Wargame 검색 결과

해당 글 76건

pwnable.xyz / rwsr

이 문제의 핵심 키워드는 스택 주소 leak 이다. while ( 1 ) { print_menu(); menu = read_ulong(); if ( menu != 1 ) break; printf("Addr: "); n = read_ulong(); puts((const char *)n); } if ( menu != 2 ) break; printf("Addr: "); n = read_ulong(); printf("Value: "); *(_QWORD *)n = read_ulong(); main에서 임의의 주소에 읽고 쓰는 작업을 할 수 있다. Full RELRO가 걸려있어 GOT overwrite는 불가능하다. win 함수가 있지만 .got 영역에는 쓸 수 없으니 스택에서 return address를 조작해야..
Wargame/pwnable.xyz 2020. 1. 20. 01:15

pwnable.xyz / fclose

FILE 구조체를 이해하고 있어야 풀 수 있다. read(0, &input, 0x404uLL); fclose(&input); 임의의 FILE 구조체를 만들 수 있고, 그것을 fclose로 닫는다. fake vtable을 구성하고 vtable->__finish를 win으로 바꾸면 된다. 적절한 _lock을 설정하지 않으면 segfault가 발생하므로 lock object를 0x601800에 설정했다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 from pwn import * import argparse parser = argparse.ArgumentParser() parser.add_argument('-r..
Wargame/pwnable.xyz 2020. 1. 18. 01:41

pwnable.xyz / message

pool[0] = 0; pool[1] = 1; pool[2] = 2; pool[3] = 3; pool[4] = 4; pool[5] = 5; pool[6] = 6; pool[7] = 7; pool[8] = 8; pool[9] = 9; input = getchar(); getchar(); return (unsigned __int8)pool[input - 48]; get_choice에서 OOB read로 canary 값과 코드 주소 값을 모두 읽을 수 있다. canary를 leak 한 뒤에는 ret에 win 주소를 써서 플래그를 가져오면 된다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 ..
Wargame/pwnable.xyz 2020. 1. 17. 19:36

pwnable.xyz / UAF

이 바이너리는 아래와 같은 크기 0x90의 구조체를 사용한다. switch ( read_int32() ) { case 0uLL: return 0; case 1uLL: cur->calc(); break; case 2uLL: save_game(); break; case 3uLL: delete_save(); break; case 4uLL: printf("Save name: %s\n", cur); break; case 5uLL: edit_char(); break; default: puts("Invalid"); break; } 1번 메뉴에서만 고정된 함수 대신 구조체의 함수 포인터를 사용한다. 아마 이 값을 바꿔야 하는 게 목적일 듯 하다. 한편 존재 이유가 의심스러운 edit_char 라는 함수가 있다. voi..
Wargame/pwnable.xyz 2020. 1. 17. 04:51

pwnable.xyz / J-U-M-P

read_int8 이 수상하다. int __fastcall read_int8() { char buf[32]; // [rsp+0h] [rbp-20h] read(0, buf, 0x21uLL); return atoi(buf); } buf 의 위치는 rbp-0x20 인데 read 함수에서 최대 0x21 크기의 데이터를 입력받고 있다. main 함수의 stack frame에서 rbp 레지스터의 하위 1바이트를 조작할 수 있다는 의미다. int __fastcall main(int argc, const char **argv, const char **envp) { uint8_t menu; // [rsp+2Fh] [rbp-11h] uint64_t canary; // [rsp+30h] [rbp-10h] void *jump..
Wargame/pwnable.xyz 2020. 1. 15. 05:02

pwnable.xyz / SUS

함수 간에 스택 영역을 공유한다는 특이사항이 있다. void __fastcall create_user() { User user; // [rsp+0h] [rbp-1060h] unsigned __int64 __canary; // [rsp+1058h] [rbp-8h] __canary = __readfsqword(0x28u); if ( !user.name ) { user.name = (char *)malloc(0x20uLL); memset(user.name, 0, 0x20uLL); } printf("Name: "); read(0, user.name, 0x20uLL); printf("Age: "); read_int32(); cur = &user; } void __cdecl edit_usr() { User *use..
Wargame/pwnable.xyz 2020. 1. 14. 20:13