[pwnable.kr] TB #uaf

pwnable.kr

[Toddler's Bottle]

# uaf

 

뉴욕 갔다 와서 처음 쓰는 것 같다ㅠㅠ 열심히해야지

 

cat uaf.cpp를 해보면, 

//uaf@ubuntu:~$ cat uaf.cpp
#include <fcntl.h>
#include <iostream>
#include <cstring>
#include <cstdlib>
#include <unistd.h>

using namespace std;

class Human{
private:
        virtual void give_shell(){
                system("/bin/sh");
        }
protected:
        int age;
        string name;
public:
        virtual void introduce(){
                cout << "My name is " << name << endl;
                cout << "I am " << age << " years old" << endl;
        }
};

class Man: public Human{
public:
        Man(string name, int age){
                this->name = name;
                this->age = age;
        }
        virtual void introduce(){
                Human::introduce();
                cout << "I am a nice guy!" << endl;
        }
};

class Woman: public Human{
public:
        Woman(string name, int age){
                this->name = name;
                this->age = age;
        }
        virtual void introduce(){
                Human::introduce();
                cout << "I am a cute girl!" << endl;
        }
};

int main(int argc, char* argv[]){
        Human* m = new Man("Jack", 25);
        Human* w = new Woman("Jill", 21);

        size_t len;
        char* data;
        unsigned int op;
        while(1){
                cout << "1. use\n2. after\n3. free\n";
                cin >> op;

                switch(op){
                        case 1:
                                m->introduce();
                                w->introduce();
                                break;
                        case 2:
                                len = atoi(argv[1]); //인자1을 len로
                                data = new char[len]; //len만큼의 스트링을 data로 
                                read(open(argv[2], O_RDONLY), data, len); //인자 2로 들어온 것을 open. len만큼 data에 저장
                                cout << "your data is allocated" << endl; 
                                break;
                        case 3:
                                delete m;
                                delete w; // 다 지움
                                break;
                        default:
                                break;
                }
        }

        

이렇게 나온다. 

 

gdb를 켜서 set disassenbly-flavor intel로 맞춰주고, disas main을 해주면, 이렇게 나오는데, 

cmp 부분이 switch 구문임을 알 수 있다. 

rbp-0x38과 rbp-0x30이 m과 w라는 것을 알 수 있다. 

또한, rbp-0x38의 값의 또 그 값에 +8한결과의 값이 call되는 것을 볼 수 있는데,

 

 

일단 1번 스위치문이 끝난 직후에 브레이크를 걸고, rbp-0x38의 값은 0x0127ec50이다. 

 

rbp-0x30의 값은 0x0127eca0이고, 

 

아까 rbp-0x38의 값인 0x0127ec50에는 0x00401570이 들어있다. 

 

그리고 rbp-0x30의 값인 0x0127eca0에서는 0x00401550가 들어있다. 

 

저 값들에 8을 더한 0x00401578에는 0x004012d2가, 0x00401558에는 0x00401376이 들어가 있다. 

 

각각은 m과 w의 introduce함수이다. 

 

0x00401570과 0x00401550에는(+8을 안 한) 0x0040117a가 들어있는데, 거기에는 give_shell함수가 들어있다(!!!)

 

사실, Human을 상속받은 Man의 m객체와 Woman의 w객체에는 give_shell이 있으므로 당연한 결과이다.

그치만 private으로 상속받으므로, virtual함수 give_shell에 접근하려면 UAF를 이용해서 할당한 m과 w를 해제해서 그 곳에 새로운 값을 덮어씌워서 introduce 함수의 포인터를 give_shell으로 바꾸어야 한다.

 

일단 파일을 open해야하므로 tmp에 하나 만들어주자

 

대충 AAAA를 넣었다. 

 

touch라는 파일을 4바이트 가져오도록 실행해보았다.

 

일단 w와 m을 free해보고 여러 번 해본 결과, 4바이트를 2번 선언해보면, rbp-0x38에 0x01d91c50이 있는데 그 자리에 41414141인 AAAA값이 들어가있다.

(잘 되지 않았다면 0으로 아무 값도 들어가지 않는다.)

 

원래는 rbp-0x38에 들어있는 값의 그 값에 +8을 한 것이 0x004012d2(introduce)함수를 담고 있는 거니까, 우리는 0x0040117a을 담는 0x00401570으로 보내주고 싶으므로 rbp-0x38에 들어있는 값의 그 값에 0x00401570-0x08=0x00401568을 담아야 한다. 따라서 \x68\x15\x40\x00을 넣고 돌려보았다. 

 

성공

 

이번기회에힙을공부할수있어서좋았다^^...^^....