System

hiddensccategory : pwn score : 200 Challenge바이너리 자체는 간단한 기능을 수행한다. [a]lloc, [j]ump : a sz? 32 free? y ye [a]lloc, [j]ump : a sz? 111111111111111111111111111111111111 FAIL [a]lloc, [j]ump : j sz? 99999999999 실행을 하게되면 "a"로 malloc을 이용해서 원하는 크기만큼 할당할 수 있고, 만약 할당할 수 없는 크기면 FAIL이 출력된다. "j"로 원하는 주소에 점프를 할 수 있다. 이 문제에서는 sc가 저장되있는 주소에 점프를 해서 쉘을 획득하는 것이 목적이다. Vulnerabilities간단히 설명하면 mmap으로 크게 할당을 받으면 다음 세..

이 문제를 대회 중에는 풀다가 3->4로 레벨업 하는 순간에 레이스컨디션을 이용해서 다른 쓰레드로 플래그를 읽는거에 집중했었는데대회 끝나고 바이너리를 다시보니 플래그 읽는 함수이후에 레벨이 증가하기때문에 애초에 불가능한 방법이였다.ㄷㄷ 다른곳을 좀 더 봤어야했는데, 그 당시에는 단순하게 생각한 것 같다. 문제를 살펴보면, 이 함수에서 만약 boss의 hp가 0이하이면서, 레벨이 3이상이면 flag가 출력이 되게끔 되있다.로컬문제이므로 seed를 맞춘다음에 레벨을 4까지 올리는것은 쉽다.그 다음이 문제인데 정상적인 방법으로 boss의 hp를 음수로 만들수가 없다. 이 부분에서 보면 i가 4이하일때는 signed로 boss의 hp를 깍고,5이상이면 unsigned로 boss의 hp를 깍는다. 이건 스킬들의 ..

part2를 대회 끝나기 1시간전에 풀어서 바이너리만 추출하고 fedora docker에서 jemalloc 라이브러리 추출하고 시간내에 못 풀것같아서 잤던 문제다. heap overflow가 발생하는건 대회때 봐뒀기 때문에 서버도 아직 열려있어서 writeup을 보기전에 다시 풀어보았다. 우선 이 문제를 풀기위해서는 jemalloc libc가 필요한데, fedora에서 쉽게 받을 수 있다. 따라서 docker로 fedora 최신버전을 킨 다음에 yum install jemalloc 을 통해 libc를 받고 그냥 jemalloc libc를 추출한 다음에 LD_PRELOAD를 통해 ubuntu에서도 실행시킬 수 있다. (ubuntu에서도 받는 방법이 있을거 같은데 방법을 찾지 못했다.) 첫번째 밑줄 그은 m..

이 문제는 한달 전 크리스마스CTF에 나왔던 문제였다. 당시에 아마 시간이 부족했는지 후반에 문제가 나왔는지 기억은 안나는데, 아마 푼팀이 한팀도 없었던 걸로 기억한다. 킵 해뒀다가 생각나서 풀어보았다. 대략 실행시키면 위와 같이 이름을 쓰게되고 여러가지 기능이 있다. 간단히 설명을 하면 처음에 500원을 주는데 물고기를 마리당 200원에 판다. 물고기를 사서 먹이를 줘서 키운다음에 다시팔면 돈을 벌 수 있다. 이렇게 해서 돈을 9999999보다 많이 벌게 되면 힙영역을 100바이트 overwrite 할 수있는 setBowlName 함수를 실행할 수 있게된다. 여기서 문제는 돈을 9999999만큼 벌려면 물고기를 사서 키우고 팔고를 계속 반복해야하는데 메뉴선택은 100번으로 제한되어 있다. 따라서 다른 ..

보호 기법은 위와 같다. 나는 fake size chunk 할당, fastbin control을 이용해서 ret부분을 가젯으로 덮어씌워 문제를 풀었다. 우선 함수들을 살펴보자 ADD함수인데, strcpy를 사용해서 데이터를 임시버퍼에서 복사한다.만약 다음 heap chunk의 size부분 바로 앞까지 데이터를 채워놓으면 edit함수를 통해 1byte overwrite할 수 있다.이 때, 다음 chunk의 크기를 한바이트 바꿀수 있게되고, 크기가 변조된 청크를 free malloc 하는 과정을 통해 그 뒤에 있는 heap chunk의 fd를 overwrite 할 수 있다.read함수를 이용하기 때문에 null값을 포함한 데이터를 입력할 수 있다. EDIT함수에서는 패드의 값을 수정할 수 있는데,strcpy..

크리스마스 ctf 문제에 stdout과 puts함수를 이용해서 쉘을 획득하는 문제가 있었다.뭐 다음에 사용할지 안 할지 모르나 그냥 생각난김에 써놓는다. 64bit 기준 puts 함수 내에는 call QWORD PTR[rax+0x38] 부분이 존재한다.이 부분과 stdout버퍼주소 변조를 이용해서 원하는함수를 실행할 수 있다.이 방법은 fake stdout버퍼에 대략 0x110바이트 쓸 수 있어야한다. 함수를 분석해보면첫번째 인자를 r12레지스터에 복사하고r12레지스터의 값을 rsi에 넣는 과정이 있다.그리고 r12를 제어할 수 있는 상황이 puts함수 내에는 딱히 없어보인다.따라서 제어가능한 rdi레지스터만 이용해서 함수를 호출할 수 있다.즉, 인자가 한개이하인 함수를 한번 호출할 수 있다. 여기서 원..

저번 holyshield대회 때 못 푼 review 문제를 풀어보았다. 우선 취약한 부분은 비교적 쉽게 찾을 수 있다. fuck+44와 fuck+48에는 보이드함수가 존재한다. 밑줄부분에서 fuck+30부분에 최대 100바이트를 쓸 수 있다. 따라서 보이드함수 부분을 overwrite 할 수 있다. 이 보이드함수들은 언제 호출 되는지 살펴 보았다. admin page가 존재한다. 이 함수 내에서, 보이스 함수가 실행된다. 근데 이 admin page에 접속하기 위해서는 일반적인 입력으로는 들어오지못한다. 보면 입력이 0xFFFFFFF5가 되어야하는데 일반적인 입력으로는 이 값을 입력할 수 가없다. 근데 항상 입력을 하면 atoi같은 함수를 거치는데 당연이 atoi함수 인 줄 알았는데, 알고보니 조금의 트..

use after free bug문제이다. 대회 때 못풀어서, 학교 셤 끝나고 다시 풀어보았다. 빨리 review문제도 풀어야겠다. from pwn import * local = False if local : s = process('./diary') print util.proc.pidof(s) pause() else : s = remote('kimtae.xyz', 9989) def command(token, *args) : s.recvuntil(token) for i in args : i = str(i) s.sendline(i) fast = lambda token, *args : command(token, *args) def solver() : log.success('login...') fast(':',..

이 문제는 예~~전에 거의 똑같은 문제를 푼적이 있어서 접근은 쉬웠다. (http://blog.kimtae.xyz/129) argv[0]에 flag의 주소를 넣으면 stacksmasing 로그에 플래그가 출력되는 유형이다. 따라서 argv까지 거리만 잘재서 플래그주소로 덮으면 되는데 getaline 함수에서 \x00을 입력못받기 때문에 주소를 pack해서 넣지 못한다. 따라서 주소를 넣기전에 주소의 4바이트는 \x00으로 만들어 준 뒤, 플래그 주소 3바이트를 덮으면 원하는 주소를 넣을 수 있다. from pwn import * local = False if local : s = remote('localhost', 9909) pause() else : s = remote('checker.pwn.secco..

pwnablekr의 alloca랑 비슷한 문제였다. 값을 음수로 주게되면 입력buf의 주소를 조절할 수 있다. rop로 printf("~~%s~~%s~~~", got, got) 호출해서 got를 릭한다음 libc주어졌으니 실제주소구하고 printf 호출 뒤 다시 main으로 트리거해서 system("/bin/sh") 호출되게했다. from pwn import * local = False if local : s = process('./cheer_msg') print util.proc.pidof(s) pause() else : s = remote('cheermsg.pwn.seccon.jp', 30527) elf = ELF('cheer_msg') libc = ELF('libc') pop3ret = 0x8048..

1등으로 품! --------------------------------------------------------------------------------------------------------------------- 실행을 시키면 무한루프를 돌면서 입력값을 받고, 입력한 값을 출력할 때 fsb취약점이 있는것을 확인할 수 있다. 문제에도 적혀있다시피 fsb버그를 횟수제한없이 할 수 있기때문에 문제를 푸는 방법은 다양하다.나는 문제에 주어진 조건을 이용해서 간단한 방법으로 풀었다. 이 부분이 무한루프를 돌면서 입력값을 받고 출력을 해주는 부분이다. while문 안에서 호출되는 함수들을 살펴보면 위의 함수가 있다.입력을 받고 출력을 해주면서 fsb버그가 발생하는 것을 알 수 있고, 아래의 if(res..

이 문제는 바이너리가 주어지지 않고 nc 주소와 포트만 제공된다. fsb가 발생한다는 것은 몇번 간단한 입력만으로도 알 수 있다. 100점짜리 문제처럼 플래그가 박혀있지 않혀있다고 생각하지 않고쉘을 따거나 파일을 읽어야 겠다고 방향을 정하고 시작을 했다. 우선 구조를 보기위해 스택전체를 덤프를 했다. from pwn import * import sys context.log_level = "warn" def solver() : fd = open(sys.argv[1], 'w') p = log.progress('index ') idx = 1 while True : try : s = remote('9a958a70ea8697789e52027dc12d7fe98cad7833.ctf.site', 35000) s.rec..