junsoo STUDY

basic_exploitation_003

#include #include #include #include void alarm_handler() { puts("TIME OUT"); exit(-1); } void initialize() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); signal(SIGALRM, alarm_handler); alarm(30); } void get_shell() { system("/bin/sh"); } int main(int argc, char *argv[]) { char *heap_buf = (char *)malloc(0x80); char stack_buf[0x90] = {}; initialize(); read(0, heap_buf, 0x80..

basic_exploitation_002

#include #include #include #include void alarm_handler() { puts("TIME OUT"); exit(-1); } void initialize() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); signal(SIGALRM, alarm_handler); alarm(30); } void get_shell() { system("/bin/sh"); } int main(int argc, char *argv[]) { char buf[0x80]; initialize(); read(0, buf, 0x80); printf(buf); exit(0); } PIE가 안 걸려있다. 코드에 get_shell 주..

Format String Bug

printf는 포맷 스트링(Format String)을 이용하여 다양한 형태로 값을 출력할 수 있다는 특징이 있습니다. [그림 1-1]은 포맷 스트링 종류입니다. C언어에는 printf 외에도 포맷 스트링을 인자로 사용하는 함수들이 많습니다. 대표적로 scanf, fprintf, fscanf, sprintf, sscanf가 있습니다. 함수의 이름이 “f(formatted)”로 끝나고, 문자열을 다루는 함수라면 포맷 스트링을 처리할 것으로 추측해볼 수 있습니다. 이 함수들은 포맷 스트링을 채울 값들을 레지스터나 스택에서 가져옵니다. 이들 내부에는 포맷 스트링이 필요로 하는 인자의 개수와 함수에 전달된 인자의 개수를 비교하는 루틴이 없습니다. 그래서 만약 사용자가 포맷 스트링을 입력할 수 있다면, 악의적으로..

format4

#include #include #include #include int target; void hello() { printf("code execution redirected! you win\n"); _exit(1); } void vuln() { char buffer[512]; fgets(buffer, sizeof(buffer), stdin); printf(buffer); exit(1); } int main(int argc, char **argv) { vuln(); } printf(buffer) -> fsb가 발생한다. hello() 실행되어야 하는데 exit(1); 때문에 프로그램이 종료된다. exit() 함수의 got 값을 hello() 함수 주소로 바꾸면 exit()이 실행될 때, hello() 함수..

format3

#include #include #include #include int target; void printbuffer(char *string) { printf(string); } void vuln() { char buffer[512]; fgets(buffer, sizeof(buffer), stdin); printbuffer(buffer); if(target == 0x01025544) { printf("you have modified the target :)\n"); } else { printf("target is %08x :(\n", target); } } int main(int argc, char **argv) { vuln(); } printf(string) -> fsb가 발생한다. target의 값을 ..

format2

#include #include #include #include int target; void vuln() { char buffer[512]; fgets(buffer, sizeof(buffer), stdin); printf(buffer); if(target == 64) { printf("you have modified the target :)\n"); } else { printf("target is %d :(\n", target); } } int main(int argc, char **argv) { vuln(); } printf(buffer) -> fsb 가 일어난다. 4번째 %p에서 AAAA가 출력된다. 왜? 4번째 %p에서 AAAA가 출력이 될까? gdb로 봐보자 printf를 실행하기전 인자값("A..

format0

#include // C++ 에서는 int sprintf(char* str, const char* format, ...); str에 데이터를 형식에 맞추어 쓴다. str 가 가리키는 배열에 형식 문자열에 지정한 방식 대로 C 문자열을 쓴다. 쉽게 설명하자면, printf에서 화면에 출력하는 대신에 화면에 출력할 문자열을 인자로 지정한 문자열에 쓴다는 것이다. 이때, 인자로 지정한 배열의 크기는 배열에 쓰일 문자열의 크기보다 커야만 한다. 주의할 점은 sprintf 함수는 자동적으로 str 맨 마지막에 NULL 문자를 붙이기 때문에 항상 한 칸의 여유가 있어야 한다. [그림 1-1] 코드에서 argv[1] 으로 입력을 받고 입력한 값을 printf 하여 buffer 변수에 넣는다. gdb로 분석하면 [그림..

out_of_bound

#include #include #include #include #include char name[16]; char *command[10] = { "cat", "ls", "id", "ps", "file ./oob" }; void alarm_handler() { puts("TIME OUT"); exit(-1); } void initialize() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); signal(SIGALRM, alarm_handler); alarm(30); } int main() { int idx; initialize(); printf("Admin name: "); read(0, name, sizeof(name)); p..