slimV

4번 문제와 동일한듯 합니다만 마지막 부분에 buffer hunter라 해서 buffer를 초기화 하는 부분이 추가되어 있습니다.

하지만 초기화하는 크기가 40으로 고정되어 있으므로

길이가 40보다 길면 뒷쪽 부분은 초기화가 되지 않은채 남아있습니다.

argv[1]의 48번째 값을 0xbf로 맞춰주고

shell code를 ret 뒤쪽 부분에 넣어두면 초기화 되지않고 공격할 수 있습니다.

Stack 구조

Low addr

High addr

shell code가 올라가는 주소를 찾기 위해 임시로 컴파일한 파일을 gdb로 열어봅니다.

strcpy 함수 위에 있는 main+184에 Break point를 걸고 edx를 확인해 보겠습니다.

실행할 때 ret 주소값이 0xbf로 시작하게 반드시 맞춰줘야 합니다.

shell code가 들어갈 주소는 0xbffffc02 입니다.

nop slide를 채우고 뒤에 shell code를 넣은 뒤 slide 중간쯤에 return 해주면 됩니다.

공격에 성공했습니다.

제일 먼저 extern char **environ이 눈에 띕니다.

extern은 현재 소스파일에 존재하지 않고 다른 소스파일에 존재하는 변수를 끌어다 쓸 때 사용합니다.

environ은 프로그램의 환경변수 입니다.

해당 문제에서의 egghunter 목표는 eggshell의 무력화입니다.

(해당 풀이에서는 eggshell을 사용하지 않습니다.)

egghunter 이후에 나오는 코드를 보니 argv[1]의 48번째 값은 0xbf로 설정되어야만 다음으로 넘어갑니다.

argv[1]의 48번째 값만 맞춰주고 이후는 2번 문제와 동일합니다.

Stack 구조

Low addr

High addr

Little endian을 모르시면 다음 글을 읽고 오세요.

 -> http://slimv.tistory.com/entry/Little-endian

shell code가 올라가는 주소를 찾기 위해 임시로 컴파일한 파일을 gdb로 열어봅니다.

strcpy 함수 위에 있는 main+184에 Break point를 걸고 edx를 확인해 보겠습니다.

실행할 때 ret 주소값이 0xbf로 시작하게 반드시 맞춰줘야 합니다.

shell code가 들어갈 주소는 0xbffffbea 입니다.

nop slide를 채우고 뒤에 shell code를 올린 뒤 slide 중간쯤에 return 해주면 됩니다.

공격에 성공했습니다.

gets를 통해 buffer에 입력값을 넣습니다.

gets의 함수 원형을 찾아보면 다음과 같습니다.

읽어오는데 크기가 정해져 있지 않으므로 사용하는데 조심해야된다고 적혀있습니다.

쉽게말해 gets는 Overflow를 유발할 수 있습니다.

buffer의 크기는 16으로 2번 문제와 동일합니다.

2번 문제 풀이와 동일하게 ret 이후에 shell code를 넣도록 하겠습니다.

Stack 구조

Low addr

High addr

shell code가 올라가는 주소를 찾기 위해 임시로 컴파일한 파일을 gdb로 열어봅니다.

gets 함수가 끝나고 stack을 정리하기 이전인 main+15에 Break point를 걸고 stack을 확인해 보겠습니다.

shell code가 들어갈 주소는 ret 바로 다음인 0xbffffb20 입니다.

buffer에 쓰레기 값을 채우고

shell code 이전의 nop slide 중간쯤의 주소로 return 하도록 주소값을 설정해주면 됩니다.

공격에 성공했습니다.

1번 문제와 동일하게 strcpy를 통해 argv[1]을 buffer에 복사합니다.

다른점은 buffer의 크기가 16으로 줄어들었습니다.

가장 작은 shell code가 22-byte인 점을 고려하면 (2012년 8월 16일 기준)

buffer에 shell code를 올리는 것이 불가능합니다.

하지만

정말 불가능 할까요?

argv는 상당히 큰 크기의 값을 입력받을 수 있습니다.

BOF의 개념을 이해하셨다면 strcpy를 통해 ret 이후의 위치에도 값을 덮어씌울수가 있다는걸 아실겁니다.

Stack 구조

Low addr

High addr

shell code가 올라가는 주소를 찾기 위해 임시로 컴파일한 파일을 gdb로 열어봅니다.

argv[1]이 사용되는 strcpy 함수 위에 존재하는 main+43에 Break point를 걸고 edx를 확인해 보겠습니다.

shell code가 들어갈 주소는 ret 바로 다음인 0xbffffbe2 입니다.

이제 buffer에는 쓰레기 값을 채워놓고

shell code 이전의 nop slide 중간쯤의 주소로 return 하도록 주소값을 설정해주면 됩니다.

공격에 성공했습니다.