ICEWALL 검색 결과

해당 글 25건

[Reversing] login / 200

Download: login.apk 특이하게 apk 파일을 준다. apk online decompiler가 있으므로, 이를 이용하면 쉽게 소스를 분석할 수 있다. > http://www.javadecompilers.com/apk MainActivity.java를 분석해 본다. printflag를 보고 직접 decode 하는 방법은 거의 불가능하다. 41번째 줄에서 check 함수로 이메일과 비밀번호를 비교해서, true일 경우 emailInput Edit Item에 플래그를 출력해준다. 이메일을 다음과 같이 써주면 check가 true를 반환한다. 비밀번호는 4글자 길이로 아무거나 써도 된다. email: kd{yr
ICEWALL 2019. 7. 21. 18:10

[Reversing] noteasy / 170

Download: noteasy 64bit ELF 파일이다. IDA로 분석해 봤다. C++을 사용한 듯 하지만 크게 어려운 점은 없었다. v9은 string의 size를 나타내고, v8은 string의 data를 의미한다. 25번째 줄부터 33번째까지 각 바이트 비교와 sub_1110의 비교를 전부 통과해주면 암호화된 플래그를 딸 수 있다. 다음은 sub_1110 함수 내부 구조다. 차례대로 적어보면 다음의 문자열을 얻을 수 있다. Umt4QlIzdFhOSE10TVhRdE0yRnplVDhnU1Mxb01IQmxMVEYwTFhjMGN5MXVNSFF1TG4wPQ== BASE64 인코딩임을 바로 알아볼 수 있고, 플래그가 나올 때까지 디코딩하면 된다. RkxBR3tXNHMtMXQtM2FzeT8gSS1oMHBlL..
ICEWALL 2019. 7. 21. 17:46

[Reversing] easy / 150

Download: easy.exe Portable Executable 파일이다. x64dbg로 디버깅하면서 플래그 체크 루틴을 확인하면 끝난다. 각각의 call instruction은 한 글자씩 확인하는 과정이다. 많은 조건들을 전부 통과시킬 수 있는 문자열이 플래그 값이 된다. 아래는 그 조건들을 써 놓은 것이다. _BYTE s[25]; // input _BYTE check; check = s[0]; check ^= 0x20 assert(check == 0x66); check = s[1]; check += s[0]; assert(check == 0x92); check = s[10]; check += 0x20; check ^= s[2]; assert(check == 0x33); check = s[3]; ..
ICEWALL 2019. 7. 20. 18:16

[Reversing] virtual / 80

Download: virtual.elf 64bit ELF 바이너리 파일이다. 뭔가 많은 작업을 하는데, 주목할 부분은 하나도 없는 쓸데없는 과정들이다. 실제로 v16은 이미 고정되어 있는 v10~v15 사이의 값과 sub_401892 함수를 통해 이루어지므로 관건은 strcmp를 통과해 아래 부분에 도달하는 것이다. 0x40197E에서 test eax, eax; 로 확인한다. 만약 여기서 ZF (Zero Flag) 를 set 할 수 있다면 exit 되지 않고 정상적으로 플래그를 출력할 수 있을 것이다. 0x401980에 BP를 건 뒤 ZF를 set 하고, continue 하면 된다.
ICEWALL 2019. 7. 20. 17:47

[Reversing] supereasy / 50

Download: supereasy 64bit ELF 파일이다. IDA로 분석하면, 입력받는 문자열의 길이가 20인지 확인하고, 각 바이트마다 FLAG[i]랑 XOR 연산한 결과가 115면 플래그를 딸 수 있다. FLAG는 global에 정의되어 있으므로, 간단한 코딩으로 플래그를 알아낼 수 있다. #include typedef unsigned __int8 byte; int main() { byte flag[20] = {0x35, 0x3F, 0x32, 0x34, 0x08, 0x23, 0x42, 0x09, 0x5E, 0x20, 0x43, 0x42, 0x05, 0x16, 0x5E, 0x1E, 0x40, 0x5D, 0x5D, 0x0E}; for (int i=0 ; i
ICEWALL 2019. 7. 20. 16:33

[System] babyheap / 400

Download: babyheap 64bit ELF 바이너리. 메뉴 입력에 따라 Heap에 메모리를 할당하거나 해제할 수 있고, 내용을 수정하고 출력할 수 있다. 문제 구성을 보면 2017 0CTF의 babyheap 문제를 일부 변형한 것으로 보여진다. 할당된 Memory Chunk의 data 주소를 heap (0x6010A0)이라는 변수에 저장한다. add를 할 때 chunk의 크기를 지정해 줄 수 있지만 edit에서 크기를 비교하는 부분은 보이지 않으므로, heap overflow가 발생할 수 있다. 다 풀었는데 너무 귀찮아서 (그리고 나 스스로도 아직 이해가 잘 안되니까) 나중에 설명해야지.. from pwn import * import sys if len(sys.argv) == 1 : p = pr..
ICEWALL 2019. 7. 20. 16:23

[System] stack_chk_fail / 300

Download: vuln 64bit ELF, 보호기법이 꾹꾹 채워져있다. IDA로 분석해보면 바로 눈에 들어오는, exploitable 한 특이점은 보이지 않는다. gets 함수로 BOF 공격이 가능하나 SSP가 걸려있어 ROP를 수행하려면 canary leak을 해야 하는데, leak을 하기 위한 코드도 보이지 않는다. 하지만 한 가지 눈여겨 볼 점이 있다. readFlag 함수를 살펴보면, 일단 파일에서 flag를 읽어 프로그램 어딘가의 메모리 (0x601060)에 적재시킨다는 점이다. canary가 변조되는 경우 (xor rcx, fx:0x28; 후 ZF가 set 되지 않는 경우) __stack_chk_fail을 call 해 프로그램을 종료시킨다. main에서 이미 힌트를 주고 있는데, 위의 de..
ICEWALL 2019. 7. 19. 23:20

[System] libc_leak / 250

Download: vuln 64bit ELF, NX가 걸려있다. 문제 이름에서 알 수 있듯이 offset을 계산해 system 등을 call 하는 게 목표임을 예상해 볼 수 있다. gets에서 BOF가 발생하고 ROP로 각종 함수들의 실제 주소를 알아낼 수 있다. 문제에서는 libc가 어느 버전인지 알려주고 있지 않으므로, 현재 바이너리에 로드된 함수 중 puts와 gets를 사용해 offset 차이를 알아낸 뒤 libcdb에서 검색해 어느 버전의 libc를 먼저 쓰는지 알아내야 한다. puts(gets@got); 와 puts(puts@got); 를 호출해 함수 실제 주소를 확인하고 libc를 먼저 확인한다. puts는 0x7FD228631690이고 gets는 0x7FD228630D80이다. niklas..
ICEWALL 2019. 7. 19. 20:24

[System] typing_practice / 200

Download: vuln 32bit ELF 바이너리에 NX만 걸려있다. 최종 목표로 system("sh"); 를 실행하는 것으로 설정했다. 가장 처음 만난 문제점은, "sh" 문자열이 없다는 것이다. gdb의 vmmap으로 확인해 보면 0x804A000부터 0x804B000까지의 고정 영역에 대한 write 권한이 있다. 이를 이용해 BOF로 gets를 호출하고 해당 영역에 "/bin/sh" 문자열을 쓴 뒤 system 함수를 호출해 인자로 "/bin/sh"를 넘겨주는 방식으로 shell을 얻는 시나리오를 설계했다. gets@plt와 system@plt는 각각 0x8048450, 0x8048460이다. ROP로 위에 작성한 시나리오를 구현해 주면 된다. from pwn import * import sy..
ICEWALL 2019. 7. 19. 01:00