티스토리

snwo

검색하기

블로그 홈

snwo

snwo.tistory.com/m

me from korea dimigo likes pwn, rev, money with bugbounty

구독자: 18

방명록 방문하기

주요 글 목록

(HackCTF) 훈폰정음 writeup TL;DR heap challenge, tcache tcache 가 있는 GLIBC 2.27 라이브러리를 사용하는문제다. add table 배열의 index 0~6 에 0x000 ~ 0x400 size 의 chunk 를 할당받아 저장해줄 수 있다. 이미 chunk 가 존재하면 안됨 size 는 size 배열에 저장된다. edit table[index] 에 chunk 가 있으면, size[index] 만큼 수정가능. delete int delete() { int result; // eax int v2; // [rsp+Ch] [rbp-4h] puts("인덱스를 입력하시오:"); result = smooth(); v2 = result; while ( v2 >= 0 && v2 공감수 0 댓글수 0 2022. 2. 26.
(HackCTF) Adult_FSB writeup int __cdecl __noreturn main(int argc, const char **argv, const char **envp) { int i; // [rsp+Ch] [rbp-144h] char buf[312]; // [rsp+10h] [rbp-140h] BYREF unsigned __int64 v5; // [rsp+148h] [rbp-8h] v5 = __readfsqword(0x28u); Init(); for ( i = 0; i next; if (*listp != NULL) /* Don't free the last element in the chain, this is the statically allocate element. */ free (cur); ~~~ 대충 *listp→next 가 nul.. 공감수 0 댓글수 0 2022. 2. 24.
(HackCTF) ChildFSB writeup int __cdecl main(int argc, const char **argv, const char **envp) { char buf[24]; // [rsp+0h] [rbp-20h] BYREF unsigned __int64 v5; // [rsp+18h] [rbp-8h] v5 = __readfsqword(0x28u); Init(argc, argv, envp); puts("hello"); read(0, buf, 0x19uLL); printf(buf); return 0; } baby fsb 문제는, leak&got overwrite 으로 __stack_check_fail 함수에서 메인으로 돌린 뒤, 릭한 주소로 onegadget 을 구해 __stack_check_fail@got 에 덮었다. 이번엔 input.. 공감수 0 댓글수 0 2022. 2. 24.
(HackCTF) wishlist writeup TL;DR, no heap ex, ROP with stack pivoting puts("1. make wish"); puts("2. view wish"); puts("3. remove wish"); make, view, remove 할 수 있는 heap challenge __int64 sub_4008A7() { char buf[16]; // [rsp+0h] [rbp-10h] BYREF printf("input: "); read(0, buf, 0x20uLL); return (unsigned __int8)buf[0]; } 1,2,3 번호입력할 떄 사용하는 함수. buf[0] 을 리턴하긴 하지만 ret address 까지 덮을 수 있다. 수상하다 1. make __int64 sub_400910() { int .. 공감수 0 댓글수 0 2022. 2. 24.
(HackCTF) childheap writeup unsigned __int64 Malloc() { int v0; // ebx int v2; // [rsp+0h] [rbp-20h] BYREF int v3; // [rsp+4h] [rbp-1Ch] BYREF unsigned __int64 v4; // [rsp+8h] [rbp-18h] v4 = __readfsqword(0x28u); printf("index: "); __isoc99_scanf("%d", &v2); if ( v2 4 ) exit(1); printf("size: "); __isoc99_scanf("%d", &v3); if ( v3 128 ) exit(1); v0 = v2; *(&ptr + v0) = malloc(v3); if ( !*(&ptr + v2).. 공감수 0 댓글수 0 2022. 2. 10.
(HackCTF) j0n9hyun’s secret writeup int __cdecl main_(int argc, const char **argv, const char **envp) { __int64 v3; // rdx int v4; // edx int v5; // ecx int v6; // er8 int v7; // er9 int v9; // [rsp+Ch] [rbp-4h] setvbuf(off_6CA748, 0LL, 2LL, 0LL); setvbuf(off_6CA740, 0LL, 2LL, 0LL); setvbuf(off_6CA738, 0LL, 2LL, 0LL); top_secret = open("top_secret", 'r', v3); printf("input name: "); scanf("%s", &input, v4, v5, v6, v7); v9 = read(t.. 공감수 0 댓글수 0 2022. 2. 9.
(HackCTF) babyheap writeup malloc, free, show 3 가지 메뉴가 있는 전형적인 heap chall 이다. chunk 는 순서대로 6개 할당할 수 있다. unsigned __int64 Show() { int v1; // [rsp+4h] [rbp-Ch] BYREF unsigned __int64 v2; // [rsp+8h] [rbp-8h] v2 = __readfsqword(0x28u); printf("index: "); _isoc99_scanf("%d", &v1); puts((&ptr)[v1]); return __readfsqword(0x28u) ^ v2; show() 에서 인덱스를 검사하지 않는다. 사실 어셈으로 보면 있는데, 로직을 이상하게 짜놔서 검사를 안하는 것이나 다름없다. 할당 기회가 6번밖에 없으니, 이건 fa.. 공감수 0 댓글수 0 2022. 2. 8.
[HackCTF] (Pwnable) pzshell 풀이 pzshell 위 쉘코드 + 내가입력한 opcode 8byte 를 붙여 xor 부터 실행시켜준다. 필터링하는 키워드는 \x0f\x05 이다. ezshell과 다른 점은, rdx 를 초기화하지 않고, si 에 0xdef1 을 넣어준다는 것 이다. 쉘코드+2 으로 점프하므로, rdx 에는 xor rbp,rbp 의 주소부터 저장되어있다. 그래서, xchg ? 으로 si 와 rdx 를 바꾼 뒤, read syscall 으로 쉘코드를 새로 입력받는다. 이 때. syscall 을 필터링하지 않으므로 자유롭게 사용할 수 있다. 또한 seccomp 설정에서, fork, vfork, clone, creat, ptrace, prctl, execve, execveat 가 필터링되어 있으므로, ORW 를 사용해 문제를 풀어야.. 공감수 0 댓글수 0 2021. 10. 6.
[HackCTF] (Pwnable) ezshell 풀이 ezshell 힙공부를 미뤄둬서, hackctf 남은문제가 다 힙인줄알고 안풀었는데, 재밌는 쉘코딩문제도 있어서 풀어봐따. 저 쉘코드 50바이트 뒤에 내가 입력한 쉘코드를 strcat 으로 붙여서, xor 부터 실행해준다. 필터링하는 opcode 는 다음과 같다 \xb0 → mov r8, imm8 \x3b → execve call number \x0f05 → syscall syscall 필터링하는거는 syscall opcode 가 주어지니, jmp $- ~~ 으로 syscall 을 실행시킬 수 있다. al 에 mov 를 통해 값을 넣을 수 없으니, push/pop → inc 으로 우회할 수 있다. 하지만 rsp 를 0 으로 만드니 push/pop 을 사용할 수 없게된다. fs 세그먼트를 이용하면, rsp.. 공감수 0 댓글수 0 2021. 10. 5.
[HackCTF] (Forensic) Let'S get it ! Boo*4 풀이 문제이름에서 볼 수 있듯이, LSB steganography 문제이다. stegsolve 툴로 lsb 를 추출할 수 있는데, RGB 값으로는 안나온다.. 그래서 다 해보다가 BGR로 하니까 나오는 것을 확인할 수 있다. HackCTF{0U] .B10C 0xCDA9 0xBD84 0xD788 0d.8AC000 H.8CE58 0xC788 0xB294 0xC874 0xC7AC 0v.8C57C} 다음과 같은 문자열이 나오는데, 이상하게 생겼다. 이것은 플레그가 아닐테고, 디코딩 해봐야 할 것 같다. 0xXXXX 와 같이 나오는데, 이 문자들만 모아서 unicode 디코딩해보자. 5글자이상 붙어있는 글자 빼고 디코딩을 해봤다. 0x 제외하고, 4글자식 잘라서 넣으면 되더라. 공감수 0 댓글수 0 2021. 6. 1.
[HackCTF] (Pwnable) babyfsb 풀이 printf(buf) 부분에서 fsb 가 발생한다. buf 값의 입력가능 범위는 SFP 전까지이다. 리턴주소 ( __libc_start_main + 2XX ) 을 leak 하면서, 카나리 부분을 덮은 뒤, ___stack_chk_fail@got 을 main 함수로 덮는다. 2라운드 에서는, leak 한 주소를 바탕으로 ___stack_chk_fail@got 을 원샷 함수로 덮거나, printf@got 을 system 으로 덮은 다음, 카나리 부분을 덮은 뒤, buf 에 "/bin/sh" 를 입력해서 printf(buf) -> system("/bin/sh") 실행 일단 rsp + 6번째가 buf 의 값을 나타낸다. 프로그램을 실행하고, __stack_chk_fail@got 을 보면, 아직 호출된 적이 없기.. 공감수 0 댓글수 0 2021. 5. 14.
[HackCTF] (Pwnable) Unexploitable_4 풀이 마지막시리즈다. 보호기법은 NX 가 꺼져있다. bss 에 쉘코드를 적어서 리턴하면 될텐데, dummy+sfp+ret 합쳐서 0x20 byte 여서 ret 넘어서 입력받을 수 있는 데이터는 13byte밖에 되지 않는다. 13byte 짜리 쉘코드는 찾아봤는데 없는 것같다. 그래서 23byte 쉘코드를 스택피보팅으로 나눠서 입력해보자. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 from pwn import * # r=process("./Unexploitable_4") r=remote("ctf.j0n9hyun.xyz", 3039) context.log_level='debug' bss=0x601000+0x800 .. 공감수 0 댓글수 0 2021. 5. 3.
[HackCTF] (Pwnable) Unexploitable_3 풀이 보호기법은 2와 마찬가지로 NX 정도 걸려있다. main 함수에서 0x90 만큼 오버플로우가 발생한다. gift 함수에는 fwrite 함수가 있는데, 밑부분을 보면, mov rcx, [rdi] 가젯이 있는데, 이걸로 fwrite 의 4번째 인자를 조작할 수 있다. fwrite(fgets@got, 1, 6, 0x601050 (stdout in bss)) 이렇게 호출하면 되는데, rdi, rsi, rdx 레지스터는 __libc_csu_init 가젯으로 맞추면 된다. pop rdi 가젯으로 rdi 에 bss 주소 넣기 mov rcx, [rdi] 가젯으로 rcx 에 stdout 이 들어가게 된다. 이제 csu 가젯으로 rdi, rsi, rdx 가젯을 세팅하고, fwrite 로 leak 을 한다. 다시 main .. 공감수 0 댓글수 0 2021. 5. 3.
[HackCTF] (Pwnable) Unexploitable_2 풀이 이렇게 되어있다. 보호기법은 NX 정도? leak 하기 위해서는 fwrite 함수를 사용해야한다. fgets 함수를 실행하고 return할 때, 스택상태이다. rdi, rsi, rdx, rcx 값을 확인해보면, rcx 에 stdout 포인터가 남아있지않다. 컨트롤할 수 있는 레지스터는 rdi, rsi 정도인데 흠... 근데 system 함수가 주어져있기에, system 함수로 leak 을 할 수 있다. system함수에 잘못된 명령어가 들어가면, 그 명령어를 출력해주는데, got 주소를 인자로 system 함수를 호출하면, got 주소가 출력될 것이다. 위처럼 페이로드를 짜면 저렇게 출력이 된당. leak 한다음 원샷가젯을 호출하자. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 .. 공감수 0 댓글수 0 2021. 5. 3.
[HackCTF] (Pwnable) World Best Encryption Tool 실행시키면 $rbp-0x80 에 입력을 받고 암호화 해서 출력한다. (딱봐도 28 이랑 XOR 연산) 57글자부터 canary값으로 추정되는값이 leak 된다. Analyze undefined8 main(void) { int iVar1; long in_FS_OFFSET; uint local_90; char local_8c [4]; byte local_88 [64]; char local_48 [56]; long local_10; local_10 = *(long *)(in_FS_OFFSET + 0x28); setvbuf(stdout,(char *)0x0,2,0); do { puts("Your text)"); __isoc99_scanf(&DAT_00400913,local_88); local_90 = 0; wh.. 공감수 0 댓글수 0 2020. 9. 17.
[HackCTF] (Pwnable) Register 풀이 Main 함수다. 5초뒤에 alarm signal (14) 를 보낸다. main 에서 호출하는 build 함수인데, alarm signal(14) 에 대한 핸들러를 설정하고, 루프문에서 get_obj 함수로 obj 부터 obj+48 까지 입력을 받는다. vaildate_syscall_obj() 함수를 호출해서, 리턴값이 0 이면, alarm signal(14) 을 보내서, alarm handler (syscall) 을 호출해준다. alarm signal(14) 에 대한 handler 이 호출하는 함수이다. 인자로는 전역변수 obj 의 offset 을 주고, obj ~ obj + 48 까지 순서대로 rax, rdi, rsi, rdx, rcx, r8, r9 에 넣고 , syscall 을 해준다. obj(ra.. 공감수 0 댓글수 0 2020. 9. 10.
[HackCTF] (Pwnable) RTC 풀이 int __cdecl main(int argc, const char **argv, const char **envp) { char buf; // [rsp+0h] [rbp-40h] setvbuf(stdin, 0LL, 2, 0LL); write(1, "Hey, ROP! What's Up?\n", 0x15uLL); return read(0, &buf, 0x200uLL); } main 함수이다. rbp-0x40 에 0x200 을 입력받는다. 보호기법은 NX 만 enable 되어있다. 라이브러리파일이 주어졌기때문에 write 함수로 read@got 주소를 leak 해서 라이브러리베이스를 구한 뒤, 원샷가젯으로 return 하자. 하지만 pop rdx 가젯이 없기때문에 csu 함수 로 리턴하자 . r12+rbx*8 .. 공감수 0 댓글수 0 2020. 9. 10.
[HackCTF] (Pwnable) SysROP 풀이 0x0000000000400636:lea rax,[rbp-0x10] 0x000000000040063a:mov edx,0x78 0x000000000040063f:mov rsi,rax 0x0000000000400642:mov edi,0x0 => 0x0000000000400647:call 0x4004b0 main 함수에서 취약점이 발견된 부분이다. 0x68 만큼 BOF를 일으킬 수 있다. 0x00000000004004b0 read@plt 0x00000000004004c0 __libc_start_main@plt 0x00000000004004d0 setvbuf@plt 0x00000000004004e0 __gmon_start__@plt 쓸만한게 없다. 문제 제목을 보니, syscall 을 사용해야하는것을 알 수 있.. 공감수 0 댓글수 0 2020. 9. 6.
[HackCTF] (Pwnable) Unexploitable #1 풀이 문제실행시. 입력받고 종료한다. system@plt 가 주어진 것 같다. gift 함수에서 system 함수를 실행시켜주는데, 인자가 "use this system gadget :D" 이다. 가젯으로 쓸수있을것같다. 입력받는 부분이다. rbp-0x10 에 0x40 만큼 입력받으므로, 0x30 만큼 overflow 할 수 있다. NX 만 enable 되어 있으므로, 편하게 ROP할 수 있을 것같다. fgets 로 .bss 영역에 /bin/sh 를 입력받고, pop rdi 가젯을 이용해 system('/bin/sh') 를 출력한다. 하지만 3번째 인자인 stdin 을 넣어줄 pop rdx 가젯이 보이지 않는다. 할수없이 main+113 으로 리턴해 fgets 함수를 다시 호출해야겠다. m.blog.naver.. 공감수 0 댓글수 0 2020. 9. 5.
[HackCTF] (Pwnable) You are silver Write-up 내가 입력한 문자열을 출력하고, you are silver 를 출력하고, 세그먼트폴트가 나고 종료된다. undefined8 main(void) { char local_38 [40]; int local_10; uint local_c; setvbuf(stdout,(char *)0x0,2,0); local_c = 0x32; puts("Please enter your name"); fgets(local_38,0x2e,stdin); printf(local_38); local_10 = get_tier((ulong)local_c); printf((char *)(long)local_10); return 0; } main 함수이다. 0x2e 만큼 입력받기때문에 overwrite 는 발생하지 않을것이다. void get_.. 공감수 0 댓글수 0 2020. 8. 26.
[HackCTF] (Pwnable) ROP Write-up vulnerable_function 에서 입력을 받고, Hello world! 를 출력한다. 0x100-0x88 = 0x78 (120) 만큼 overwrite 할 수 있다. SSP 가 설정되어있지 않으므로, BOF 를 마구마구 일으킬 수 있다. write 함수로 write.got 주소를 leak 한뒤, 라이브러리베이스주소로 oneshot 함수의 주소를 구해서 Helloworld! 를 출력해주는 write.got 를 overwrite 하든지 (하지만 원샷가젯이 작동을 안해서 못한다..) system 과 /bin/sh 문자열의 주소를 구해서(또는 bss 영역에 /bin/sh 문자열을 쓰고) vulnerable_function 함수를 재호출해서 system 으로 리턴하자. from pwn import * r=.. 공감수 0 댓글수 0 2020. 8. 26.
[HackCTF] (Pwnable) UAF Write-up 노트를 만들고 삭제할 수 있다. void add_note(void) { int iVar1; void *pvVar2; size_t __size; int in_GS_OFFSET; int local_20; char local_18 [8]; int local_10; local_10 = *(int *)(in_GS_OFFSET + 0x14); if (count < 6) { local_20 = 0; while (local_20 < 5) { if (*(int *)(notelist + local_20 * 4) == 0) { pvVar2 = malloc(8); *(void **)(notelist + local_20 * 4) = pvVar2; if (*(int *)(notelist + local_20 * 4) == 0) {.. 공감수 0 댓글수 0 2020. 7. 7.
[HackCTF] (Pwnable) pwning 풀이 void vuln(void) { char local_30 [32]; int local_10; printf("How many bytes do you want me to read? "); get_n(local_30,4); local_10 = atoi(local_30); if (local_10 < 0x21) { printf("Ok, sounds good. Give me %u bytes of data!\n",local_10); get_n(local_30,local_10); printf("You said: %s\n",local_30); } else { printf("No! That size (%d) is too large!\n",local_10); } return; } vuln, 취약점이 발생한다는 뜻으로 쓰인다.. 공감수 0 댓글수 0 2020. 6. 24.
[HackCTF] (Pwnable) Gift 풀이 snwo@snwo:~/Documents/GitHub/Wargame/Pwnable/HackCTF$ ./gift Hey guyssssssssss here you are: 0x8049940 0xf7d92200 good good hello 이렇게 두 주소를 준다. gdb 로 확인해보니, 첫번째주소는 전역변수 binsh 의 주소이다. 근데 아무런 데이터도 없는걸 봐선 내가 저 주소에 binsh 를 입력해야 하는 것 같다. 두번째주소는 system 함수의 주소이다. 0x080485cc :push eax 0x080485cd :push 0x80 0x080485d2 :lea eax,[ebp-0x84] 0x080485d8 :push eax 0x080485d9 :call 0x80483e0 0x080485de :add esp.. 공감수 0 댓글수 0 2020. 6. 24.
[HackCTF] (Pwnable) Look at me 풀이 gets 로 입력을받아 overflow 발생하는 프로그램이다. 왼쪽을 보면, 쓰이지않는 함수들도있는걸 볼 수 있는데, 기존에봐왔던 Dynamic linking 과 다르게 Static linking 을 했다. Static linking 은 라이브러리코드들을 모두 실행파일에 포함시켜서 라이브러리 함수들로 ret 할 수 있습니다. 하지만 execve 는 안보이므로, eax 에 32bit syscall 에서 SYS_EXECVE 값인 11을 넣고 int 0x80 으로 쉘을 따야겠습니다. ( NX 가 적용되어있어 쉘코드실행 X RELRO 가 FULL 이 아니여서 bss 에 /bin/sh 입력가능) execve("/bin/sh",NULL,NULL) ebx ecx edx 0x080583bf : xor eax, eax .. 공감수 0 댓글수 0 2020. 6. 24.
[HackCTF] (Pwnable) Beginner_Heap 풀이 beginner_heap.bin 파일을 받을 수 있다. .bin 이라고 너무 당황하지말고, file beginner_heap.bin 해보면 ELF 파일인 걸 알 수 있다. void FUN_004008a8(void) { undefined4 *puVar1; void *pvVar2; undefined4 *puVar3; long in_FS_OFFSET; char local_1018 [4104]; undefined8 local_10; local_10 = *(undefined8 *)(in_FS_OFFSET + 0x28); puVar1 = (undefined4 *)malloc(0x10); *puVar1 = 1; pvVar2 = malloc(8); *(void **)(puVar1 + 2) = pvVar2; puVar3.. 공감수 0 댓글수 0 2020. 6. 24.
[HackCTF] (Pwnable) RTL_Core 풀이 undefined4 main(void) { int iVar1; char local_24 [24]; undefined *local_c; local_c = &stack0x00000004; setvbuf(stdout,(char *)0x0,2,0); puts("코어 파일에 액세스중입니다...\n패스코드를 입력해주세요"); printf("Passcode: "); gets(local_24); iVar1 = check_passcode(local_24); if (iVar1 == hashcode) { puts("코드가 일치하구나. 좋아, 다음 단서를 던져주지"); core(); } else { puts("실패!"); } return 0; } 바이너리파일과, 라이브러리파일을 준다. check_passcode() 함수로 암.. 공감수 0 댓글수 0 2020. 6. 3.
[HackCTF] (Pwnable) random 풀이 약간 리버싱느낌도 나는데, 기드라로까보자. void main(void) { time_t tVar1; long in_FS_OFFSET; int local_18; int local_14; undefined8 local_10; local_10 = *(undefined8 *)(in_FS_OFFSET + 0x28); setbuf(stdout,(char *)0x0); local_14 = 0; local_18 = 0; tVar1 = time((time_t *)0x0); srand((uint)tVar1); local_14 = rand(); puts("============================"); puts("======= 인증 프로그램 ======"); puts("=========================.. 공감수 0 댓글수 0 2020. 5. 26.
[HackCTF] (Pwnable) 1996 풀이 환경변수를 입력받는다. 하지만 host 는 없는변수다. undefined8 main(void) { basic_ostream *this; char *pcVar1; char local_418 [1032]; operator((basic_istream *)cin,local_418); this = operator 공감수 0 댓글수 0 2020. 5. 26.
[HackCTF] (Pwnable) Poet 풀이 시를 쓰라하고, 저자를 입력받는다. 내 시가 마음에들지않나보다. void main(void) { setvbuf(stdout,(char *)0x0,2,0); puts( "\n**********************************************************\n* 우리는 2018년의시인(poet)을 찾고 있습니다. *\n* 플래그상을 받고 싶다면 지금 한 줄의 시를 쓰세요! *\n**********************************************************\n" ); do { while( true ) { get_poem(); get_author(); rate_poem(); if (poem._1088_4_ != 1000000) break; reward(); } .. 공감수 0 댓글수 0 2020. 5. 4.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.