[pwnable.xyz] note

1. 문제

해당 문제는 RELRO와 PIE가 안걸려 있다. 따라서 GOT overwrite가 가능하다

문제를 실행시키면 다음과 같은 메뉴가 나온다

코드를 한번 봐보자

while 문으로 입력을 반복적으로 받을 수 있다.

1을 입력하면 edit_note 함수가 실행될 것이고

2를 입력하면 edit_desc 함수가 실행될 것이다

read_int32함수는 입력을 받는 함수이다. 하나씩 확인해보자

1. read_int32()

      char형 변수에 0x20만큼 입력을 받고 해당 문자열을 atoi 함수를 통해 정수로 바꾼 값을 return 한다.

 

2. edit_note()

• read_int32 함수를 이용하여 입력을 받고 그 값만큼 동적할당을 한다
• 그다음 해당 위치에 입력을, 설정한 크기만큼 받는다
• 그거를 전역 변수 s에 입력 사이즈 만큼 복사한다
• 해당 동적할당 주소를 free 시킨다

 

 

3. edit_desc()

• 전역변수 buf가 0이면 0x20만큼 동적할당을 한다
• 해당 전역변수 buf에 0x20만큼 입력을 받는다

 

 

2. 접근방법

우선 note_edit 함수에서 strncpy를 이용하는 부분을 유심히 보자. 느낌적으로 저 부분일 듯싶다

.bss 영역을 확인해보니 s와 buf 변수의 위치가 가깝다

s는 0x601480 주소를 시작으로 32바이트 만큼 배열에 입력을 받을 수 있는데, 그 다음 바로 buf 주소가 나온다

그렇다면 edit_note 함수에서 32+알파 만큼 값을 입력해준다면 s영역을 벗어나 buf 영역에 값이 덮어질 것이고,

edit_desc 함수에서 buf에 값이 들어가 있으니 동적할당을 하지 않고 바로 read함수가 호출될 것이다

 

그럼 이걸 어떻게??

생각해보자. 이전문제에서는 대부분 RELRO 가 다 걸려있었는데, 이번에는 안걸려 있다. 그말인 즉슨 GOT 섹션에 쓰기 권한이 있다는 소리이고 , 이걸 이용하여 GOT overwrite가 가능할 것이다

실제 got 영역이 write가 가능하다

그렇다면 특정 함수의 got 값을 변경시켜 해당 함수가 아닌 win 함수로 변형시키면 될 것이다

정리하면 다음과 같다

• edit_note를 이용하여 s에 값을 넣을때 buf까지 침범하게 만든다

• 해당 buf에는 read 함수의 실제 got 주소를 넣어준다

• 그리고 2번을 입력하여 edit_desc가 실행되게 한다

• 현재 buf got 주소(0x1234)가 들어가 있기 때문에 read 함수가 실행되면 0x1234 주소에 값을 쓰게 된다

• 즉, buf에 win함수의 주소를 넣게 되면 read의 got 주소는 win 함수로 변경되어 다음번 read가 실행될시 win함수를 호출할 것이다

 

3. 풀이

최종 익스 코드는 다음과 같다

 

4. 몰랐던 개념

• plt, got 의 호출과정을 따로 정리할 필요가 있