junsoo STUDY

stack6

#include #include #include #include void getpath() { char buffer[64]; unsigned int ret; printf("input path please: "); fflush(stdout); gets(buffer); ret = __builtin_return_address(0); if((ret & 0xbf000000) == 0xbf000000) { printf("bzzzt (%p)\n", ret); _exit(1); } printf("got path %s\n", buffer); } int main(int argc, char **argv) { getpath(); } __builtin_return_address(0) 함수는 현재 함수 동작이 끝나고 돌아가야할 ..

stack5 - Return to libc(RTL)

#include #include #include #include int main(int argc, char **argv) { char buffer[64]; gets(buffer); } stack5 문제를 RTL 방법으로 풀어보자 이전 stack 문제에서는 win 함수가 존재해 ret 값을 win 함수 주소로 변경하면 됐다. 하지만 win 함수가 존재하지 않기 때문에 ret 값을 system 함수 주소를 넣고 /bin/sh 실행시켜 보자 payload = "A"* 76 + system 함수 주소 + dummy + /bin/sh 주소 *내 추측* payload 작성시 주의해야할 점은 dummy 값을 넣어줘야 한다는 것이다. 그 이유는 system 함수를 정상적으로 call 한 것이 아니기 때문에 스택에 sy..

stack5 - 쉘 코드

#include #include #include #include int main(int argc, char **argv) { char buffer[64]; gets(buffer); } 코드가 너무 깔끔하다.. gets 함수를 이용해 ret 값을 shellcode가 존재하는 곳으로 변조시키자 stack5 부터는 32bit 이다. gdb-peda pattern 이용해 ret 위치를 구한다. [그림 1-2] 를 통해 나온 문자열을 main+22 에 브레이크 포인트로 걸고 run 한 후 삽입한다. 이 때 ret 실행전 스택을 보면 삽입된 문자열인걸 알 수 있다. 스택에 들어간 문자열 위치를 구하면된다. 문자열 위치로 점프를 하기 때문이다. offset 이 76이다. 즉 buffer 변수에서 부터 ret 전 까지..

stack4

#include #include #include #include void win() { printf("code flow successfully changed\n"); } int main(int argc, char **argv) { char buffer[64]; gets(buffer); } stack4 파일은 win() 함수를 실행시키면 될 거같다. 하지만 main 함수에서는 win 함수를 실행시키지 않는다. gets 를 이용해 ret 값을 win 함수 주소값으로 바꾸면 될 거 같다. payload 는 "A"*72 + win함수 주소값이다. win 함수 주소값이 필요하다. win 함수 주소는 0x400537 확인할 수 있다. win 함수가 실행된걸 확인할 수 있다. gdb 로 분석 ㄱㄱ 현재 rsp 위치는..

stack3

#include #include #include #include void win() { printf("code flow successfully changed\n"); } int main(int argc, char **argv) { volatile int (*fp)(); char buffer[64]; fp = 0; gets(buffer); if(fp) { printf("calling function pointer, jumping to 0x%08x\n", fp); fp(); } } 변수 fp 는 포인터 함수이다. 따라서 함수의 주소를 fp 넣고 fp()를 실행하면 fp 값에 있는 주소의 함수를 실행한다. gets() 함수를 사용해 bof가 발생한다. if 문 안에 fp() 실행이 존재한다. 따라서 fp 값에..

stack2

#include #include #include #include int main(int argc, char **argv) { volatile int modified; char buffer[64]; char *variable; variable = getenv("GREENIE"); if(variable == NULL) { errx(1, "please set the GREENIE environment variable\n"); } modified = 0; strcpy(buffer, variable); if(modified == 0x0d0a0d0a) { printf("you have correctly modified the variable\n"); } else { printf("Try again, you got ..

stack1

#include #include #include #include int main(int argc, char **argv) { volatile int modified; char buffer[64]; if(argc == 1) { errx(1, "please specify an argument\n"); } modified = 0; strcpy(buffer, argv[1]); if(modified == 0x61626364) { printf("you have correctly got the variable to the right value\n"); } else { printf("Try again, you got 0x%08x\n", modified); } } 처음 if 문을 통해 변수 argc 가 1인지 검사한다...

stack0

#include #include #include int main(int argc, char **argv) { volatile int modified; char buffer[64]; modified = 0; gets(buffer); if(modified != 0) { printf("you have changed the 'modified' variable\n"); } else { printf("Try again?\n"); } } 코드를 확인하면 gets 함수가 보인다. gets 함수는 사용자로부터 문자열을 입력받는 함수이다. 해당 함수는 문자열을 입력받지만 문자열을 담을 공간의 길이와 입력받은 문자열의 길이를 확인하지 않기 때문에 bof에 취약하다. gcc -z execstack -no-pie -w -o s..