전체 글

코드를 보면 fc4의 첫 문제라 그런지 간단하다. hint에 ret sleding을 이용하라고 나와있으니 이를 이용했다.우선 main함수의 ebp뒤쪽을 찾아보았다. 여러번 실행시켜 보았는데 생각보다 변하지 않는 값들이 많다.제일 먼저 나오는 0x00795898을 사용하여 심볼릭 링크를 걸어 시도해보았다.근데 계속 세그먼트폴트가 발생하였다. strace를 이용해 보면 실제 인자와 gdb에서 보았던 인자가 달랐다. execl을 보니 인자로 ebp를 참조하지 않고 다른 레지스터를 참조하는 것이 보였다.따라서 gdb로 보는 것보다 strace를 이용해서 ret갯수를 한개씩 늘려가며 적당한 이름의 인자를 찾아보았다. ret를 7번 sleding하였을때 3글자의 인자가 나왔다.파일로 저장하여 xxd를 이용하여 헥스..

문제가 더 있는줄 알았는데 끝이다 ;이제 fc4풀어야지

/* The Lord of the BOF : The Fellowship of the BOF - dark_stone - Remote BOF on Fedora Core 3 - hint : GOT overwriting again - port : TCP 8888 */ #include // magic potion for you void pop_pop_ret(void) { asm("pop %eax"); asm("pop %eax"); asm("ret"); } int main() { char buffer[256]; char saved_sfp[4]; int length; char temp[1024]; printf("dark_stone : how fresh meat you are!\n"); printf("you : ");..

/* The Lord of the BOF : The Fellowship of the BOF - evil_wizard - Local BOF on Fedora Core 3 - hint : GOT overwriting */ // magic potion for you void pop_pop_ret(void) { asm("pop %eax"); asm("pop %eax"); asm("ret"); } int main(int argc, char *argv[]) { char buffer[256]; char saved_sfp[4]; int length; if(argc < 2){ printf("argv error\n"); exit(0); } // for disturbance RET sleding length = strlen..

문제를 보면 sfp를 수정할 수 없게 되어있다.이전 문제와 비교했을때 거의 똑같지만 차이점이 있다면 이 문제는 Remote BOF문제이다.따라서 ret sleding방법을 사용하더라도 심볼릭 링크를 걸어줄 수 없기 때문에 불가능하다. 힌트를 보면 fake ebp와 got overwriting이 있다. 나는 먼저 got overwriting으로 접근을 했다.strcpy함수를 이용해 memcpy의 got를 system이나 execl같은 함수의 주소로 덮어 씌우고, bss섹션에 '/bin/sh'문자열을 저장시키려고 했다. 그런데 필요한 가젯을 몇개 찾을 수 없었다. 따라서 fake ebp방법으로 다시 공격을 시도했다. 일단 main함수의 sfp로는 ebp를 바꿀 수 없기 때문에, main함수가 종료되고 난 후..

lob와는 다르게 fc3에서는 코드 하이라트가 되서 vi로 보기가 좋다.무튼 이번 문제 코드를 보면 1번문제와 비슷하다.하지만 SFP를 복사해 두었다가 다시 복구시키기 때문에 FakeEBP를 사용할 수가 없다.힌트에도 적혀있듯이 1번문제의 두번째 방법과 동일한방법으로 문제를 풀 수 있다. ebp뒤쪽을 찾아보면 ebp+24에 있는 값을 살펴보면 널값으로 끝나서 execl의 인자로 넣을수있다.스택의 구조를 살펴보면 dummy + ret*3 + execl 로 익스플로잇을 짜면 쉘을 딸 수있다. ret주소를 찾는다. 여러개 있으므로 아무거나 사용하면 된다. 아까 찾았던 execl의 인자로 쓸값을 심볼릭링크로 건다. 필요한 정보를 다 찾았다.이를 토대로 작성한 익스플로잇이다.

문제 코드를 보면 굉장히 간단하다.하지만 FC3에서는 메모리 보호기법들이 적용된 문제들이여서 좀더 생각을 해야한다.자세한 보호기법의 설명은 이론에 따로 포스팅 해놨기 때문에 생략한다. 스택의 주소가 계속 바뀐다.aslr이 적용 되 있음을 짐작할 수 있다. ascii-armor가 적용이 되어 라이브러리주소의 최상위 비트가 \x00이다.그리고 nx가 걸려있어 스택영역의 실행권한도 없다.따라서 쉘코드 없이 단 한번의 함수 호출로 이 문제를 풀어야된다.이럴땐 exec* 계열 함수를 이용해 문제를 풀 수 있다.그리고 다른 방법으로 ROP가젯은 아니지만 비슷한 느낌인 ret sleding을 이용하는 방법이있다. 우선 첫번째 방법으로 먼저 풀었다.나는 execl이 익숙해서 이 함수를 이용해 문제를 풀었다.execl(..

데이터 형식 범위Visual Studio 2015 다른 버전 Visual C++ 32비트 및 64비트 컴파일러는 이 문서의 뒷부분의 표에 나온 형식을 인식합니다.int (unsignedint)__int8 (unsigned__int8)__int16 (unsigned__int16)__int32 (unsigned__int32)__int64 (unsigned__int64)short (unsignedshort)long (unsignedlong)long long (unsignedlonglong)이름이 두 개의 밑줄(__)로 시작하는 경우 데이터 형식은 비표준입니다.다음 표에 지정된 범위는 포함-포함입니다.형식 이름바이트기타 이름값의 범위int4signed–2,147,483,648 ~ 2,147,483,647unsi..

/* This file contains definitions used by the Hex-Rays decompiler output. It has type definitions and convenience macros to make the output more readable. Copyright (c) 2007-2011 Hex-Rays */ #if defined(__GNUC__) typedef long long ll; typedef unsigned long long ull; #define __int64 long long #define __int32 int #define __int16 short #define __int8 char #define MAKELL(num) num ## LL #define FMT_6..

예전에 대회 끝나고 내가 track1 풀이한 문서

while true; do socat TCP-LISTEN:포트,reuseaddr EXEC:./실행파일; sleep 1; done xnetd보다 훨씬 편함

우선 실행파일을 살펴보면 stack canary와 nx보호기법이 적용되어 있는 실행파일이다. 스트링을 보면 TheServerHasTheFlagHere이라고 적혀있다.아마 서버측에는 저 부분에 플래그가 있다고 방향을 제시해주는것 같다. 보라색 네모부분을 보면 입력을하고 엔터를 치면 32바이트 크기 - 입력한크기 만큼 초기화가 된다.즉 입력한 문자열이 32바이트보다 작으면 0x600D20에 저장이된다.따라서 ServerFlagHere어쩌고 적혀있는 문자열을 정상적으로 출력을 할 수가없다. 실행파일에 A를 많이 넣어서 보내면 세그먼트폴트가 발생하고 argv[0]이 출력되는듯 보인다.이 argv[0]을 이용해서 flag를 출력할 방법을 찾아보았다. 디버깅을 하며 32C3이라는 문자열을 찾아보니 0x600d20말..