anonymous?

Partial RELRO → GOT Overwrite 가능 1. keep secret : calloc # small secret → fastChunk buf = calloc(1, 0x28); read(0, buf, 0x28); # big secret → largeChunk qword_6020c0 = calloc(1, 0xfa0); read(0, qword_6020c0, 0xfa0); # hug secret → largeChunk qword_6020c8 = calloc(1, 0x61a80); read(0, qword_6020c8, 0x61a80); 전역변수인 buf, qword_6020c0, qword_6020c8 에 할당된 heap 주소 저장 → 할당한 메모리를 전역변수에서 관리하므로 UAF 사용 X s..

SYSTEM HACKING/CTF, etc 2020. 1. 8. 00:28

# pseudo code # process I문자를 입력하면 you로 replace해준다. 변수 s에 복사하고 출력해주므로 s를 overflow시키면 되는데, s의 크기는 0x3c = 60바이트이다. I 20개를 줘서 s를 덮고 A 4개로 SFP를 덮고 get_flag를 줘서 return address를 덮는다. 따라서 ‘I’*20 + ‘A’*4 + p32(get_flag) 로 payload를 준다. # exploit code #!/usr/bin/python from pwn import * #p = process("./gpwn") p = remote("ctf.j0n9hyun.xyz", 3011) elf = ELF("./gpwn") get_flag = elf.symbols['get_flag'] p.send..

SYSTEM HACKING/HackCTF 2020. 1. 8. 00:22

# process 1000000점을 획득해야 while문에서 break하고 reward() 함수를 호출해서 flag를 얻을 수 있다. 그리고 if문 조건에 제시된 단어 하나 당 100점씩 얻게 된다. 하지만 단어 10000개를 줘도 되지 않는다. 다른 방법으로 dword_6024e0 변수를 1000000으로 만들어야 한다. 타겟이 되는 변수는 bss 섹션에 위치한다. 따라서 이 주소가 고정적이다. gets() 함수의 입력버퍼인 poem의 위치도 확인해보면 bss 섹션에 위치하고 있다. dword_6024e0과 poem 변수 모두 고정적인 전역변수이다. &dword_6024e0 - &poem = 0x40 으로 poem+0x40 위치에 dword_6024e0이 위치한다. 즉, gets() 함수로 입력받을 때..

SYSTEM HACKING/HackCTF 2020. 1. 8. 00:19

how2heap의 unsafe_unlink.c와 Lazenca 문서를 보고 공부했다. Conditions 1. 공격자에 의해 생성된 heap 영역이 전역 변수와 같이 주소를 예상할 수 있는 영역에서 관리되어야 한다. 2. 공격자에 의해 크기가 0x80 이상의 heap 영역이 할당될 수 있어야 한다. Exploit plan 1. global 변수 chunk0_ptr 선언 이 포인터를 원하는 메모리 주소로 옮기고 이 포인터를 이용해 값을 적는 것이 목표 2. smallChunk 이상 크기의 chunk 2개 할당. - 0x80 크기의 청크 2개 할당 : 첫 번째 chunk는 전역변수에 저장한다. 실제 chunk 크기는 헤더(0x10) 포함 0x90 3. 첫 번째 chunk 안에 fakeChunk 1개 만든다...

SYSTEM HACKING/Exploit Tech 2020. 1. 5. 15:59

1.06 – 1.12 생활코딩 HTML 기획(3) – 웹사이트 완성(15) 1.13 – 1.19 생활코딩 CSS 수업 소개(1) – 박스 모델 써먹기(9) 1.20 – 1.26 생활코딩 JavaScript 수업소개(1) - 배열과 반복문의 활용(23) 1.27 – 2.02 생활코딩 JavaScript 함수 예고(24) – 객체의 활용(33) 2.03 – 2.09 webhacking.kr 2문제 2.10 – 2.16 webhacking.kr 2문제 2.17 – 2.23 webhacking.kr 2문제 2.24 – 3.01 webhacking.kr 2문제 생활코딩 https://opentutorials.org/course/3084 WEB1 - HTML & Internet - 생활코딩 --..

SISS/2020 2020. 1. 3. 23:43

- 1주차~8주차 : SWEA 매주 2문제 씩 - 16문제 중에서 2단계&3단계 풀기 (3단계 문제가 10문제 이상 풀 것) https://swexpertacademy.com/ SW Expert Academy SW 프로그래밍 역량 강화에 도움이 되는 다양한 학습 컨텐츠를 확인하세요! swexpertacademy.com 문제접근방식 + 코드 캡쳐(주석으로 코드설명) + 코드에 대한 간결한 설명 + 실행결과 캡쳐

SISS/2020 2020. 1. 3. 23:40

1. 보호기법 확인 2. 과정 read로 buf변수에 입력받은 후 buf변수 값을 출력할 때 그냥 printf(&buf)로 출력해서 FSB(format string bug) 취약점이 존재한다. 1) %n 서식자 사용한 방법 1)-1. 0x000000da => 0x0 0x0 0x0 0xda 입력한 AAAA가 8번째에서 출력된다. 길이를 8자리로 맞추기 위해 2번째 ~ 6번째까지는 %08x 5개를 출력하고, 7번째에는 0xda 10진수(218) - (처음 magic 주소 길이 + %08x 5개 길이 = 44) = 174, 즉 %174c를 주고, ㅡmagic 주소가 위치한 곳에 %n을 출력해서 magic addr에 0xda의 값으로 덮히도록 한다. 1)-2. 0xfaceb00c => 0xb00c 0xface ..

SYSTEM HACKING/CTF, etc 2020. 1. 2. 18:19

1. 보호기법 확인 2. 과정 password가 매 실행마다 random으로 결정되는데 그 값을 출력해주지 않는다. 근데 password를 입력했을 때 이 password 변수의 값과 일치해야지 flag 파일 내용이 출력된다. 근데 이름을 buf 변수에 입력받고 출력할 때 그냥 printf(&buf)로 출력해서 format string bug 취약점이 존재한다. 따라서 이름을 입력받을 때 password의 주소를 알 수 있으므로 FSB를 사용해서 password 값을 leak하고, nptr 변수에 패스워드를 입력받을 때 이 leak 한 값을 줘서 flag가 출력되도록 한다. $를 사용하면 %n 전까지의 정확한 위치를 알지 않아도 구할 수 있다. payload를 pay = p32(password_addr)..

SYSTEM HACKING/CTF, etc 2020. 1. 2. 17:59

dlsym 함수는 C 언어에서 사용하는 함수로, 위의 코드에서 system 함수의 주소(두 번째 인자를 이르으로 가지는 함수의 주소)를 라이브러리 handle(첫 번째 인자)에서 찾아서 v6 변수에 저장한다. 즉, system 함수의 주소는 v6에 저장되어있다. 또 아래의 for문은 초기에 “/bin/sh”를 찾기 위해 코딩해서 사용했었던 방법인데 system 함수 주소 처음부터 1씩 주소를 증가시키면서 s1의 값과 “/bin/sh”를 비교해서 같으면 for문을 멈춘다. 따라서 s1에는 “/bin/sh” 주소가 저장된다. RTL = &system + 4 byte dummy + &”/bin/sh” 만 있으면 return address에 system addr를 넣고 RTL을 전달하면 system(“/bin/..

SYSTEM HACKING/HackCTF 2020. 1. 2. 00:07

1. 보호기법 확인 문제이름대로 PIE가 걸려있다. 2. 코드 확인 코드를 보니까 flag를 출력해주는 함수는 j0n9hyun 함수인데, 주소는 welcome주소를 출력해준다. 주소가 고정적이지 않고 실행할 때마다 바뀌므로 실행 시 welcome 주소를 leak 한 후 구해놓은 welcome과 j0n9hyun 함수와의 offset으로 j0n9hyun 함수의 실행 시 주소를 구하고 RTL을 이용해서 return address를 이 주소로 덮어서 리턴 시 flag가 출력되도록 한다. 3. 실행 주소의 길이가 10이므로 recv(10)으로 leak 한다. 4. exploit code #!/usr/bin/python from pwn import * #p = process("./bof_pie") p = remot..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:59

1. 보호기법 확인 2. 코드 확인 gets 함수로 입력받는다. 따라서 sendline으로 payload를 엔터를 포함해서 전달해야 FLAG가 바로 따진다. selec_func에서 src에서 dest로 복사를 하는데, src는 main의 s이고 sfp에서 0x27바이트 떨어진 위치, dest는 sfp에서 0x2c 떨어진 위치에 있다. dest가 src보다 0x3 바이트 더 앞에 있다. 그리고 selec_func 함수 마지막에 return v3()를 하는데, 이 v3가 가리키는 곳을 print_flag로 바꾸면 return 시 print_flag가 실행될 수 있을 것이다. 그럼 dest에 복사됐을 때 v3를 정확하게 print_flag 함수 주소로 덮으면 되는데, 그 앞의 dummy를 얼마를 줘냐 하느냐가..

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:26

1. 보호기법 확인 2. 실행 3. exploit code Buffer 주소를 출력해주니까 처음에 아무거나 입력하고 출력해주는 buffer의 시작주소를 받아온다. 그리고 다시 y를 입력해서 shellcode를 buffer에 넣고 return address를 buffer의 주소로 변조해서 리턴 시 buffer의 쉘이 실행되게 한다. 4. exploit

SYSTEM HACKING/HackCTF 2020. 1. 1. 17:23