anonymous?

1. Condition 1) free chunk를 생성할 수 있어야 한다. 2) free chunk의 size 영역에 값을 저장할 수 있어야 한다. - size 영역을 변조해서 다음 청크를 overwrite해야 하므로 2. Exploit Plan 1) 3개의 heap 생성 ex. malloc(0x100) malloc(0x100) malloc(0x80) 2) 2번째 heap 영역 해제 - 해제하는 청크는 다음 청크의 다음 청크가 top chunk여야 한다. - 해제된 chunk는 unsorted bin에 들어간다. (small chunk 이상 사이즈로 할당) 3) free chunk의 size 영역에 재할당 받을 크기 값 저장 - 재할당 받을 크기 값 : 해제된 heap 크기(0x100+0x10) + 3번..

SYSTEM HACKING/Exploit Tech 2020. 1. 17. 12:14

# 보호기법 확인 # process vulnerable_function 함수에서 read 함수로 0x100 바이트 입력받는다. 버퍼의 크기는 0x88 바이트로 BOF 취약점 존재. return address를 덮고 ROP를 진행하기에 충분하다. 그리고 libc leak을 한 후 system 함수와 "/bin/sh" 문자열을 구한 후 다시 vulnerable_function 함수로 리턴해서 RTL을 진행한다. * ROP gadget 구하기 write 함수로 got leak -> write 3개 인자 필요 -> pop; pop; pop; ret gadget 사용 RTL -> system 1개 인자 필요 -> pop; ret gadget 사용 $ objdump -d rop | grep -B3 "ret" 종류가..

SYSTEM HACKING/HackCTF 2020. 1. 16. 16:30

# 보호기법 확인 # pseudo code nptr에서부터 v2의 크기만큼만 v4에 입력받는 character 하나씩만 입력받을 수 있다. 그리고 nptr에 저장된 값을 atoi 함수를 이용해서 int형으로 바꾼 결과를 v2 변수에 저장한다. 문제는 nptr 크기는 0x2c(44바이트)인데 첫 번째 v2의 크기를 한 바이트씩 입력 시 0x20보다 커지면 if문에 의해 break된다. 그리고 do_thing() 함수가 있어서 어셈블리 코드를 봤더니 "pop ebp; ret" gadget이 있었다. system 함수의 plt, got 주소를 알 수 없으므로 libc leak을 통해 주소를 구하고, RTL을 진행하면 될 것 같았다. 문제는 크기가 0x2c인 nptr의 return address 덮을 수 없다는..

SYSTEM HACKING/HackCTF 2020. 1. 15. 17:24

1. Condition 1. 할당받기 원하는 영역에 fake chunk 구조를 가지고 있어야 한다. -> malloc()의 smallbins corruption check 우회 위해 2. small chunk, large chunk의 할당과 해제가 자유로워야 한다. 3. freed chunk의 bk 영역에 원하는 값을 저장할 수 있어야 한다. 2. Exploit Plan 1. 공격 대상 - fake chunk 구조 가질 수 있는 memory 영역 - fake chunk 구조 저장할 수 있는 memory 영역 - fake chunk 생성 시 prev_size, size는 신경쓰지 않아도 되고 fd와 bk 값만 제대로 주면 된다. fd에는 heap 영역에 있는 청크의 bk에 fake chunk 주소가 저장된..

SYSTEM HACKING/Exploit Tech 2020. 1. 15. 14:54

1. idea topChunk의 size를 덮고 원하는 크기만큼 malloc해서 malloc이 특정 주소를 리턴하도록 하는 기법 * topChunk - topChunk는 메모리의 마지막에 있는 특별한 chunk이다. - malloc이 os에 더 많은 공간을 요구할 때 topChunk는 resize된다. - topChunk 크기보다 작은 크기의 청크 요청 시 topChunk에서 chunk를 떼어주고, topChunk 크기보다 더 큰 크기 요청 시 sbrk() 이용해 힙 영역을 확장해서 topChunk 사이즈를 키운 후 topChunk에서 떼어준다. -topChunk에서 떼어주면 topChunk 주소는 현재 topChunk 주소 + 요청한 chunk 사이즈 -> topChunk 사이즈를 0xfffffffff..

SYSTEM HACKING/Exploit Tech 2020. 1. 12. 21:40

Look at me 문제를 풀고 푸니까 간단하게 풀렸다. # 보호기법 확인 NX 걸려있어서 쉘코드 실행 X # pseudo code "/bin/sh" 문자열 주소와 system() 함수 주소를 출력해줘서 문제이름이 Gift인가. 주소를 알아서 출력해준다. fgets() 함수는 딱 주어진 128바이트까지만 stdin, 즉 표준입력받아서 BOF 발생 안 하는데, 아래의 gets() 함수는 제한이 없으므로 BOF 취약점이 있다. 역시 그냥은 풀리지 않는다. 출력해주는 주소에서 값을 확인해보면 텅텅 비어있기 때문이다. 근데 look at me를 풀고 보니, 여기에 "/bin/sh" 값을 적으면 될 것 같다. 그리고 RTL 시 똑같이 binsh 주소를 주면 거기에 "/bin/sh" 문자열이 적혀있기 때문에 sys..

SYSTEM HACKING/HackCTF 2020. 1. 12. 17:57

# 보호기법 확인 신경써야 할 보호기법은 NX인데, NX가 걸려있어서 쉘코드를 실행하지 못한다. # pseudo code look_at_me() 함수의 gets() 함수에서 BOF 취약점이 발생한다. 입력버퍼의 크기와 상관없이 입력받을 수 있어서 return address를 변조할 수 있다. 간단하지만 아래의 사항을 확인해보면 간단하지 않다. # process ldd 명령어로 libc 파일을 확인하려는데 없다고 출력된다. file 명령어로 파일 상태 정보를 확인해보면 일반적인 dynamically linked binary file이 아닌 statically linked binary file이다. statically linked 바이너리는 바이너리 내부에 함수들이 있다. 따라서 이렇게 system 함수가 ..

SYSTEM HACKING/HackCTF 2020. 1. 12. 17:56

Unsorted Bin Attack 문제이다. # 보호기법 확인 # pseudo code flag를 출력해주는 함수는 l33t() 함수인데, 이 함수를 호출하는 조건은 위와 같다. 메뉴를 입력받는 변수 값이 4869이어야 하는데, magic 이라는 bss 섹션에 존재하는 전역변수 값이 0x1305보다 커야한다. 0x1305는 10진수로 4869이다. 그렇다면 unsorted bin attack 기법을 사용해서 조건 만족시킨 후 &magic-0x10을 bk에 넣으면, malloc() 호출 시 할당해주는 주소가 magic 위치가 된다. 따라서 다음 malloc 시 0x1305보다 큰 값을 주면 if문 조건을 만족하고, 메뉴 입력 시 4869를 주면 l33t() 함수를 호출할 수 있다. 이제 unsorted ..

SYSTEM HACKING/CTF, etc 2020. 1. 12. 17:37

*IDA 기준으로 함수 이름 작성 * 메뉴1: sub_400DF8 함수 : malloc 함수 - 전역변수 buf, qword_6030f0, qword_603100, qword_6030e0, qword_603108, qword_6030e8 : heap 메모리 주소 저장하는 전역변수 - 전역변수 dword_603120, dword_603114, dword_603124, dword_603118, dword_603128, dword_60311c : 사용 상태 체크 변수 * 메뉴2 : sub_40120C 함수 : free 함수 * 메뉴3 : sub_4013E0 함수 : edit 함수 -> overwrite 전역변수에 heap 메모리 주소 저장한다. -> unsafe unlink 사용 가능 unk_603110 변수..

SYSTEM HACKING/CTF, etc 2020. 1. 10. 18:32

1. 목적 Unsorted Bin에 들어있는 unsorted chunk를 다시 할당할 때 unlink 과정에서 발생하는 취약점을 이용해서 main_arena 영역의 주소를 특정 메모리에 저장하는 것 * Unsorted Bin : 해제된 small chunk, large chunk 관리 2. Exploit Plan 1) 2개의 chunk 할당(malloc) 2) 1번째 chunk 해제(free) -> 해제된 1번째 chunk가 unsorted bin에 등록된다. 3) 1번째 chunk의 bk에 (해제되면 chunk의 user data 영역이 fd와 bk가 됨) 공격 대상 주소를 적는다. -> 64bit : &공격대상주소 - 0x10 * unlink() 과정에서 bck->fd = unsorted_chunks..

SYSTEM HACKING/Exploit Tech 2020. 1. 9. 16:08

# process getenv에서 name 변수에 입력받는데 overflow시켜서 return address를 spawn_shell 함수 주소로 덮어서 쉘을 실행시킨다. ELF로 실행파일을 로드해서 pwntools의 symbols로 spawn_shell 함수 주소를 구하려고 했는데 안 되서 그냥 주소를 줘서 구했다. # exploit code #!/usr/bin/python from pwn import * #p = process("./1996") p = remote("ctf.j0n9hyun.xyz", 3013) elf = ELF("./1996") spawn_shell = 0x400897 p.sendline('A'*(0x410+0x8) + p64(spawn_shell)) p.interactive() # e..

SYSTEM HACKING/HackCTF 2020. 1. 8. 23:51

# 보호기법 확인 # process passcode와 입력값이 같으면 core 함수를 호출해준다. Passcode는 v2인데, v2는 5번에 걸쳐 더한 결과이다. 따라서 5번에 나눠서 줘야 한다. hashcode 값은 0xc0d9b0a7인데 5로 나누면 0x2691f021이 나온다. 이걸 5로 곱하면 0xc0d9b0a5으로 2가 모자른데, 마지막 5번째를 0x2691f023으로 준다. 그럼 위와 같이 출력해준다. 문제는..printf 함수 주소가 한글로 둘러싸여 있다. 그래서 0까지 받고 0을 붙이기로 했다. 그리고 주소 다음은 p.recv()로 받는다. (실행파일로 구할 땐 잘 구해졌는데 remote로 구할 때는 안 되서 두 과정을 다르게 해야했다.) 처음에 주어진 hashcode 어떻게 쓰는건지만 알..

SYSTEM HACKING/HackCTF 2020. 1. 8. 23:48