|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_Reversing&no=127 [복사]
angr를 이용해 필요한 입력값을 찾는 스크립트를 짜고있습니다.
타겟 소스는 아래와 같습니다.
==================================================================
// gcc -o t1 t1.c -m32 -fno-stack-protector -mpreferred-stack-boundary=2 -no-pie -fno-pic
#include <stdio.h>
#include <stdlib.h>
int main(int argc, char *argv[]){
int canary;
char buff[0x50];
scanf("%d", &canary);
if(canary == 0xdeadbeef){
read(0, buff, 0x100);
}
return 0;
}
==================================================================
canary에 0xdeadbeef를 입력하고 read()에서 0x100만큼 입력받아 스택 버퍼 오버플로우가 발생하는 시나리오를 기대하고 아래 스크립트를 작성했습니다.
==================================================================
import angr, claripy
proj = angr.Project("./t1", load_options={"auto_load_libs":False})
input1 = [claripy.BVS("input1_%d" % i, 8*1) for i in range(0,4,1)] # canary input
input2 = [claripy.BVS("input2_%d" % i, 8*1) for i in range(0,0x100,1)] # buff input
input_data = claripy.Concat(*input1 + [claripy.BVV(b'\n')] + [*input2])
def debugging(state):
print("[*] before mem_write")
print("[*] ip: ", hex(state.ip.args[0]))
print("[*] input: ", state.posix.dumps(0))
print("[*] callstack")
print(state.callstack)
st = proj.factory.call_state(0x8049172, stdin=input_data)
st.inspect.b('mem_write', when=angr.BP_BEFORE, action=debugging)
simgr = proj.factory.simulation_manager(st)
while len(simgr.unconstrained) == 0:
simgr.step()
print('Done')
ust = simgr.unconstrained[0]
print('input: ', ust.solver.eval(input_data, cast_to=bytes))
==================================================================
위 스크립트를 실행하면 잘 돌다가 특정 지점에서 멈춰버립니다.
멈춘 당시에 디버깅 함수에서 출력한 내용은 아래와 같습니다.
==================================================================
[*] before mem_write
[*] ip: 0x8100008
[*] input: b':000\n\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00'
[*] callstack
Backtrace:
Frame 0: 0x8049172 => 0x8049050, sp = 0x7ffeff98
Frame 1: 0x0 => 0x0, sp = 0xffffffff
==================================================================
제가 봤을 때, 문제점은 다음과 같습니다.
1. 첫 4바이트를 바꾸면서 계속 시도하는걸 기대했지만, 위 입력을 마지막으로 더이상 mem_write 이벤트가 발생하지 않음.
2. ip가 비정상적인 값인데 unconstrained 상태로 되지않음.
3. 입력값을 만들기 위해 claripy.Conat을 사용했는데 여기서 잘못 사용했을 가능성이 있음.
어떻게 해결해야할지 모르겠네요..
|
Hit : 1725 Date : 2021/04/24 01:41
|
97, 
1/5 
