master_canary

oogu ㅣ 2023. 2. 15. 14:28

// gcc -o master master.c -pthread
#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>
#include <pthread.h>

char *global_buffer;

void alarm_handler() {
    puts("TIME OUT");
    exit(-1);
}

void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);
    signal(SIGALRM, alarm_handler);
    alarm(60);
}

void get_shell() {
    system("/bin/sh");
}

void *thread_routine() {
    char buf[256];

    global_buffer = buf;

}
void read_bytes(char *buf, size_t size) {
    size_t sz = 0;
    size_t idx = 0;
    size_t tmp;

    while (sz < size) {
        tmp = read(0, &buf[idx], 1);
        if (tmp != 1) {
            exit(-1);
        }
        idx += 1;
        sz += 1;
    }
    return;
}
int main(int argc, char *argv[]) {
    size_t size;
    pthread_t thread_t;
    size_t idx;
    char leave_comment[32];


    initialize();

    while(1) {
        printf("1. Create thread\n");
        printf("2. Input\n");
        printf("3. Exit\n");
        printf("> ");
        scanf("%d", &idx);

        switch(idx) {
            case 1:
                if (pthread_create(&thread_t, NULL, thread_routine, NULL) < 0)
                {
                    perror("thread create error");
                    exit(0);
                }
                break;
            case 2:
                printf("Size: ");
                scanf("%d", &size);

                printf("Data: ");
                read_bytes(global_buffer, size);

                printf("Data: %s", global_buffer);
                break;
            case 3:
                printf("Leave comment: ");
                read(0, leave_comment, 1024);
                return 0;
            default:
                printf("Nope\n");
                break;
        }
    }
    

    return 0;
}

got overwrite 가능, code, data영역 고정

pthread_create 함수를 실행하면 새로운 쓰레드를 실행하는데 argument로 전달된 thread_routine 함수가 새로운 쓰레드로 실행이 된다. 쓰레드 함수에 선언된 변수는 TLS와 인접한 영역에서 할당이 된다. 따라서 BOF가 발생하면 master canary 값을 덮을 수 있다.

익스 시나리오는 CASE1을 통해 global 변수가 TLS 영역을 가리키게 만들고 CASE2을 통해 master canary 값을 덮고

CASE3을 통해 카나리 값을 덮고 ret을 get_shell 함수로 바꿔보자

thread_routine 함수에 진입해 master canary 위치와 buf의 위치를 알아냈다.

차이는 2376이다. 따라서 CASE2에서 size을 2376주고 8byte를 더 입력하면 master canary 값이 덮인다.

master canary 값을 B*8로 덮어본다.

[그림 1-3]을 실행하면 master canary값이 B로 덮여야하는데 [그림 1-4]을 보면 안 덮여있다...

master canary 주소도 달라서.. 이를 확인하기 위해 다시 gdb로 read_bytes 함수를 분석했다.

[그림 1-2]는 thread_routine 함수 내부이고 [그림 1-5]는 read_bytes 함수 내부이다. 차이점은 master canary 주소가 다르다는 거다. 이를 통해 master canary는 메모리에 여러 개 존재하는데 함수마다 카나리 값을 가져오는 주소가 다르다는 걸 알았다.

[그림 1-6]을 통해 main 함수와 read_bytes 함수는 같은 주소에서 카나리 값을 가져오는 걸 확인했다.

따라서 0x7ffff7fda768 주소에 있는 master canary 값을 변조해야한다.

하지만 global_buffer 주소와 0x7ffff7fda768 주소는 차이가 너무 심했다.. 0x818988 만큼 차이가 난다....

따라서 master canary 값을 변조하는 건 안된다고 생각이 들었다...

다시 익스를 생각하다가 CASE2를 보면 [그림 1-7] 코드를 확인할 수 있는데 내가 입력한 data를 출력해 준다. 따라서 카나리 값을 leak 해야겠다 생각했다. 메모리에 있는 카나리 값은 동일하기 때문에 2377로 카나리 1byte를 덮어 카나리를 leak 해보자