티스토리

smleenull
검색하기

블로그 홈

smleenull

smleenull.tistory.com/m

(관리 안함)

구독자
0
방명록 방문하기

주요 글 목록

  • [Toddler's Bottle] codemap 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 11. 25.
  • [Rookiss] fix 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 30.
  • [Rookiss] syscall 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 30.
  • [Rookiss] crypto1 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 28.
  • [Hacker's Secret] exploitable 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 27.
  • [Grotesque] asg 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 17.
  • [Toddler's Bottle] asm 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 17.
  • [Rookiss] alloca 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 4.
  • [Toddler's Bottle] unlink 보호되어 있는 글입니다. 공감수 0 댓글수 0 2017. 1. 2.
  • [exploit-exercise] fusion level03 보호기법은 ASLR과 NX-bit가 걸려 있습니다. level03 문제 같은 경우는 입력 값에 대한 필터링이 몇 개 존재하고, 특이한 점은 클라이언트에게 입력 받자마자 소켓을 닫아버립니다. 따라서, exploit은 최초 한 번 입력 후 서버가 다시 reverse bind 하는 방법으로 작성하였습니다. bof가 발생하는 부분은 decode_string() 함수입니다. decode_string() 함수의 경우 전체적인 동작은 memcpy(src, dest, size) 와 비슷한데, size를 체크하는 부분에서 '' 와 같이 비교해야하는데, 단순히 != 로 비교하기 때문입니다. void decode_string(const char *src, unsigned char *dest, int *dest_len) { .. 공감수 0 댓글수 0 2015. 12. 22.
  • [exploit-exercise] fusion level02 이번 문제는 ASLR, NX-bit 보호기법이 걸려있습니다. 전체적인 동작은 encrypt_file() 함수에서 사용자에게 사이즈와 해당 사이즈만큼의 스트링을 입력받고, 이를 cipher() 함수에서 암호화하여 다시 전달해주는 방식입니다. bof가 일어나는 부분은 encrypt_file() 함수에 있습니다. buffer 변수는 사이즈가 고정되어 있는 반면 입력받는 크기를 결정하는 sz 변수는 사용자가 마음대로 설정할 수 있기 때문에 이 부분은 아주 쉽게 bof를 일으킬 수 있습니다. 문제는, eip가 덮힐 때의 스트링은 랜덤값과 한바이트씩 xor된 상태이기 때문에 정상적인 공격 페이로드를 입력했더라도 cipher()함수에 한 번 들어갔다 나오면 단순 스트림암호화가 되어있게 됩니다. 그렇지만, xor 같은.. 공감수 0 댓글수 0 2015. 12. 22.
  • [exploit-exercise] fusion level01 level01 문제는 이전 level00 문제에서 ASLR 보호기법이 추가되고, buffer 변수의 주소 값을 주지 않게 수정되었습니다. ASLR이 걸려있어서 이전 소스에 eip에 들어가는 buffer 변수의 주소값을 랜덤으로 브루트포싱 해도 되지만, ROP로 하는 방법이 더욱 깔끔하고 익스플로잇도 한 번에 성공할 수 있습니다. bof가 발생하는 부분은 이전 문제와 같이 realpath() 함수입니다. import struct from socket import * import time import re host = "192.168.0.107" port = 20001 p = lambda x: struct.pack(" 공감수 0 댓글수 0 2015. 12. 22.
  • [exploit-exercise] fusion level00 바이너리가 돌고 있는 서버에는 ASLR이 걸려있지만, 접속하면 buffer의 주소값을 얻을 수 있습니다. 또한, NX-bit 보호기법도 없기 때문에 스택에 쉘 코드를 올리고 eip를 해당 주소부분으로 바꿔주면 됩니다. bof가 발생하는 부분은 아래 소스의 realpath() 함수입니다. int fix_path(char *path) { char resolved[128]; if(realpath(path, resolved) == NULL) return 1; // can't access path. will error trying to open strcpy(path, resolved); } realpath(path, resolved) 함수에서 path에는 파일명이 들어가게 되고, 해당 파일의 절대 경로를 reso.. 공감수 0 댓글수 0 2015. 12. 22.
  • [Grotesque] wtf 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 12. 21.
  • [Rookiss] note 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 12. 18.
  • [Rookiss] otp 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 12. 9.
  • [Toddler's Bottle] - uaf 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 9. 29.
  • [Grotesque] Sudoku - 111pt 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 9. 3.
  • 12 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 26.
  • [Toddler's Bottle] - cmd2 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 19.
  • 11 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 14.
  • 10 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 14.
  • 9 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 14.
  • 8 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 14.
  • 7 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 13.
  • 6 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 13.
  • 5 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 13.
  • 4 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 13.
  • 3 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 13.
  • 2 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 8. 13.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.