에 등록하고 이 영역을 할당받을 때 힙 청크 포인터를 원하는 주소로 바꿀 수 있는 기법이다. 위에서부터 차례로 ptr, v5(size) ptr 변수가 2개가 있는데, 하나는 지역변수이고 다른 하나는 bss 세션에 있는 전역변수이다. 청크 할당 시 전역변수 ptr에 청크에 대한 포인터를 저장하고 입력한 v5(size)만큼 데이터를 입력받는다. 지역변수 ptr은 2번 메뉴에서 해제하고자 하는 청크에 대한 포인터 주소를 입력하면 해당 청크를 해제하기 위해 있는 변수이다. (1) name에 p64(0) + p64(0x50) 입력한다. - 헤더(0x10) + 데이터(0x40) = 0x50 (2) name+0x1..

SYSTEM HACKING/Dreamhack 2020. 6. 12. 01:12

unsorted bin: small chunk, large chunk 크기의 청크들이 재할당을 위해 사용되는 bin 공격 방법: 해제된 BK 포인터를 조작해서 원하는 영역에 main_arena 영역의 주소를 쓸 수 있는 공격 기법 fastbin 크기가 아닌 청크를 처음 해제하면, FD와 BK 포인터에 main_arena+88 주소가 적힌다. 같은 크기로 재할당 시 해당 포인터의 FD를 찾아서 해당 주소에 재할당해준다. 예제1 (1) 힙 2개 할당 - 힙 해제 시 top chunk와 합쳐지지 않게 하기 위해 힙 2개를 할당한다. (2) 힙 1개 해제 해제된 청크의 FD와 BK 포인터에 main_arena+88 주소가 적힌다. 이후 힙을 재할당하면 0x602000 영역의 힙 청크를 재할당해준다. 해당 포인터..

SYSTEM HACKING/Exploit Tech 2020. 6. 11. 16:05