[LOB] nightmare->xavius

 

LOB

[the Lord Of Buffer overflow]

#19 : nightmare->xavius

 

일단 복사해주었고, cat xavius.c 한 결과는 이렇다.

/*
        The Lord of the BOF : The Fellowship of the BOF
        - xavius
        - arg
*/

#include <stdio.h>
#include <stdlib.h>
#include <dumpcode.h>

main()
{
	char buffer[40];
	char *ret_addr;

	// overflow!
	fgets(buffer, 256, stdin);
	printf("%s\n", buffer);

	if(*(buffer+47) == '\xbf')
	{
		printf("stack retbayed you!\n");
		exit(0);
	}

	if(*(buffer+47) == '\x08')
        {
                printf("binary image retbayed you, too!!\n");
                exit(0);
        }

	// check if the ret_addr is library function or not
	memcpy(&ret_addr, buffer+44, 4);
	while(memcmp(ret_addr, "\x90\x90", 2) != 0)	// end point of function
	{
		if(*ret_addr == '\xc9'){		// leave
			if(*(ret_addr+1) == '\xc3'){	// ret
				printf("You cannot use library function!\n");
				exit(0);
			}
		}
		ret_addr++; 
	}

        // stack destroyer
        memset(buffer, 0, 44);
	memset(buffer+48, 0, 0xbfffffff - (int)(buffer+48));

	// LD_* eraser
	// 40 : extra space for memset function
	memset(buffer-3000, 0, 3000-40);
}

코드는 사실 별 거 없다. 리턴 어드레스로 bf(스택)와 08(코드영역)을 쓰지말고, 라이브러리 영역도 막고 있다.

근데 막는 방법이 조금 이상하다. 44부분부터 주소가 \x90\x90이 아니면서 값이 c9c3이면 종료시키고 아니라면 값을 증가시킨다. (사실 뭘 우회하려고 하는지도 잘 모르겠다.)

그리고 스택의 RET을 남겨놓은 모든 부분을 0으로 초기화하고, LD_환경변수들도 막기 위해서 3000부터 40바이트를 남겨놓고(memset function을 위해서) 모두 0으로 초기화 한다.

 

 

xavius에서 사용하고 있는 영역을 살펴보았다. 저렇게 백그라운드로 전환해서 통해서 볼 수도 있고, ps -ef | grep 프로그램 을 이용해서 ps 넘버를 찾아 cat /proc /넘버/maps로 볼 수도 있다. 

어쨌든 사용하는 영역과 실행 가능 여부를 살펴보는데, 08부분과 40, bf 부분이 있다.

근데, maps를 너무 신뢰하지는 말아야 한다.

 

혹은 이렇게 strace를 이용해서 시스템 콜을 추적할 수도 있다. 

 

 

일단 gdb로 디버깅 해보았다. fgets의 인자로 주어지는 stdin이 저장되는 곳이 0x8049a3c인 것 같다.

 

일단 메인에 브레이크를 걸고 저기로 점프해보았다. 그리고 8049950로 가보았는데 별 거 없었다. 

 

이번에는 fgets함수가 끝난 후를 살펴보려고 한다.

 

아까 별 거 없던 8049950를 버리고 401068c0으로 가보았다. 뭔가가 있는데, 40015000으로 가보았다. stdin의 구조체를 공부하면 알 수 있지만, stdin+4는 어디까지 읽었는지, stdin+8은 얼마나 입력받았는지, stdin+12는 stdin 시작 주소가 어딘지를 의미한다고 한다.

 

일단 40015000으로 이동하였더니 입력한 값이 들어있다. fgets는 \n로 끝나고, gets 등은 \00으로 끝난다.

 

이를 이용해서 페이로드를 짰다. 쉘코드(25)+더미용NOP(15)+SFP용NOP(4)+RET용0x40015000을 입력해주었다.