218,

1/11

두루뭉술

argv[2]...

http://www.hackerschool.org/HS_Boards/zboard.php?id=bof_fellowship&no=133 [복사]

실력과 레벨이 부족해서 아직 오크를 못잡고 있는 불쌍한 검사입니다

고블린까지는 system함수주소로 리턴시켜서 ebp+4에 /bin/sh를 넣어주는 방법으로
넘어왔는데

orc의 \xbf체크 때문에 기존에 했던방법과는 다르게 argv[2]를 이용하게됬습니다

근데 제대로 된 argv[2]의 주소를 찾기가 너무 힘드네요

여태까지는 gdb로 b main하구 인자 넣어준다음에 ebp 쭈욱 따라가면서 찾았는데

제대로 찾은것 같은데도 막상 공격코드를 작성하면 세그먼트 오류 뜨고 그러네요

혹시 gdb 말고 argv[2]의 주소를 찾을수 있는 다른 방법이 있나요?

며칠동안 잡고있었는데 더이상 제머리로는 답이 안나와서 글 올려봅니다

Hit : 3469 Date : 2010/06/05 08:02


산적	저도 잘은 모르는데요 . strcpy() 함수 호출 직후에 브포를 걸고 확인해보세요 그리고 gdb상에서와 실제 스택상에는 +-16 정도의 차이가 있다고 들었습니다. gdb말고 다른 방법으로는 dumpcode 활용하시면 더 정확하고 확실합니다.	2010/06/05
sosal	프로그램은 리턴한곳에 nop (x90)가 있다면, 그 다음으로 넘어갑니다. argv[2] 시작전에 nop를 엄청나게 넣어놓으면 굳이 argv들의 길이를 계산할 필요 없이 쉽게 때려맞출 수 있어요 ㅎㅎ	2010/07/14
wiseson	좀 늦은 감이 있지만 argv[1]의 주소를 찾는 건 매우 쉬울꺼예요. 그럼 (argv[2] = argv[1]의 주소값 + argv[1]에 넣은 크기) 해주면 argv[2]의 주소 구할 수 있슴돠~	2012/07/14