anonymous?

1. 조건 Double free bug 가 가능해야 함 2. 공격 방법 1) 동일한 크기 fast chunk 3개 생성(malloc) 2) 첫 번째 fast chunk 해제(free) 3) 두 번째 fast chunk 해제(free) 4) 첫 번째 fast chunk 해제(free) -> double free 5) 동일한 크기의 fast chunk 2개 재할당(malloc) 6) 재할당 받은 첫 번째 chunk 영역에 fd에 stack 주소 저장 -> stack 주소 값 + 0x8 영역에는 동일한 chunk size 저장되어야 함 (fastbin에서 재할당 시 chunk size가 요청한 size와 같은지 확인하기 때문) 7) 동일한 크기의 fast chunk 할당 -> fd + 0x10 주소가 리턴된다..

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:13

1. 조건 Double free bug 가 가능해야 함 (해제된 fast chunk를 한 번 더 해제하는 것이 가능해야 함) 2. 공격 방법 1) 동일한 크기 fast chunk 3개 생성(malloc) 2) 첫 번째 fast chunk 해제(free) fastbinsY[6] = 0x602000 3) 두 번째 fast chunk 해제(free) fastbinsY[6] = 0x602080 -> 0x602000(fd) 4) 첫 번째 fast chunk 해제(free) -> double free fastbinsY[6] = 0x602000 -> 0x602080(fd) -> 0x602000(fd) 5) 공격 대상 영역과 같은 크기의 heap 3개 할당(malloc) -> 첫 번째 heap 영역과 세 번째 heap..

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:07

1. 환경 공격자가 heap 영역을 할당(malloc), 해제(free)할 수 있어야 한다. 2. 공격 방법 1) 2개의 Heap 영역 할당(malloc) 2) 첫 번째 Heap 영역 해제(free) 3) Heap 영역 할당(malloc) - Fastbin : 해제된 chunk가 fastbinsY에서 관리될 경우 해제된 Heap과 크기 동일하게 할당 - Unsorted bin : 해제된 chunk가 unsorted bin에서 관리되는 small, large chunk인 경우, 해제된 Heap의 크기와 같거나 작은 크기를 할당 4) 해제되었던 Heap 영역을 재할당받게 된다. 3. example vuln code 1) 크기 0x90인 힙 할당 2) 크기 0x100인 힙 할당 3) 크기 0x90인 힙 해제...

SYSTEM HACKING/Exploit Tech 2019. 11. 25. 23:01

flag 함수가 _ 함수로 있다. vtable가 있다. vtable을 통해 각 함수를 호출한다. vtable 주소로 이동해보면 각 함수의 주소가 적혀 있는 것을 알 수 있다. &vtable+v3으로 함수를 호출하는데, 이것으로 v3를 조절해서 원하는 함수를 호출할 수 있다. (또 v3

SYSTEM HACKING/pwnable.xyz 2019. 11. 11. 16:40

The House of Spirit 기법 + stack 문제 free() 시 현재 chunk size와 next chunk size 체크를 우회하기 위해 fake chunk 2개만 생성하면 free(buf); 를 에러없이 우회할 수 있고 return 0; 시 win 함수로 리턴 메뉴 3 : buf에 적힌 값의 16바이트를 v7에 저장함. v7은 buf-0x8에 위치해서 buf를 덮을 수 있음 -> buf가 저장하는 chunk 주소를 변조 가능 메뉴 1에서 값을 저장하고 메뉴 3에서 덮는 과정을 반복하면 됨. 1. return address 주소 구하기 buf에서부터 0x58 바이트 떨어져 있음 메뉴 2에서 buf 주소를 받아서 0x58을 더해서 구함 2. chunk 주소를 return address로 변..

SYSTEM HACKING/pwnable.xyz 2019. 11. 11. 13:14

목적 : 공격자가 만든 fake chunk를 fastbin으로 반환해서 fastbinsY에 원하는 주소를 등록하는 것. malloc() 호출로 리턴된 chunk 주소를 포함하는 변수를 overwrite Ex. malloc(0x40) 이 성공적으로 되면 chunk 주소를 리턴해주는데, 이 chunk 주소 값을 buf 포인터 변수가 저장한다. buf는 할당된 chunk를 가리키게 된다. buf를 fake chunk에 대응하는 메모리 주소로 수정할 수 있음 방법은 1. fake chunk의 size를 malloc()이 요청되는 사이즈와 같게 만든다. -> “free(): invalid size” Security check 우회 2. glibc에서 free할 때, 뒤에 인접한 청크의 크기를 검사한다. 따라서 f..

SYSTEM HACKING/Exploit Tech 2019. 11. 11. 12:31

1) 2번 메뉴 V7과 v8이 0x10 차이 나므로 2에서 nationality를 ‘A’로 채우면 v8을 덮을 수 있다. 먼저 v8에 got를 넣고, 2) 3번 메뉴 3번에서 v8을 int형으로 입력받는데 (64비트에서 %d는 4바이트이다..) 이때 v8은 어떤 libc의 got이므로 덮고자하는 주소, 즉 win 함수 주소를 주면 got를 win 주소로 덮을 수 있다. V8은 scanf에서 %d로 받으므로 str(win)으로 준다. 처음에 got로 puts 함수를 사용하려고 했는데 puts got에 0x20 포함했다. 아스키 코드 20이 스페이스라서 scanf는 스페이스를 받지 않기 때문에 exit이 된다. 그리고 libc 함수들 중에서 아직 사용되지 않은, 호출되지 않은 주소를 사용해야 한다. exit..

SYSTEM HACKING/pwnable.xyz 2019. 11. 2. 13:02

Heap 동적인 영역 1. Arena 메모리 관리 영역 프로세스에 할당된 heap 영역(non-mmapped) 1-1. main_arena brk 시스템 콜 사용하여 할당된 힙을 효율적으로 관리하기 위해 malloc.c에서 “malloc_state” 구조체 top chunk 크기보다 큰 사이즈 할당 요청의 경우: mmap 시스텥ㅁ 콜 사용해서 새로운 페이지 할당 -> 이 힙은 main_arena에서 관리하지 않는다. malloc을 하기 전에는 heap 메모리 공간이 없는데, malloc을 하고 나면 heap 메모리 공간이 생기는 것을 gdb로 확인할 수 있다. pwndbg> p main_arena 2. Chunk 할당 단위 -Allocated chunk -Top chunk 2.1 Allocated chu..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 12:56

1. JOP(Jump-Oriented Programming) -JMP 명령어를 이용하여 프로그램의 흐름을 제어하는 방법 -JOP의 gadget : “Exploit에 필요한 코드 + JMP 명령어” Ex. x64 환경에서 함수의 첫 번째 인자값에 0 저장 : “mov rdi, 0; jmp [R9]” 2. Vuln code -dlsym 함수로 prinf 함수 주소 leak -read(0, buf, 256) : 크기 50 바이트인 buf에 256 바이트 입력 -> overflow 취약점 * return address와 buf 변수 사이 거리 Bp1 : vuln 함수 첫 번째 명령어 -> return address Bp2 : vuln 함수 read 함수 호출 부분 -> buf 함수 주소 3. JOP 구조로 쉘 ..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:47

1. /lib/x86_64-linux-gnu/libc-2.23.so libc 라이브러리의 do_system() 함수 내에서 __execve() 함수를 이용해 shell을 호출한다. __execve (_PATH_BSHELL, (char *const *) args, __environ); 2. One gadget 찾기 1) strings strings 이용해서 라이브러리 파일에서 "/bin/sh" 문자열이 위치한 offset 주소를 구한다. $ strings -t x /lib/x86_64-linux-gnu/libc-2.23.so | grep "/bin/sh" 2) objdump $ objdump -M intel -d /lib/x86_64-linux-gnu/libc-2.23.so | grep -C8 18cd57..

SYSTEM HACKING/Exploit Tech 2019. 11. 2. 11:40