Jastes

Tcache Poisoning

2022.11.06

위 내용은 필수로 숙지를 해야지만 이 문제를 이해할 수 있으며, 설계 및 기본이 됩답니다. Tcache Poisoning 문제 풀이 Full RELRO와 NX가 걸려있는 모습입니다. 즉, hook overwrite 공격을 고려할 법 하군요 Tcache Poisoning을 활용으로 tcache를 조작해 임의 주소에 청크를 할당시키는 공격 기법입니다. 중복시킨 방법으로 앞에서 사용한 달링포인터도 위 방식의 활용이라고 할 수 있습니다.따라서 공격자는 중복으로 연결된(FIFO 형식의 더블 연결 리스트형식..그래서 공부하라고 했을까요?) frist /bin 등이 위와 같은 형식의 청크가 위와 같은 형식이라고 할 수 있습니다.따라서 중복으로 연결된 청크를 재할당 시, 그 청크는 할당된 청크이면서 동시에 해제된 청크..

🌇│System_Study/📕│Dreamhack_Hacking

Background: RELRO

2022.10.31

RELRO(RELocation Read-Only) 등장배경 - ELF는 GOT를 활용해 반복되는 lib의 함수의 호출 비용 ↓ - GOT의 값을 채우는 방식은 여러가지 그중에 우린 Lazy Binding으로 취약점 우회 : 함수가 처음 호출될 때 함수의 주소를 구하고, 이를 GOT적는 방식 - Lazy binding 하는 바이너리는 실행 중 계속 업데이트를 해야해 GOT에 쓰기 ○ : RTL, Chain RTL, ROP로 이어짐 또한 ELF의 데이터 세그먼트에는 프로세스의 초기화 및 종료와 관련된 .init_array .fini_array 로써, 이 영역들은 프로세스의 시작과 종료에 실행할 함수들의 주소 저장 여기에 공격자가 임의로 값을 쓸 수 있다면, 프로세스의 실행 흐름이 조작될 수 있습니다. 이를 ..

🌇│System_Study/📕│Dreamhack_Hacking

basic_exploitation_003

2022.10.30

basic_exploitation_003 문제 풀이 또 x86..이네요 이거 이젠 익숙해지겠네 좋다 NX와 Partial RELRO.. 그러나 FSB로 풀어야하는 문제니까 C코드를 보시면 head_buf가 적절하게 ret부분에 get_shell()주소로 변경하면 될 거 같은데.. sprintf 는 길이를 따로 지정하지 않기 때문에 bof가 발생한다. BOF문제이지만.. 입력할 수 있는 글짜 수가 read로 0x80으로 제한 되어 있습니다 저희는 0x90을 넘겨야하는데.. Exploit 설계 ret 주소를 파악하고 %Nc로 ret에 get_shell()주소를 입력하면 끝나겠네요 Exploit stack_buf의 주소는 sprintf로 되니까 위와 같이 확인도 됩니다 heap_buf의 주소는 read에서 확..

🌇│System_Study/📕│Dreamhack_Hacking

hook

2022.10.30

hook 문제 풀이 이번에도 hook overwirte의 문제로 이전 문제에서 봤던 형식과는 약간 다르네요 아무래도 one_gadget처럼은 못하는 듯 싶네요 PIE가 존재하지 않고 RELRO가 FULL.. 상당히 힘들겠네요 PIE가 적용 X인것을 봤을 때 code 영역에서 주소를 활용할 듯? 근데 one_gadget으로 해도 될 거 같긴한데 이름에 따라서 해봅시다 log의 타입의 포인터 하나와 size_t 타입의 변수 선언이 되어있습니다. 그리고 stdout.. 주소를 출력하는데 밑에 ptr이 더블포인터인점을 미루어보았을 땐.. 위에 봤던 더블포인터 ptr부분에서 배열으로 적용되므로 ptr[0]에 들어간 값을 참조하는 값에 ptr[1]을 대입한 모습인 것 같습니다 즉, **ptr = ptr[1]인 느낌..

🌇│System_Study/📕│Dreamhack_Hacking

fho

2022.10.30

fho 문제 풀이 모든 보호 기법이 적용되어 있네요.. 와우 들어가기 전에 알아두면 좋은 용어 키워드 Hooking: 어떤 함수, 프로그램, 라이브러리를 실행하려 할 때 이를 가로채서 다른 코드가 실행되게 하는 기법. 디버깅, 모니터링, 트레이싱에 사용될 수 있으며, 공격자에 의해 키로깅이나 루트킷 제작에 사용될 수 있음. Hook Overwrite: 바이너리에 존재하는 훅을 덮어써서 특정 함수를 호출할 때, 악의적인 코드가 실행되게 하는 공격 기법. 메모리 관리와 관련된 malloc, free, realloc등의 함수가 라이브러리에 쓰기 가능한 훅 포인터를 가지고 있어서 공격에 사용될 수 있음. Full RELRO를 우회하는 데 사용될 수 있음. one_gadget: 실행하면 셸이 획득되는 코드 뭉치...

🌇│System_Study/📕│Dreamhack_Hacking

basic_rop_x86

2022.10.30

basic_rop_x86 문제 풀이 NX와 Partial RELRO가 걸려있네요 그리고 코드를 접근해보면 Canary는 적용되어 있지 않네요 다행이예요 코드를 보시면 이전 내용이랑 유사한 방법이네요 read()함수에 bof가 발생하니까요 그럼 실제로 어떤 식으로 메모리를 할당되었는지도 확인해봅시다. 실제로는 0x44로 잡혀있네요 Exploit 설계 그럼 저희는 이전에 했던 거처럼 system()함수의 주소를 알아내어 최종적으로 system("/bin/sh") 호출! 그러기 위해 read()함수와 write()를 사용할 것입니다. 실제 주소를 leak하는 방식은 이전에 배웠으므로 생략하겠습니다. 그 다음으로 저희는 rop chain을 이용해 overwirte 해주고 이번엔 bss 영역을 활용하여 접근할거예..

🌇│System_Study/📕│Dreamhack_Hacking

out_of_bound

2022.10.30

out_of_bound 문제 풀이 배열의 정해진 인덱스를 넘는 Out of bound 문제로써 x86..으로 Canary와 NX가 존재하네요 name[16]와 command의 문자 배열을 담은 배열이 존재합니다. main이 중심이니까 확인해보시면 name을 입력 받는데 후에 idx를 입력 후 system에 command의 배열에 넣어주는 모습을 보니까 확실히 oob 문제인 듯하네요 결국 우리가 실행할 함수는 system("/bin/sh")이므로 command에는 "/bin/sh"가 없으므로 idx의 값을 활용해 command의 10을 넘어서 코드를 작동한다는 점입니다 Exploit 설계 name 변수가 설정 후 command의 변수가 설정되므로 name변수가 스택의 위치를 확인해봐요 스택은 쌓이기 때문에..

🌇│System_Study/🔒│H4C_5기

[빡공팟 5기]시스템 해킹 트랙 W6

2022.10.30

보호되어 있는 글입니다.

전체 글

Tcache Poisoning

Background: RELRO

basic_exploitation_003

hook

fho

basic_rop_x86

out_of_bound

[빡공팟 5기]시스템 해킹 트랙 W6

티스토리툴바