전체 글

exploit 문제나 개발할 경우 데이터를 입력했는데 buffer에 들어가지 않은 경우가 종종 있을겁니다. 각 함수별로 어떠한 값들을 받지 않는지 간단히 정리했습니다 :D - scanf( "%s", buf ); : \x09, \x0a, \x0b, \x0c, \x0d, \x20 전까지 입력받고 종료 : 위의 값들은 버퍼에 들어가지 않음 - gets( buf ); : \x0a 전까지 입력받고 종료 : \x0a는 버퍼에 들어가지 않음 - fgets( buf, size, stdin ) : \x0a 까지 입력받고 입력 종료 : 모든값 입력 가능 - read( fd, buf, size ) : \x0a 까지 입력받고 입력 종료 : 모든값 입력 가능 출처 : http://blackcon.tistory.com/149

part2를 대회 끝나기 1시간전에 풀어서 바이너리만 추출하고 fedora docker에서 jemalloc 라이브러리 추출하고 시간내에 못 풀것같아서 잤던 문제다. heap overflow가 발생하는건 대회때 봐뒀기 때문에 서버도 아직 열려있어서 writeup을 보기전에 다시 풀어보았다. 우선 이 문제를 풀기위해서는 jemalloc libc가 필요한데, fedora에서 쉽게 받을 수 있다. 따라서 docker로 fedora 최신버전을 킨 다음에 yum install jemalloc 을 통해 libc를 받고 그냥 jemalloc libc를 추출한 다음에 LD_PRELOAD를 통해 ubuntu에서도 실행시킬 수 있다. (ubuntu에서도 받는 방법이 있을거 같은데 방법을 찾지 못했다.) 첫번째 밑줄 그은 m..

이 문제는 동아리 여자애들이 작년 POX_FINAL에서 받아온 문제다. 첨에 그냥 알고리즘문제 인가보다 하고 넘어갔다가 최근에 생각나서 풀어보았다. 나는 비트연산과 z3을 이용해서 간단히 풀었다. 문제는 스위치가 64개 있고, 각각의 스위치에는 3,4개 정도의 LED번호가 있다. 스위치는 한번 누르면 다시 누를수가없다. 즉, 64개의 스위치를 누르지않거나 누르거나 해서 64개의 LED를 True상태로 만들어야한다. 나는 각각의 스위치에 해당하는 LED를 64bit에 해당하는 2진수로 바꿔서 생각을 했다. 이렇게 하면 64개의 스위치중 특정 스위치들을 xor했을 때, 1*64 개가 되는 값을 찾으면 바로 정답이 나온다. 또한 seed범위가 1000까지 밖에 안되기 때문에, seed마다의 스위치상태를 다 저..

이 문제는 한달 전 크리스마스CTF에 나왔던 문제였다. 당시에 아마 시간이 부족했는지 후반에 문제가 나왔는지 기억은 안나는데, 아마 푼팀이 한팀도 없었던 걸로 기억한다. 킵 해뒀다가 생각나서 풀어보았다. 대략 실행시키면 위와 같이 이름을 쓰게되고 여러가지 기능이 있다. 간단히 설명을 하면 처음에 500원을 주는데 물고기를 마리당 200원에 판다. 물고기를 사서 먹이를 줘서 키운다음에 다시팔면 돈을 벌 수 있다. 이렇게 해서 돈을 9999999보다 많이 벌게 되면 힙영역을 100바이트 overwrite 할 수있는 setBowlName 함수를 실행할 수 있게된다. 여기서 문제는 돈을 9999999만큼 벌려면 물고기를 사서 키우고 팔고를 계속 반복해야하는데 메뉴선택은 100번으로 제한되어 있다. 따라서 다른 ..

올해 첫 CTF 였다.문제들이 좀 풀기 어려웠다.마지막에 TheGreatEscape - part3 문제를 못풀어서 아쉬웠다.공부를 좀 더 많이 해야할거같다.

출처 : http://blog.naver.com/PostView.nhn?blogId=msyang59&logNo=220627524714 1. 정렬 파이썬의 사전은 key : value 쌍으로 값이 들어 있으며, 이를 정렬(sort)하면 기본으로 키(key)을 기준으로 올림 차순으로 정렬합니다. >>> fruits = { 'apple': 2, 'banana' : 1, 'melon' : 0, 'pear' : 2, 'plum' : 1}>>> sorted(fruits)['apple', 'banana', 'melon', 'pear', 'plum']>>> sorted(fruits.keys())['apple', 'banana', 'melon', 'pear', 'plum'] 이를 키가 아닌 값(value)를 기준으로 정..

보호 기법은 위와 같다. 나는 fake size chunk 할당, fastbin control을 이용해서 ret부분을 가젯으로 덮어씌워 문제를 풀었다. 우선 함수들을 살펴보자 ADD함수인데, strcpy를 사용해서 데이터를 임시버퍼에서 복사한다.만약 다음 heap chunk의 size부분 바로 앞까지 데이터를 채워놓으면 edit함수를 통해 1byte overwrite할 수 있다.이 때, 다음 chunk의 크기를 한바이트 바꿀수 있게되고, 크기가 변조된 청크를 free malloc 하는 과정을 통해 그 뒤에 있는 heap chunk의 fd를 overwrite 할 수 있다.read함수를 이용하기 때문에 null값을 포함한 데이터를 입력할 수 있다. EDIT함수에서는 패드의 값을 수정할 수 있는데,strcpy..

크리스마스 ctf 문제에 stdout과 puts함수를 이용해서 쉘을 획득하는 문제가 있었다.뭐 다음에 사용할지 안 할지 모르나 그냥 생각난김에 써놓는다. 64bit 기준 puts 함수 내에는 call QWORD PTR[rax+0x38] 부분이 존재한다.이 부분과 stdout버퍼주소 변조를 이용해서 원하는함수를 실행할 수 있다.이 방법은 fake stdout버퍼에 대략 0x110바이트 쓸 수 있어야한다. 함수를 분석해보면첫번째 인자를 r12레지스터에 복사하고r12레지스터의 값을 rsi에 넣는 과정이 있다.그리고 r12를 제어할 수 있는 상황이 puts함수 내에는 딱히 없어보인다.따라서 제어가능한 rdi레지스터만 이용해서 함수를 호출할 수 있다.즉, 인자가 한개이하인 함수를 한번 호출할 수 있다. 여기서 원..

저번 holyshield대회 때 못 푼 review 문제를 풀어보았다. 우선 취약한 부분은 비교적 쉽게 찾을 수 있다. fuck+44와 fuck+48에는 보이드함수가 존재한다. 밑줄부분에서 fuck+30부분에 최대 100바이트를 쓸 수 있다. 따라서 보이드함수 부분을 overwrite 할 수 있다. 이 보이드함수들은 언제 호출 되는지 살펴 보았다. admin page가 존재한다. 이 함수 내에서, 보이스 함수가 실행된다. 근데 이 admin page에 접속하기 위해서는 일반적인 입력으로는 들어오지못한다. 보면 입력이 0xFFFFFFF5가 되어야하는데 일반적인 입력으로는 이 값을 입력할 수 가없다. 근데 항상 입력을 하면 atoi같은 함수를 거치는데 당연이 atoi함수 인 줄 알았는데, 알고보니 조금의 트..

작년에는 4위를 했는데 이번년도에는 3위를 했다.

use after free bug문제이다. 대회 때 못풀어서, 학교 셤 끝나고 다시 풀어보았다. 빨리 review문제도 풀어야겠다. from pwn import * local = False if local : s = process('./diary') print util.proc.pidof(s) pause() else : s = remote('kimtae.xyz', 9989) def command(token, *args) : s.recvuntil(token) for i in args : i = str(i) s.sendline(i) fast = lambda token, *args : command(token, *args) def solver() : log.success('login...') fast(':',..

이 문제는 예~~전에 거의 똑같은 문제를 푼적이 있어서 접근은 쉬웠다. (http://blog.kimtae.xyz/129) argv[0]에 flag의 주소를 넣으면 stacksmasing 로그에 플래그가 출력되는 유형이다. 따라서 argv까지 거리만 잘재서 플래그주소로 덮으면 되는데 getaline 함수에서 \x00을 입력못받기 때문에 주소를 pack해서 넣지 못한다. 따라서 주소를 넣기전에 주소의 4바이트는 \x00으로 만들어 준 뒤, 플래그 주소 3바이트를 덮으면 원하는 주소를 넣을 수 있다. from pwn import * local = False if local : s = remote('localhost', 9909) pause() else : s = remote('checker.pwn.secco..