anonymous?

# description FSOP(File Stream Oriented Programming) 기법을 사용하는 문제이다. # code fclose 함수로 input을 인자로 파일을 닫는다. input 변수는 전역변수로 FILE 포인터이다. # process bss 섹션(0x601000)을 보면, stdout과 stdin이 구조체(struct _IO_FILE_plus)로 구조화되어있다. glibc이 사용하는 FILE 구조체로, 최근 vtable이 추가되었다. vtable 포인터는 FILE 구조체의 마지막 8바이트에 위치하며, vtable 포인터가 가리키는 vtable은 해당 포인터가 가지는 주소에 위치한다. vtable 구조체(struct _IO_jump_t)에는 함수의 주소들이 적혀있다. 1. input..

SYSTEM HACKING/pwnable.xyz 2020. 2. 10. 12:34

# description register라면 등록하다 또는 CPU 레지스터로 해석해볼 수 있다. 이 문제의 경우, CPU 레지스터를 사용한 sysROP 문제이다. # Protection Tech # 정리 ** 주요 시그널 처리 함수들 ** signal(sig, handler) : signal 14가 발생하면 handler 포인터를 반환한다. raise(sig) : raise() 함수는 프로세스가 자기자신에게 신호를 보낼 때 쓰이는 함수이다. 따라서 프로세스는 signal 14를 자기 자신에게 보낸다. alarm(sec) : 지정한 시간이 되면 자기자신에게 SIGALRM 시그널을 전송한다. 프로세스는 SIGALRM을 받으면 종료한다. sleep(sec) : 지정한 시간 동안 대기 상태가 된다. 지정한 시간..

SYSTEM HACKING/HackCTF 2020. 2. 10. 00:40

# Protection Tech # process 1. 2개의 marimo 생성 marimo는 Buy() 함수에서 사서 malloc 할 수 있는데, 돈이 부족하다. main 함수의 switch 문 전의 while 문에서 메뉴 선택 값을 저장하는 변수 v3 값을 매개변수로 넘겨서 조건을 확인하는 코드가 있다. v3로 "show me the marimo"를 주면 청크가 0x18 크기인 marimo 하나를 생성해준다. 이때 size와 가격은 각각 1과 5로 지정되어있다. 그리고 sub_400eed 함수를 호출해서 v1(heap 주소), 1(marimo size), 5(price)를 넘겨준다. marimo의 구조를 확인할 수 있다. marimo 2개를 생성한 후 heap 구조는 위와 같다. 2. heap ove..

SYSTEM HACKING/CTF, etc 2020. 2. 9. 23:16

# description x32 Format String Bug 문제이다. # protection tech # code - printf(&buf) : 바로 buf 변수 값을 출력함 -> Format String Bug 취약점 발생 # process 위의 코드를 보면 printf(&buf)에서 FSB가 발생하기도 하지만 이 코드를 보면 printf@got를 system@plt로 덮고 buf에 "/bin/sh"을 주면 쉘을 실행할 수 있다고도 생각해볼 수 있다. 이렇게 하려면 먼저 printf@got를 덮고 다시 입력받아서 "/bin/sh" 문자열을 buf 변수에 입력해야 해서 최소 2번은 vuln 함수가 필요하다. 출력 이후 puts 함수 호출 2번을 해서 출력해주는데 이것을 이용해볼 수 있겠다. puts..

SYSTEM HACKING/CTF, etc 2020. 2. 7. 00:49

# description 간단한 heap 문제이다. 디버깅으로 변수들의 구조를 확인하면 쉽게 풀 수 있을 문제이다. # process s : 스택에 위치한 변수로, heap 주소가 저장된다. (정확히는 heap의 데이터 영역 주소가 저장된다.) cur : s를 가리키는 포인터. s 변수 주소를 저장한다. buf : 스택에 위치한 age 값 저장하는 변수이다. s와 buf 간의 관계를 디버깅으로 확인해볼 수 있다. 디버깅하다가 edit_usr을 할 때 age 값을 넣는 스택 주소를 확인할 수 있었다. (익스 성공할 때 디버깅 상태이다.) edit_usr 함수에서 age 값을 'D'*0x10 + puts@got로 줬더니 위와 같이 값이 들어갔다. 근데 cur 변수에 저장된 s 변수 주소 값을 확인해보면 다음..

SYSTEM HACKING/pwnable.xyz 2020. 2. 5. 18:16

Ubuntu 18.04 LTS를 VMware Workstation Pro 에 설치할 것이다. (기존의 16.04를 잘 쓰고 있지만 18.04의 필요성도 느껴서 설치하기로 했다...) # 다운로드 ubuntu 사이트 : https://ubuntu.com/download/desktop Download Ubuntu Desktop | Download | Ubuntu Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things. ubuntu.com 또는 국내 미러 사이트에서 iso 파일을 다운 받는다. 똑같은 iso 파일을 다운로드하는 것인데..

TOOLS/TIPS 2020. 2. 4. 15:36

# description return to csu 문제이다. # code read로 buf에 입력받는데 return address를 덮을 수 있을만큼 충분히 입력받는다. # process 1. loc_4006B6 주소(0x4006b6)로 return address를 덮는다. - 리턴 시 이 곳으로 이동할 것이다. 2. 우리는 0x4006a0 주소의 rdx, rsi, edi 레지스터들을 사용하기 위해 r13, r14, r15에 적절히 원하는 값을 넣어야 한다. mov rdx, r13 : r13 값을 rdx 레지스터에 적는다. mov rsi, r14 : r14 값을 rsi 레지스터에 적는다. mov edi, r15d : r15 값을 edi 레지스터에 적는다. call qword ptr [r12+rbx*8] ..

SYSTEM HACKING/HackCTF 2020. 2. 3. 00:29

# code - get_tier(v6) : v6 변수 값이 75보다 크면 result = 4가 되서 v5 변수에 저장된다. (v5 == 1인 것은 flag가 출력되는 조건이다.) - get_tier() 호출 이후 printf(v5)를 하는데, 이 printf got를 play_game으로 덮으면 play_game(4)를 호출하게 된다. - printf(v5); 에서 Format String Bug 취약점이 발생해서 got 값을 덮을 수 있다. # process - AAAAAAAA를 입력해서 출력되는 위치를 확인해보면 6번째이다. - 64bit는 32bit와 다르게 바로 스택 주소가 leak되지 않고 레지스터 주소부터 leak된다. 그래서 스택 offset이 6부터 시작한다. offset 6 : %4196..

SYSTEM HACKING/HackCTF 2020. 1. 31. 14:56

# description Can you authenticate to this service and get the flag? Connect with nc 2018shell3.picoctf.com 27114 # code s 변수에 "yes"가 없으면 printf(&s); 로 출력해주는데 이때 Format String Bug 취약점이 발생한다. _bss_start에 입력한 값을 64바이트만 s에 저장한다. _bss_start가 뭔가 봤더니 그리고 yes를 입력하면 read_flag() 함수를 호출해준다. read_flag() 함수 : read_flag() 함수는 authenticated 값이 0인지 아닌지 if문으로 확인하는데 0이 아닐 때 flag() 함수를 호출해준다. 현재 authenticated 값은 ..

SYSTEM HACKING/CTF, etc 2020. 1. 31. 12:56

# file statically linked binary이다. # checksec # code - vuln : gets로 단순히 입력을 받아서 BOF 취약점이 발생한다. look at me에서 사용한대로 gets로 bss 영역에 “/bin/sh” 문자열을 넣고, syscall로 execve(“/bin/sh”, NULL, NULL); 을 실행해서 쉘이 실행되도록 할 것이다. # process 1. 필요한 인자 EAX 0x0b : execve syscall id ECX NULL EBX “/bin/sh” EDX NULL 2. 필요한 gadget & 주소 - pop eax; ret : 0x80b84d6 - pop ecx; ret : 0x80dece1 - pop ebx; ret : 0x80481c9 - pop r..

SYSTEM HACKING/CTF, etc 2020. 1. 31. 12:43

statically linked binary이다. statically linked는 바이너리 내에서 함수를 로드해서 사용한다. 이 문제의 경우 system 함수가 없었다. 그래서 이번엔 syscall을 사용해서 execve("/bin/sh", NULL, NULL); 을 실행시키는 sysROP 방법으로 문제를 풀어봤다. # process 1. sysROP 과정 1) 레지스터에 필요한 인자 저장 - 필요한 인자 pop eax; ret => \x0b : execve의 syscall id pop ebx; ret => "/bin/sh" pop ecx; ret => 0 pop edx; ret => 0 2) int 0x80 명령어 실행 - syscall 시 필요하다. - 필요한 인자 int 0x80; ret 2. R..

SYSTEM HACKING/HackCTF 2020. 1. 31. 10:40

1. Conditions 1) 0x200 이상의 heap 영역 : 공격 대상 heap 영역을 할당, 해제할 수 있어야 한다. Fast bin 이상의 heap 영역(Heap size : 0x80 이상) : 공격 대상 영역에 할당 heap 영역 2) 공격자에 의해 free chunk의 size 영역의 1바이트를 null로 변경할 수 있어야 한다. 3) 공격자에 의해 free chunk의 size보다 작은 heap 영역을 2개 할당할 수 있어야 한다. 4) 공격자에 의해 free chunk의 size보다 작은 heap 영역 2개를 할당할 수 있어야 한다. 2. Exploit plan 1) 3개의 heap 할당 - heap1(0x80), heap2(0x200), heap3(0x80) 2) heap2의 heade..

SYSTEM HACKING/Exploit Tech 2020. 1. 30. 22:05