218,

7/11

CodeAche

한가지 궁금한점!

http://www.hackerschool.org/HS_Boards/zboard.php?id=bof_fellowship&no=91 [복사]

fake ebp를 알기위해 몇가지 테스트를 하고있습니다.

간단한 구조의 bof 프로그램을 하나 두고..테스트를하고있습니다.
buffer40byte    sfp   ret

이런구조를 가지고 단순히 argv[1]의 값을 buffer에 strcpy하는 구조입니다.

처음에 가졌던 시나리오는

   buffer                      sfp                        ret
dummy40byte + \x45\x45\x45\x41  +    (1)

(1) 해당 프로그램을 gdb로 disass했을 때 main()상에 나오는 leave의 주소

이렇게 넣는 것인데요.
gdb로 leave에 break pointer를 걸고 si로 한단계씩 진행하면서 레지스터들의 변화를 보고 있었습니다.

처음에 제 생각대로라면,

1.  leave를 수행하자
현재 ebp의 값이 esp에 덮어씌어지고, 스택의 값이 pop되면서 ebp로 들어간다.
이 과정에서 ebp는 \x45\x45\x45\x41이 되고,
esp는 pop때문에 +4되어서 결국 leave전의 ebp+4의 값이 되었다.

2. ret을 덮었기 때문에 이부분에서 eip에 main함수의 leave 의 주소가 들어가서 다시한번 leave가 일어난다.

3. 그럼 다시 한번 leave가 되어서.
현재 ebp(\x45\x45\x45\x41) 이 esp에 덮어씌어진다.
현재 스택값이 ebp로 들어간다(뭐가 들어가든 상관없음)
pop되면서 ebp+4해서 \x45\x45\x45\x45가 esp에 들어가게되고 ret에서

4.esp를 eip로 참조하기때문에 다음단계의 eip는 0x45454545 를 만드는 것이 최종적인 목표였습니다.

하지만!!!!!

2번 과정이 안되더군요. eip가 현재 함수의 leave 코드 부분을 가리키고있음에도 불구하고(실제로 확인했습니다) SIGSEGV 를 받았다고 나오더군요.
결국 참조할수없는 주소라는 소리 아닌가요?

아무리 생각해도 이해가 되지않습니다. 분명히 eip는 다음 인스트럭션을 나타내는 진행목표점을 담고있는 레지스터이고..그안에 내가원하는 주소가 담겨있는데도 불구하고, 그곳으로 가지 못한다니요.

뭐가 잘못된 걸까요 ㅠ

Hit : 2270 Date : 2010/03/31 08:46


멍멍	leave를 풀어서 쓰면 mov ebp, esp / pop ebp 가 되고.. ret을 풀어서 쓰면 pop eip 되는 건 알지~ 두번째 leave를 실행하면 mov ebp, esp -> ESP : 0x45454545 pop ebp : ESP(0x45454545)에서 4바이트를 POP한다 (segmentation falut) 두번째 ret을 실행하면 0x45454549(한번 POP 했으므로 4더한 값)에서 pop eip 한다. (여기까진 진입조차 안 되는 상태) 이렇게 되삼~~	2010/04/01