System/System 문제풀이

from pwn import * #import stitch def logdebug() : exec( "context.log_level = 'debug'" ) def loginfo() : exec( "context.log_level = 'info'" ) def logerror() : exec( "context.log_level = 'error'" ) send = lambda *pays: [s.send(str(pay)) for pay in pays] sendline = lambda *pays: [s.sendline(str(pay)) for pay in pays] sendafter = lambda token, *pays: [s.sendafter(token, str(pay)) for pay in pays] se..

from pwn import * #import stitch def logdebug() : exec( "context.log_level = 'debug'" ) def loginfo() : exec( "context.log_level = 'info'" ) def logerror() : exec( "context.log_level = 'error'" ) p64 = lambda *x : flat(*x, word_size=64) p32 = lambda *x : flat(*x, word_size=32) pad64 = 0xffffffffffffffff pad32 = 0xffffffff pause = lambda x='' : raw_input(log.info('Paused {}'.format(x))) execmd = ..

흠.. 이게 baby인지 잘 모르겠지만, 푸는데 시간이 좀 걸렸다

흠 익스를 했긴한데 왜캐 코드가 더럽지 에혀 오랜만에 해서 너무 의식의 흐름대로 푼거같다 from pwn import * context.log_level = 'debug' context.log_level = 'info' sl = lambda *pays: [s.sendlineafter(':', str(pay)) for pay in pays] sf = lambda *pays: [s.sendafter(':', str(pay)) for pay in pays] read = lambda idx, dat : sl('1', idx, dat) edit = lambda idx, dat : sl('2', idx, dat) wipe = lambda idx : sl('3', idx) p64 = lambda *x : flat(*..

아는사람들은 아는문제 exploit!

ProbCategory : Defense Score : 300 Challenge - 이 문제는 취약점을 찾아서 해당 취약점을 코드패치한 뒤, 서버로 바이너리를 보내주면 되는 문제이다. Solution - Stage3까지 있으며, stage1은 취약점이 한 개이고, stage가 증가할때마다 취약점이 한 개씩 늘어난다. 여기서 각 취약점마다 2byte만 수정해서 취약하지 않게 패치하는 것이 문제이다. 각 Stage는 30단계까지 있었다. 취약점은 IDA를 이용해서 찾았고, 코드패치를 할 때는 objdump를 이용해서 정확한 포인트를 찾아서 해당부분을 패치해서 보내주었다.Stage1 vulnerability - 바이너리를 보면 read를 통해 받는 값을 ebp-8C에 저장하는데, 입력은 0xC4만큼 받을 수 ..

probcategory : pwn score : 130Challengestrcpy로 원하는 문자열을 충분히 복사를 할 수 있고, canary가 없기 때문에 바로 원하는 값들을 스택에 덮을 수 있다.대신 입력받은 값들을 검증을 하는데 printable한 값들만 입력을 할 수 있다.mmap을 통해서 적당히 printable한 주소부분에 라이브러리를 올려놓기 때문에, 그 부분에서 printable한 가젯들을 이용해서 쉘을 실행시킬 수 있었다.Find printable addrprintalbe한 주소에 있는 함수들, 값, rop가젯들을 따로 뽑아서 시간을 좀 절약했다. 원샷가젯 비슷한 걸 찾아서 함수의 주소들은 필요가 없었다. from pwn import * #ROPgadget --binary libc.so >..

probcategory : pwn score : 255Challenge1. Allocate - heap에 calloc을 이용해 동적할당을 해주며 index로 관리된다. mmap으로 생성되는 랜덤한 주소에 테이블에 힙주소가 저장된다. 2. Fill - 힙 주소가 저장된 테이블에 index를 이용해 접근한 뒤, 그 주소에 데이터를 쓴다. 3. Free - 입력한 index에 있는 heap chunk를 free한다. 4. Dump - 입력한 index에 있는 heap chunk를 size만큼 출력한다. 5. Exit - 종료 Vulnerabilities Fill 함수에서 해당 하는 heap chunk의 크기를 체크하지 않고, 힙에 데이터를 쓴다. 따라서 heap overflow가 발생할 수 있고, 할당된 힙의..

보호되어 있는 글입니다.

memocategory : pwn score : 300 Challenge 바이너리를 분석해보니, 얼마전 seccon의 tinypad문제와 좀 비슷했는데, 오히려 문제를 푸는 조건은 더 좋았다. bss영역에 주소를 저장해놓는 배열, 크기를 저장해놓는 배열, 등이 있고, 이를 참조해서 데이터를 관리한다. 즉, 이 영역의 값을 원하는 값으로 바꾸기만하면 해당 주소의 값을 읽고, 그 주소에 쓸 수도 있다. Vulnerabilities 취약한 부분은 비교적 눈에 잘 띄게끔 되어있다. 크기가 0x20이 넘으면 0x20만큼 malloc하게 되는데, read함수의 크기에는 0x20이 아닌 처음입력한 값을 그대로 사용한다. 따라서 heap overflow가 발생할 수 있다. 현재 chunk 뒤에 할당이 해제되있는 chu..

hiddensccategory : pwn score : 200 Challenge바이너리 자체는 간단한 기능을 수행한다. [a]lloc, [j]ump : a sz? 32 free? y ye [a]lloc, [j]ump : a sz? 111111111111111111111111111111111111 FAIL [a]lloc, [j]ump : j sz? 99999999999 실행을 하게되면 "a"로 malloc을 이용해서 원하는 크기만큼 할당할 수 있고, 만약 할당할 수 없는 크기면 FAIL이 출력된다. "j"로 원하는 주소에 점프를 할 수 있다. 이 문제에서는 sc가 저장되있는 주소에 점프를 해서 쉘을 획득하는 것이 목적이다. Vulnerabilities간단히 설명하면 mmap으로 크게 할당을 받으면 다음 세..

이 문제를 대회 중에는 풀다가 3->4로 레벨업 하는 순간에 레이스컨디션을 이용해서 다른 쓰레드로 플래그를 읽는거에 집중했었는데대회 끝나고 바이너리를 다시보니 플래그 읽는 함수이후에 레벨이 증가하기때문에 애초에 불가능한 방법이였다.ㄷㄷ 다른곳을 좀 더 봤어야했는데, 그 당시에는 단순하게 생각한 것 같다. 문제를 살펴보면, 이 함수에서 만약 boss의 hp가 0이하이면서, 레벨이 3이상이면 flag가 출력이 되게끔 되있다.로컬문제이므로 seed를 맞춘다음에 레벨을 4까지 올리는것은 쉽다.그 다음이 문제인데 정상적인 방법으로 boss의 hp를 음수로 만들수가 없다. 이 부분에서 보면 i가 4이하일때는 signed로 boss의 hp를 깍고,5이상이면 unsigned로 boss의 hp를 깍는다. 이건 스킬들의 ..