anonymous?

free 함수의 인자를 조작해서 임의의 메모리를 해제할 수 있을 때 원하는 주소에 힙을 할당해 임의의 주소에 값을 쓸 수 있다. 새로 할당되는 힙은 힙 영역이 아닌 스택 영역에 할당되므로, House of spirit 기법을 사용하려면 스택 주소를 알고 해당 영역을 해제할 수 있어야 한다. 예제1 // gcc -o spirit1 spirit1.c -no-pie #include #include int main() { long long fake_chunk[10] = {0,}; fake_chunk[0] = 0; fake_chunk[1] = 0x31; fake_chunk[2] = 0x41414141; free(&fake_chunk[2]); char *fake_alloc = malloc(0x20); printf(..

SYSTEM HACKING/Exploit Tech 2020. 6. 11. 14:23

1. Double Free 검증 우회 - old와 p 포인터에 대한 청크 주소를 다르게 주면 된다. - 2개의 힙 청크 할당 후 각각의 힙에 대한 포인터가 ptr1, ptr2라면, free(ptr1) free(ptr2) free(ptr1) 으로 old와 p 값이 같은지 체크하는 것을 우회해서 double free를 진행한다. Double Free 후 fd에 각각의 청크 주소가 적혀있다. ptr1 -> ptr2 -> ptr1 로 되어있고, 다음 청크 할당 시 ptr2가 할당된다. 이때 fd 값을 overwrite_me로 덮으면 ptr1 -> ptr2 -> ptr1 -> overwrite_me 로 바뀔 것이다. 2. 힙 재할당 - 1번째 청크 할당받는다. - 이때 데이터로 overwrite_me를 줘서 fd..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 18:38

Double Free ptmalloc2 할당자에서 fastbin dup에서는 이전에 해제된 청크인 old와 현재 해제될 청크인 p가 같은지 여부를 비교해서 동일한 힙 청크를 연속해서 해제할 경우 "double free or corruption (fasttop)"을 출력하고 비정상 종료한다. if (__builtin_expect (old == p, 0) { errstr = "double free or corruption (fasttop)"; goto errout; } ★ 취약점 원인: Double Free 미검증, size 비교 미검증 #if USE_TCACHE { size_t tc_idx = csize2tidx (size); if (tcache && tc_idx < mp_.tcache_bins && tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 16:56

1. Tcache(Thread local Caching) glibc 2.26 버전 이후 힙 메모리 관리 매커니즘 -> 주어진 라이브러리 버전을 보고 Tcache 여부 판단한다. 힙 메모리 관리 속도 향상 위해 추가 -> 이전 버전보다 공격이 쉽다. malloc() 함수로 동적 할당 요청이 들어오면 __libc_malloc 호출된다. __libc_malloc 함수: MAYBE_INIT_TCACHE 매크로 호출해 tcache_init 함수 호출한다. #define MAYBE_INIT_TCACHE() \ if (__glibc_unlikely (tcache == NULL)) \ tcache_init(); void * __libc_malloc (size_t bytes) { ... MAYBE_INIT_TCACHE ..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 14:51

1. ssh 연결 설정 (xshell 사용 위해) 이렇게 명령어 입력했는데 없다고 하면 ssh가 없는 것이다. 설치를 해줘야 한다. (1) tcp 포트 22번 연결 허용하기 (2) ssh 패키지를 설치한다. $ sudo apt install openssh-server which 명령어로 설치가 되었는지 확인할 수 있다. (3) ip 주소 확인 후, xshell에 세션을 새로 만들어서 호스트에 ip 주소를 입력한다. 포트는 22번 그대로 xshell에서 제대로 실행되는 것을 확인할 수 있다! 2. nodejs 설치 시 오류 문제 해결 E: Could not get lock /var/lib/dpkg/lock-frontend - open (11: Resource temporarily unavailable) E..

TOOLS/TIPS 2020. 6. 10. 08:50

Ubuntu 18.04 LTS 버전 포함 최신 우분투에서는 Netplan을 이용해서 네트워크를 설정한다. 1. 네트워크 인터페이스 확인 $ ifconfig 명령어 실행 결과, 인테페이스는 ens33인 것을 알 수 있었다. (항상 ens33은 아니다.) 이 ens33 이름을 이용해서 설정을 할 것이다. 2. Netplan bridge 설정 (1) net 설정 파일(/etc/netplan/01-network-manager-all.yaml) 열어서 내용을 확인한다. (2) renderer로 NetworkManager가 설정되어 있는데, 기존 내용을 주석처리하고 파일을 수정한다. $ sudo vi /etc/netplan/01-network-manager-all.yaml [] 사이 이름은 본인의 인테페이스 이름에..

TOOLS/TIPS 2020. 6. 9. 23:02

HackCTF의 Unexploitable 문제를 풀어보고 영감(?)을 받아서 만들어본 64bit ROP 문제이다.system과 read만 사용하는 상황에서 libc leak을 할 수 있다는 것을 알려주기 위해 만들어봤다. system 함수의 경우 인자로 명령어를 주지 않으면 해당 명령어가 없다고 오류 메시지를 출력해준다.그렇다면 system 함수의 인자로 어떤 함수의 got를 주면 함수 주소를 출력해주면서 오류 메시지를 출력해줄 것이다.출력해주는 것을 leak해서 libc leak을 진행하고, libc base를 구해서 one gadget을 구하면 끝난다. 다시 입력받기 위해 main 함수로 리턴해서 return address를 one gadget으로 덮으면 쉘이 따지는 문제이다. int init() {..

SYSTEM HACKING/CTF, etc 2020. 6. 8. 10:57

SSP(Stack Smashing Protector) 보호기법은 스택 버퍼오버플로우를 방지하기 위해 개발된 기법이다. SSP는 스택 buffer와 SFP(Stack Frame Pointer) 사이에 랜덤 값인 canary를 넣어서 함수 종료 시점에서 __stack_chk_fail( 함수 호출을 통해 canary 변조 여부를 체크함으로써 스택이 망가졌는지 확인한다. SSP가 적용되어 있으면 함수에서 스택을 사용할 때 canary가 생성된다. Master canary는 main() 함수가 호출되기 전에 랜덤으로 생성된 canary를 thread마다 전역 변수로 사용되는 TLS(Thread Local Storage)에 저장하는데, 모든 thread가 하나의 canary 값을 사용하기 위해서이다. TLS는 tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 8. 00:26

64bit 환경에서는 32bit로 컴파일할 수 없다. 무슨 오류인지 정확히 보이지 않지만... (색 설정을 잘못해서^^;) 32bit로 컴파일이 안 된다..! 이는 일반적인 64bit 환경에서 32bit로 컴파일할 패키지가 없기 때문이다. 따라서 관련 패키지를 설치해주면 해결할 수 있다. sudo apt-get install gcc-multilib 패키지 설치를 하고 나면 -m32 옵션을 사용해서 정상적으로 32bit로 컴파일이 가능하다.

TOOLS/TIPS 2020. 6. 7. 22:16

실습을 위해 또 포너블 문제를 만들었다. void __noreturn handler() { puts("Time Out"); exit(-1); } unsigned int Init() { setvbuf(stdin, 0LL, 2, 0LL); setvbuf(stdout, 0LL, 2, 0LL); signal(14, (__sighandler_t)handler); return alarm(0x3Cu); } int menu() { puts("1. read"); puts("2. print"); puts("3. quit"); return printf("> "); } int Input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((..

SYSTEM HACKING/CTF, etc 2020. 6. 1. 02:36

HackCTF의 babyheap 문제를 풀어봤던 경험으로 double free 시 free의 abort로 corruption이 일어나는 것을 이용해서 쉘을 딸 수 있었다. 1. libc leak __malloc_hook, one gadget 주소를 구한다. pwntools의 libc.symbols로 _IO_2_1_stdout_ , __malloc_hook 로 offset 구해서 주소를 구해줬다. 2. 임의 주소 쓰기 취약점 __malloc_hook + one gadget 주면 buf의 __malloc_hook에 buf+1의 one gadget 값이 써진다. 3. double free -> free의 abort로 corruption이 뜨게 해서 쉘을 딴다. double free 환경을 만들어줘서 따로 ma..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 22:42

출력된 buf 주소와 스택이 들어간 위치 확인해보면 buf에서부터 값이 들어간다. \x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80 0b에서 계속 끊기는 현상 발생. 0b 없이 만들어야 한다. mov al, 0x0b 원래는 이거인데 0x0b는 어짜피 상수이므로 al 레지스터에 0x0b만 만들어주면 된다. 따라서 sub로 만들든 add로 만들든 11이 되도록 만들면 된다. mov al, 0x08 add al, 0x03 int 0x80 로 만들었다. 이렇게 하니까 정상적으로 쉘코드가 들어가고 return address가 덮혔다! ret에 놉 주소가 들어가있는 것 확인 가능! 그리고 nop으로 ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:21