이번에도 코드가 짧습니다.
argv[1]의 48번째 값이 0xbf이면 stack이 배신했다고 뜨고 종료합니다.
힌트를 보니 RTL이라고 써있습니다.
Return To Library의 개념을 모르시면 다음 글을 읽고 오세요.
-> http://slimv.tistory.com/entry/Return-To-Library
C 프로그래밍을 해보신 분이라면 system() 함수를 잘 알고 계실겁니다.
system()을 이용해 /bin/sh를 실행하도록 하겠습니다.
일단 system()을 뜯어봐야 될 듯 합니다.
gdb로 열어봅니다.
system()의 주소는 0x40058ae0 입니다.
이제 libc.so.6 내부의 /bin/sh string을 찾으면 됩니다.
libc.so.6의 elf 구조를 보면 .rodata는 0x000e09e0에 있는 것을 확인할 수 있습니다.
수작업으로 찾아다니는건 시간낭비입니다.
"/bin/sh"를 찾는 프로그램을 만들어서 돌려줍니다.
"/bin/sh"의 주소는 0x400fbff9입니다.
이제 ret를 system()으로 돌려주고
system()에서 사용할 parameter로 "/bin/sh"를 넘겨주면 되겠습니다.
공격해봅니다.
공격에 성공했습니다.
