Code1018

이 자료 또한 어떠한 문서를 참조했다고 나와있었다.

(참조 문서)

heap overlapping 2번째 분석을 시작하자!

(5개의 힙)

뒷자리가 8인 것을 보면 눈치 채겠지만, off-by-one에 취약할 것이다.

(각 힙영역의 범위)

각 힙영역을 표시하기 위해 해당 영역에 문자들을 넣어주었다.

(문자 입력)

: 그렇기에 p4를 free해준 것이다.

(free)

p1을 이용해 p2의 청크 사이즈를 조작한다.

(청크 사이즈 조작)

(p2 free)

그 후 malloc을 통해 p3을 포함할만큼 커다란 영역을 할당받는다면?

(큰 영역 할당)

그렇게 되면 p3영역이 포함된 영역을 할당해준다.

(할당된 영역)

현재 p3에 들어있는 데이터

(p3의 데이터)

그 후 p6을 F로 1500 글자 채워준다.

(F로 채우기)

그렇게 되면 500자가 p3영역을 침범하게 되어 p3 데이터 앞부분이 F로 채워지게 된다.

(확인)

확인을 통해 p3가 중첩된 영역을 할당받은 것을 확인 할 수 있다.

두가지 brk와 mmap 시스템콜을 사용한다.

(malloc)

brk 를 확인해보기 위해 아래와 같이 코드를 작성한다.

(brk 테스트)

(brk 메뉴얼)

실행한 결과를 확인해보자.

(brk 되기 전)

실제 메모리 모습을 확인해보면

(메모리 모습(brk 전))

brk를 한 후 결과를 확인해본다.

(brk 후)

메모리 상황을 확인해보면

(메모리 (brk 후))

마지막으로 brk를 원래 위치로 되돌리는 것 까지 확인해보자.

(원위치)

(메모리 상황)

코드를 이용해 직접 확인해보자.

(테스트 코드)

mmap 되기 전 상황과 된 후 상황일 먼저 비교해볼 것이다.

(mmap 전)

(메모리 (mmap 전))

그 후 mmap을 진행한다.

(mmap 실행)

(메모리 ( mmap 후))

munmap 후까지 확인해본다.

(munmap)

(메모리 ( munmap 후 ))

munmap 후 다시 프로그램에게 메모리가 반환되는 것을 확인 할 수 있었다.

먼저 malloc을 해준다.

(malloc)

이제 free의 인자로 넘길 포인터 변수를 만들어준다.

(포인터 변수 생성)

stack영역에는 비교적 우리가 값을 적기 쉽기 때문에 stack영역에 가짜 청크를 만들어 준 것 같다.

(가짜 청크를 위한 메모리 공간 확보)

그 다음으로 가짜 청크를 만들어주는 작업이다.

(가짜 청크 생성)

free시 청크 뒤에 있는 청크의 사이즈를 검사한다. 그렇기에 정상적인 사이즈를 넣어야한다.

(검사 조건)

SIZE_SZ란

(SIZE_SZ)

av->system_mem 보다 작아야한다는 것

(system_mem)

이 자료에서는 0x1234라는 값을 넣어주었다.

(두번째 청크 크기 설정)

이제 이 주소를 free 시키기 위해 포인터 변수에 이 주소를 먼저 넣어야한다.

(주소 입력)

그 후 free 해준다.

(free)

이제 다시 malloc(0x30)을 하면 fastbin리스트에서 0x40의 주소를 찾아가 현재 있는 a의 주소를 return하게 되는 것이다.

(malloc)

공격 결과를 확인해보면 다음과 같다.

(공격 성공)

하루종일 문제푼것은 아니지만 조금씩 풀었는데 그래서그런지 오래걸린 문제이다.

(dragon 문제)

(문제화면)

게임을 다운로드해서 실행해본다.

(dragon 게임 실행)

그러므로 PlayGame 함수부터 분석해보겠다.

(PlayGame 함수)

그러면 SecretLevel에서는 뭘 할까?

(SecretLevel 함수)

그래서 입력 문자열포멧과 비밀번호를 확인해보니

(입력 포멧, 입력해야할 문자열)

그러므로 우리가 쓸수있는 방법은 바로 이 system("/bin/sh") 이 실행되도록 0x08048dbf 이 주소로 실행 흐름을 돌리면 된다.

(우리가 사용할 쉘)

그러던 중 FightDragon 함수 아래쪽에서 문제 해결의 핵심을 찾았다.

(문제의 핵심)

위에서 malloc을 해주고 그 곳에 입력을 받고 게다가!

(16글자)

그러면 어떻게 해야하나 위로 올라가보니

(공격함수)

공격함수 끝난 후 eax 값을 ebp-0x18을 넣고

(비교)

dragon 구조체를 몇일을 들여다 보다 무릎을 탁 쳤다.

(dragon 구조체)

테스트!

(테스트 성공)

보니 dragon 구조체가 free 된걸 까먹은건지 dragon 구조체의 첫번째 인자인 몬스터정보 출력 함수를 호출하고 있다.

(취약점)

이 주소를 몬스터정보 출력 함수인줄 알고 이 주소를 호출하려 할 것이다.

(테스트)

AAAA 입력!

(확인)

pwn 모듈을 이용해 작성했다.

(exploit)

그리고 공격!

(쉘획득)

쉘을 획득하였다.!