|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_level&no=2575 [복사]
===============================================================================
>FSB(format string bug)를 이용해서 dtors영역에 쉘코드의 주소를 덮어쓴다.. 라고 알고있습니다...
>
>질문1.
>dual5651@dualpage:/tmp$ objdump -h ./attack | grep dtors
>18 .dtors 00000008 08049664 08049664 00000664 2**2
>dual5651@dualpage:/tmp$
>클린업 함수의 주소는 저 주소 + 4에 있음으로, 0x8049668부터 덮어 쓰면 될 것이다.
>
>라는 자료를 참조하여, clear의 권한을 얻을 수 있었습니다만,
>"클린업 함수" 주소가 무엇을 뜻하는것인가요?
>왜 objdump로 알아낸 dtors주의 주소에 +4 를 하는것인가요?
>
>질문2.
>쉘 프롬프트 라고 하나요? 아무튼....
>일부 레벨에서는
>sh-3.2# 과 같이 나오는 반면,
>아무 표시없이 커서만 깜빡이며, 입력을 기다리는 현상은
>왜 그런것인가요?
>
>질문3.
>level20의 문제를,
>FSB 취약성을 이용해서, main의 RET주소를 변경하여 clear의 권한을 획득하는 방법은 없나요?
>(이래저래 시도해보았으나, RET주소를 명확하게 알아내는 방법을 몰라서... 실패만 했네요...)
>gdb를 통해, ~/attackme 의 정확한 RET주소를 확인하는 방법도 좀 알고싶습니다....
===============================================================================
답글.
질문1. 모든 실행 프로그램안에는 __do_global_dtors()라는 함수가 있습니다.
이 함수는 소멸자로서 dtors섹션+4 번째 있는 메모리주소에 0이 아닌값이 있을 경우 함수로 실행을 시킵니다.
프로그램 자체에서 소멸자함수를 호출하지 않을 경우 dtros + 4번째 메모리값은 0이 기본으로 되어있습니다.
FSB로 dtors+4번째 있는 값을 쉘코드 주소로 바꿀경우 실행이 되는 이유가 이것때문입니다.
직접 눈으로 보고 싶으실 경우
아무 실행 파일이나 gdb로 실행한 후
disas __do_global_dtors 라고 쳐보시면 아실겁니다. ^^
질문2.
gets() scanf()같은 함수는 표준 입력 함수라고 부릅니다.
이 함수가 실행이 되면 사용자의 입력이 있을때까지 기다립니다.
(이것을 Blocking mode라고 합니다.)
그런데 공격을 하는 코드중에서 키보드로 입력이 안되는 코드를 넣어야합니다.
그럼 어떻게 넣으실겁니까?
아마 이런식으로 넣으실 겁니다.
printf "\xc1\xff\xf0..." | ./vul
이렇게 실행을 하면 | (<= 파이프 라고 부릅니다.) 를 통해서 printf로 실행된 출력
코드가 취약 프로그램(./vul)로 들어갑니다.
그런데 공격을 했을시 취약 프로그램에서 자식 프로세스로 쉘을 띄우는데
단순히 printf "...공격코드..." | ./vul
이렇게 공격을 할경우 printf의 공격코드가 ./vul의 입력으로 들어간 후
./vul에서 자식 프로세스로 쉘이 뜹니다. 하지만 이때 쉘이 입력 받아야할 파이프가
없습니다. 그래서 다음과 같이 공격을 합니다.
printf ("...공격코드...";cat) | ./vul
이렇게 실행할 경우 printf의 공격 코드가 ./vul로 입력이 되고 자식프로세스로 쉘이 뜬후 다시 cat이 실행이 되면서 사용자의 입력을 파이프를 통해서 계속 입력할수 있게되는 것입니다.
복잡하지만 꼭 아셔야할 내용입니다.
(파이프에 대해 연구를 조금만 하시면 됩니다.)
질문3.
방법은 있습니다. ^^
일단 아셔야하시는게 있습니다.
gdb와 같은 디버깅 프로그램을 통해서 ret주소를 알아내시는 분들이 많으실텐데
gdb도 프로그램입니다. 그래서 쉘상태와 stack 구조가 다릅니다.
가끔 ret주소가 일치하는 경우도 있기는 하지만 그런 경우는 프로그램 구조에 의존적입니다.
로컬 공격의 경우 gdb와 쉘상태의 스택 구조를 일치하는 방법이 있습니다.
환경변수 내용을 조정하여 값을 맞추는 방법과 포멧 스트링 버그를 이용해서
stack상의 값을 체크한 후 ret주소를 추측해서 맞추는 방법입니다.
제가 레벨 20을 깨본지 1년전이라서 패스워드를 모릅니다.
레벨 20패스워드를 알려주시면 제가 풀이도 올려드리겠습니다.
시스템 해킹 질문에 답하는게 오랜만이네요 ^^
열심히 하는 모습이 보기 좋습니다. 즐거운 하루 되세요~ |
Hit : 3130 Date : 2007/11/20 05:25
|
2844, 
1/143 
randomkid
