[HackCTF] Pwnable #Basic_FSB

HackCTF

Pwnable

#Basic_FSB

 

아 퍼듀 프젝 환경구축때문에 씨티엪을 생각보다 못 풀고 있다....ㄷ.ㄷ...

 

일단 IDA 돌렸는데, 함수들 중에 vuln, flag, main정도만 봐도 될 것 같다.

 

main은 별 거 없고, 버퍼를 초기화하고 vuln()함수 콜하고 있다.

 

vuln는 ..취약해 보이는데.. 뭐 일단 snprintf를 몰라서 찾아봤는데, 복사하는 역할을 해주는 함수였다. $s에 stdin을 받아서 그걸 $format에 복사하고 있는데, 굳이 1024개나 0x400u개나하고 사실 공격할 곳이 printf함수의 got밖에 없어 보였다.

 

flag는 /bin/sh불러주는 코드니까 printf GOT을 flag로 overwrite 해보았다.!

 

혹시 몰라서 gdb로도 뒤져봤는데 별 거 없당

 

vuln에 call마다 브레이크 걸었었는데, 밑에 건 걸 캡처해버렸넹..어쨌든 구간마다 브레이크 걸어서 어셈에서 보이는 $ebp-0x408과 $ebp-0x808을 확인해보았는데, format과 s가 맞았다. 복사도 잘 되는 것 같고..

 

인풋으로 AAAA %8x %8x %8x %8x를 줬는데, 

 

그 다음 다음에 나오니까 쓰레기는 4바이트 있는 것 같고~ 대충 fsb대로 페이로드를 구성했다. 

fsb payload : AAAA타겟주소%8x%(넣고싶은주소10진수-앞의문자개수)c%n

 

flag 주소는 0x080485b4이고, 

 

printf GOT을 찾고 싶었는데, peda elfsymbol에 안나오길래 

 

위의 pdisas vuln에서 printf PLT 주소로 가보았다. jmp하고 있는 주소로 갔더니 got이 있었다.

printf의 GOT은 0x0804a00c이다. 

 

이 값은 10진수로 134514100인데, 

 

여기서 앞에 써준 16개(AAAA+flag주소4바이트+%8x의8바이트)의 문자를 빼야하니까 -16을 하면 134514084이다. 

 

ㅠㅠ 칼리에 한글 패치를 안했더니...

 

한글패치 하고 왔다.