전체 글

게임을 시작하면 총으로 돌아다니면서 이상한 인형을 죽일 수 있다.다 죽여도 아무런 창도 안뜬다.대신 인형이랑 부딪히면 hp가 감소하고 0이 되면 죽는다.일단 인형을 어떻게 잡아서 해결할 수 있는것이 아닌것 같아 올리디버거로 까보았다. 우선 reference string을 보면 게임을 하면서는 보지 못한 game clear!라는 문자열이 박혀있다.이를 추적해보았다. 00EF7028에 있는 TEXT를 메시지박스에 같이 출력을 하는 것을 볼 수있다. 보면 쓰잘데기 없는 글자들로 채워 져있다.문자열의 끝인 00까지는 52개의 글자가 있었다.이 값을 출력을 하는 것을 보고 값의 변화가 있는지 하드웨어 브포를 걸어놓았다. dword만큼 브레이크포인트를 걸었다. 몹을 두세마리 잡으니 브레이크 포인트가 위의 부분에서 ..

키젠 문제로 Serial이 76876-77776일때의 name값을 찾아야한다. 끝 글자는 'p'로 힌트가 주어져있다. serial을 만드는 루틴을 찾아 코드를 다시 짜면 될 거 같은 느낌이 든다. 우선 Correct 부분으로 가면 바로 위에 어떤 함수를 호출하고 리턴값이 1이여야 Correct가 되는 것을 볼 수 있다. 이 함수 안을 살펴보았다. 우선 첫번째 루프가 나타난다. 이 루프에서는 name에 입력한 4글자가 알파벳 소문자인지 확인을 하는 루틴이다. 그리고 다음 루프가 나타난다. 이중 루프로 되어있는 구조이다. 간단히 설명하자면 name의 각각의 글자가 서로 같은글자가 있는지 확인을 하는 루틴이다. 그리고 이후에 본격적으로 name을 이용해 serial을 만드는 루틴이 나온다. ida를 참고하여 ..

Python 문자열(Strings)Strings 사용자 입력이나 filename, text chunk 처리와 같은 text handling은 programming에서 일반적인 작업이다. Python은 text를 취급하고 format하는 강력한 tool들을 포함하고 있다. 여기에서는 Python의 표준 문자열(string)과 문자열(string)관련 연산들에 대해서 다룰 것이다. 문자열(string)은 문자(character)들의 순서열(sequence)이다. 문자(character)들과 부분 문자열(substring)을 추출하는데 있어서 문자열(string)은 문자(character)들의 순서열(sequence)로 간주할 수 있다. 즉 index나 slice 표기법을 사용할 수 있다는 것이다. >>> x..

다양한 방법이 있음 grep -rn "찾고자 하는 문자열" *find . -exec grep -i -l "flag" {} \; 2>/dev/nullstrings * | grep -iE "flag" 2>/dev/null

문제를 보면 우선 스택영역에서 실행을 못하게 되어있고, RTL을 하지 못하도록 필터링 되어있다.또한 buf와 sfp를 이용하지 못하도록 초기화도 시킨다. 여기서 생각할 수 있는 방법은 ret를 적절한 곳으로 돌려야 하는데, ret를 호출하는 곳의 주소로 돌리면 된다.드래그 한 부분으로 돌리면 ret가 한번 더 실행된다. 그때의 ret주소는 그때의 ebp값이 된다. (ret = pop eip, mov eip 이 두개의 명령어 역할을 한다고 보면 된다.)따라서 최상위 바이트가 08로 시작하므로 필터링에 걸리지 않고 원하는 부분으로 이동하게 된다. 공격을 할때의 스택구조를 그려보면 다음과 같다.ret를 &argv[2]로 했는데, 이를 환경변수의 주소로 사용해도 좋고 system함수의 주소를 넣고 ebp+10의..

문제가 엄청 길어졌다.하지만 길기만 할 뿐, 이전 문제와 크게 다를것이 없다.ret와 execve_addr을 비교하는데, 위의 코드를 보면 execve_addr은 라이브러리에서 execve의 주소값을 구해서 저장시킨다.ret는 argv[1]의 44~47글자를 복사한 값이다.따라서 ret가 execve여야 하고, 이 함수를 이용해 RTL기법을 이용해 shell을 따야한다. 이전 문제와 거의 똑같다. 우선 스택의 구조이다. main의 ret는 execve가 되어야한다.여기서 execve가 실행된 후 ret는 /bin/sh를 실행시키기 위해 system주소가 되어야한다.system주소의 인자는 system함수가 실행중 일때의 ebp+8이므로, main의 ebp+10에는 /bin/sh의 주소가 들어가야한다.sy..

문제를 보면 RTL이라는 힌트가 있고, 스택에서 쉘코드를 바로 실행을 못하도록 해놓았다.따라서 힌트에 따라 RTL기법을 이용해서 문제를 풀었다.RTL이란, Return To Libc 라는 기법으로, 쉘코드를 실행시키는 대신, 공유라이브러리에 접근을 해서 바로 쉘을 실행시키는 방법이다.보통 system()함수나 execl()등 함수를 사용한다.(ebp+8의 값을 인자로 사용하기 때문에 접근하기 쉬움)더 자세한 개념은 구글에 많이 나와있다. 우선 이문제에서 RTL을 하기 위해 필요한 재료가 system()함수의 주소, /bin/sh의 주소, 버퍼크기, 등 이정도만 있으면 공격이 가능하다. system함수의 주소는 간단히 구할 수 있다. 버퍼의 크기는 40이다. 간단히 공유라이브러리에서 /bin/sh의 주소를..

(함수종료시)leave -> mov esp, ebppop ebp (함수시작시)push ebpmov ebp, esp ret -> pop eipjmp eip 이렇게 이해하면 좀 이해가 쉬움. (실제로 eip레지스터를 조작할 수는 없음)

문제를 보면 strncpy를 이용해서 딱 41바이트만 buf에 저장 시키는 것을 볼 수 있다.그렇기 때문에 40바이트(buf) + 1바이트를 이용해서 공격을 해야한다.버퍼의 크기는 40바이트이고 dummy가 없기 때문에 1바이트는 SFP의 최하위바이트를 수정한다.SFP는 지금 함수가 종료되고 난 후의 ebp값을 가지고 있다. ( 함수 시작할 때, push ebp, mov ebp, esp 이 부분에서 sfp에 ebp가 저장된다.)함수가 종료될 때 , leave명령어가 있는데, 이 부분에서 ebp에 sfp의 값을 받아온다. (leave명령어는 mov esp, ebp, pop ebp와 기능이 같다.)따라서 problem_child 함수를 호출하고 복귀 할때, main의 ebp를 바꿀수 있다. 이를 이용해서 풀..

golem.c를 보면 문제가 간단해 진거 같은 느낌인데 마지막을 보면 ret주소를 빼고는 모두 0으로 초기화 시켜버린다.따라서 앞에서 사용했던 방식들은 사용할 수가 없다.(환경변수, buffer이용, argv이용)따라서 다른 방법을 이용해야한다.다른 방법중 한개로 공유라이브러리를 사용하는 것인데,LD_PRELOAD를 환경변수에 등록시켜 놓으면 실행을 할때 우선적으로 설정해놓은 라이브러리를 참조한다.이 라이브러리의 정보들이 실행을 시킬 때, 스택어딘가에 저장이 되고 이를 이용해서 쉘을 따면된다. -fPIC는 독립적인 코드로 만들어 주며, 목적파일을 만들며, -shared는 목적파일을 이용해 공유라이브러리를 생성할 때 사용하는 옵션이다. 공유라이브러리를 만들때는 보통 두 옵션을 함께 사용한다. 위에서 만들어..

문제를 보면 환경변수,buffer도 초기화시키고, argv를 main함수 종료전에 모두 초기화 시킨다.troll문제에서 풀면서 봤듯이 모두 초기화되도 경로는 남아있는 것을 보았다.그렇기 때문에 파일이름을 쉘코드로 심볼릭링크를 이용해서 만들고 ret주소를 bruteforcing하면 된다. 브루트포싱을 하는 python exploit이다. 파일이름의 앞에 nopslide를 만들지 않았기 때문에 최하위비트를 -1씩 감소시킨다.(nopslide를 적당한 크기로 주면 루프횟수를 줄일수 있으나 속도차이가 없음) 실행을 시키면 쉘이 따진다.