anonymous?

# code read 함수에서 256 바이트를 src에 저장하는데, strcpy 함수에서 이 256 바이트를 크기가 0x38 = 56 바이트인 dest 변수에 복사한다. 이때 overflow 취약점이 발생한다. 주소의 값을 알고싶은 주소를 입력하면 See_something 함수로 해당 주소의 값을 출력해준다. 주소가 ASLR로 계속 바뀌므로 이것을 이용해 libc 함수의 실행 시 주소를 받아 저장하고 system 함수와의 offset을 알면 system 함수 주소를 구할 수 있다. # 보호기법 확인 NX가 걸려있어서 shellcode를 못 올리니 RTL을 사용한다. # offset 구하기 Printf_system_offset : 0xe8d0 Printf_binsh_offset : 0x11239b # de..

SYSTEM HACKING/CTF, etc 2019. 8. 18. 00:42

1. Gadgets – POP; POP; POP; RET ● x64의 호출 규약은 System V AMD64 ABI (x86의 호출 규약은 Cdecl(C declaration)) - 따라서 x64의 호출 규약으로 pop 명령어의 피연산자가 중요하다. - x64의 ROP에서 POP 명령어의 역할 -> ESP 레지스터의 값을 증가시켜 함수를 연속으로 호출 -> 호출할 함수에 전달될 인자 값을 레지스터에 저장 (인자 값은 Stack에 저장되어 있음) ● Gadgets - “pop rdi; ret” : 호출할 함수의 첫 번째 인자 값을 저장 - “pop rsi; ret” : 호출할 함수의 두 번째 인자 값을 저장 - “pop rdi; pop rdx; ret” : 호출할 함수의 첫 번째, 세 번째 인자값을 저장 ..

SYSTEM HACKING/Exploit Tech 2019. 8. 17. 17:12

1. Return Oriented Programming (ROP) – x86 - 공격자가 실행 간 보호 (NX-bit) 및 코드 서명(Code signing)과 같은 보안 방어가 있는 상태에서 코드를 실행할 수 있게 해주는 기술 RTL + Gadgets - Stack Overflow 취약성 (프로그램 흐름 변경) + “Gadgets(가젯)” (해당 프로그램이 사용하는 메모리에 이미 있는 기계 명령어) 2. Gadgets – POP; POP; POP; RET - ROP = RTL + Gadgets -- RTL 공격에서는 system 함수 이외 다른 라이브러리 함수 호출도 가능 - 여러 개의 함수 호출 위해 Gadgets 사용 -- “pop; pop; pop; ret” : 호출하는 함수의 인자가 3 개인 경..

SYSTEM HACKING/Exploit Tech 2019. 8. 17. 17:04

1. NX 가 걸려있어서 쉘코드는 못 올리고…PIE가 있어서 메모리 주소가 계속 변한다… => offset 구하고 exploit 코드 짤 때 실행 시 libc base 주소나 libc function 주소 구하면 된다. 2 .최근 푸는 바이너리들은 disas main도 안 되서 디버깅을 못 했었는데 방법을 찾았다. => 그냥 run 하면 된다! (계속 오류떠서 안 되는 줄 알았다^^;) (bp를 잡아서 buffer와 return address 거리는 못 구하지만..이건 방법을 찾아봐야겠다.) 3. (gdb) set stop-on-solib-events 1 이번 r0pbaby 처럼 실행하면 while(1)이 계속 있어서 gdb 가 멈추기 힘든데… (gdb) set stop-on-solib-events 1 ..

SYSTEM HACKING/CTF, etc 2019. 8. 16. 23:32

1. 보호기법 확인 NX와 PIE 보호기법이 적용되어 있다. NX로 shellcode를 stack에 올리지 못하고(mprotect 함수 사용하면 되긴 하지만), PIE로 메모리 주소가 계속 변경된다. 따라서 RTL + gadgets 인 ROP를 사용하고, offset을 구해서 실행 시 정확한 주소를 구할 수 있다. * 그리고 64-bit 바이너리 파일이다! 2. IDA - pseudo code 확인 savedregs 변수는 rbp+0h에 위치 => SFP에 위치함 menu 1 : libc address 출력 menu 2 : 입력한 함수의 address 출력 => 실행 시 system 함수 주소 구해 따로 저장 menu 3 : 입력받을 문자열 길이를 입력하고, 문자열을 gets로 입력받고, 입력받은 것을 ..

SYSTEM HACKING/CTF, etc 2019. 8. 16. 23:28

1. IDA - pseudo code 확인 sub_80483f4 함수 : 0x88 = 136 바이트인 buf 변수에 256 바이트 입력받아서 overflow 취약점 있다. 2. protection tech 확인 3. read, write 함수의 plt, got 주소 구하기 read 함수와 write 함수 호출하려면 plt 주소가 필요하고, read_got를 system 함수 주소로 덮으려면 read_got 필요! -write의 plt 주소 -> write 함수 호출해 read_got 영역의 주소 출력 read_plt = 0x804832c read_got = 0x804961c write_plt = 0x804830c 4. ROP 컨셉 # method1 1. read(0, bss, len(shellcode))..

SYSTEM HACKING/CTF, etc 2019. 8. 15. 23:35

1. 보호기법 확인 $ checksec simplerop NX 걸려있다. Stack에 읽기만 가능하고 쉘코드 등을 올려서 실행할 수 없다. 따라서 쓰기 권한의 영역을 찾아서 그 섹션에 쉘코드를 넣고, mprotect 함수로 mprotect(writableArea, len(shellcode), 7)로 실행권한을 주면 쉘코드가 실행될 수 있다. 2. IDA – pseudo code 확인 V4 변수 크기는 20 바이트인데 100 바이트를 입력받아서 overflow 취약점 존재 3. v4 에서 return address 까지 거리 Bp 1 : main 함수 첫 번째 명령어 -> return address Bp 2 : read 함수 호출 전 -> v4 시작 주소 Read 함수 호출 전 eax를 넣으므로 eax 값..

SYSTEM HACKING/CTF, etc 2019. 8. 15. 18:02

1. 보호기법 확인 $ checksec pwn2 2. IDA - pseudo code s 변수(0x27 = 39 byte)에 입력받아서 select_func 함수의 src 매개변수로 받는다. strncpy는 딱 31 바이트만 src를 dest로 복사한다. (dest 크기는 0x2a = 42 바이트) 이때 dest + SFP는 0x2a - 0xc = 30 바이트이다. 따라서 입력받는 길이는 31 바이트인데 dest + SFP의 크기는 30 바이트이므로 1 바이트 overflow가 발생한다. 이 1 바이트 overflow는 return address의 하위 1 바이트를 덮을 수 있다. 따라서 return address의 하위 1 바이트 변조로 흐름을 바꿀 수 있다. 이것을 off-by-one stack bu..

SYSTEM HACKING/CTF, etc 2019. 8. 14. 20:47

1. IDA - pseudo code 확인 print_flag 함수가 보인다. 2. pwn1 실행 Gets 3 개 중에서 처음 2개는 IDA에서 strcmp로 주어진 것을 입력하면 다음으로 넘어갈 수 있고, 마지막 세 번째는 v5 변수의 값이 0xdea110c8 이어야 print_flag 함수로 flag를 출력해준다. 따라서 마지막 gets 함수로 v5 변수의 값을 0xdea110c8으로 변조할 수 있는 방법을 찾아야 한다. 아니면 세 번째 gets 함수 전에 v5를 변조할 방법을 찾아야 한다. 3. debugging 마지막 gets 함수 call 전 bp를 잡고 인자로 push eax를 넣으니까 eax를 출력해보면 s 변수의 시작주소가 0xffffd53d임을 알 수 있다. 실제로 0xffffd53d를 ..

SYSTEM HACKING/CTF, etc 2019. 8. 14. 20:23

1. IDA로 pseudo code 확인 reduced_shell 에 메뉴가 있고, 각 메뉴에서 선택하면 해당 명령어를 실행한다. gets 함수로 s 변수로 입력받는다. 이것으로 payload를 전달하면 될 듯하다. pwn4 실행파일을 실행해보면 명령어 실행결과가 출력된다. 그리고 exit 또는 5를 입력하면 종료된다. 2. 보호기법 확인 NX 만 걸려있다. 따라서 stack에서 쉘코드 실행을 못할테니 RTL을 생각했다. 3. s 에서 return address 거리 일단 IDA로 보면 ebp-1Ch을 했으므로 s의 크기는 0x1C = 28 바이트이다. reduced_shell 첫 번째 명령어에서 bp1, gets 함수 call 명령어에서 bp2를 잡아서 거리를 구해보자. gets 함수 호출 전 push..

SYSTEM HACKING/CTF, etc 2019. 8. 10. 23:11

Return to Shellcode Return address 영역에 shellcode 저장된 주소를 넣어서 shellcode 호출하는 것 * CALL 명령, RET 명령의 이해 - CALL : CALL 명령어 다음 주소를 return address에 넣어서 다시 원래 함수로 리턴 시 return address에 저장된 주소로 이동할 수 있도록 한다. - RET : POP 명령어 이용해 RSP 레지스터가 가리키는 stack 영역에 저장된 값을 RIP(EIP)에 저장해서 해당 주소로 이동 Ex. Test.c Breakpoint 1 : vuln 함수 호출 전 Breakpoint 2 : vuln 함수 프롤로그 Breakpoint 3: vuln 함수 RET 명령어 Main 함수에서 vuln 함수 호출 전 rsp..

SYSTEM HACKING/Exploit Tech 2019. 8. 10. 12:45

1. 보호기법, 파일 유형 확인 32-bit 파일이며 보호기법 없다. 2. IDA로 pseudo code 확인 및 분석 - read(0, &name, 0x32u) : read 함수로 사용자로부터 딱 50 바이트만 입력받는다. - gets(&s) : gets 함수로 s 변수에 입력받은 문자열 저장 -> overflow 취약점 발생 read 함수는 딱 주어진 50 바이트만 입력받으니 여기로 name 변수에 shellcode를 저장하고, gets 함수로는 payload를 전달해서 return address에 &name 을 저장하면 ret 명령어로 해당 주소로 리턴 시 쉘코드를 실행할 수 있다. 이것이 return to shellcode 기법이다. (ret2sc = RETurn TO ShellCode) pseu..

SYSTEM HACKING/CTF, etc 2019. 8. 10. 12:35