[FTZ] level18->level19

FTZ

[Free Training Zone]

# level18

이번 문제는 뭐랄까... 함정이 많아서 짜증났다..

19번부터는 어려워지던데, 19번 풀이를 자세히 써볼까...

일단 18번 풀이부터^~^

소스가 굉장히 길어졌는데, 나는 파일 디스크립터에 관한 C언어 함수를 잘 모르는지라, 조사를 했다.

FD_set 은 FD를 그룹지을 때 사용하는데, *fds에서 입력에 해당하는 비트를 1로 설정한다.

FD_ZERO는 fd_set으로 선언된 변수를 초기화해서 우리 코드에서는 *fds의 모든 비트를 지우는 역할을 한다.

FD_ISSET은 *fds 값에 fileno(stdin) 값이 설정되어 있는지 확인해서 양수값을 리턴한다고 한다.

select는 FD_SET으로 설정된 파일 디스크립터를 확인하여 결과가 read/write 인 fd만 fdset 내에 set한다고 한다.

fileno는 파일디스크립터 값을 얻는 함수이다. 

사실 뭔지 몰라도 되는 내용이던데, 그냥 입력을 받는구나..정도여도 괜찮을 것 같다. 밑의 switch 구문이다.

디버깅했다.

코드와 비교해서 보았는데, 0x63은 99로 100보다 하나 작은 수이므로, count값이 ebp-112임을 짐작할 수 있다. 

그리고 맨 밑에 조금 짤렸지만, deadbeef랑 비교하는 걸 보니, ebp-104가 check임을 알 수 있다.

그리고 스트링은 여기서 알 수 있는데, 위에서 왜 버퍼를 0x100 = 256바이트나 공간 확보를 한지 모르겠지만, 마지막에 스위치 구문의 프린트 함수가 2번 나오고 난 후 string[count]값을 수정하는 부분에서 string이 메모리 어디에 있는지 알 수 있다.

ebp-100의 주소를 eax에 넣는 것으로 보아서, string은 ebp-100에 있다고 할 수 있다.

사실 대충 코드에서 string 을 check 바로 위에서 선언했고, check는 int형 이므로, string이 ebp-100에 있다고 추측할 수 있다.

그래도 더미값이 있다면 틀렸겠지..

사실 구문에서 취약점을 알아내야 하는 것이 쉽지 않은데, count값을 음수로 설정하는 스위치 구문과 C언어에서 인덱스값이 음수여도 된다는 점을 이용하면 된다. 지금 string은 ebp-100에 있고, check는 ebp-104에있으므로, count값을 -4로 설정하고 deadbeef가 되게끔 하면 된다.

한 바이트 입력할 때마다 카운트 값이 증가하니까, 맨처음에 count값을 -4 설정하고 입력만 하면 된다.

성공