Wargame 검색 결과

해당 글 76건

pwnable.xyz / Game

대강 봐도 함수 포인터 조작하는 문제라는 것을 눈치챌 수 있다. 바이너리에서는 아래와 같은 0x20 크기의 구조체를 사용한다. cur 의 타입은 struct Game *, saves 의 타입은 struct Game * [5] 이다. void __cdecl edit_name() { size_t size; // rax size = strlen(cur->name); read(0, cur, size); } 먼저 주목할 곳은 edit_game 함수이다. 만약 cur->name 에 16바이트가 전부 써져 있으면 cur->points 값을 일부 변조할 수 있고, 마찬가지로 cur->points 의 8바이트가 모두 0이 아니라면 cur->play_func 의 값을 조작해서 실행 흐름을 변경할 수 있다. .text:00..
Wargame/pwnable.xyz 2020. 1. 13. 21:57

pwnable.xyz / l33t-ness

숫자로 장난치는 문제다. 포너블이라기보다는 리버싱 문제 같다.. printf("x: "); read(0, buf[0], 0x10uLL); printf("y: "); read(0, buf[1], 0x10uLL); if ( strchr(buf[0], '-') || strchr(buf[1], '-') ) return 0; x = atoi(buf[0]); y = atoi(buf[1]); if ( x 1337 && x * y == 1337; round_2 두 수를 곱해서 1337을 만들어야 하며, 하나는 1보다 커야 하고 다른 하나는 1337보다 커야 한다. 2^32+1337=4294968633 는 integer overflow로 결과값이 1337이 되고, 소인수분해하면 3*3*12289*38833 이다. 범위 ..
Wargame/pwnable.xyz 2020. 1. 13. 19:01

pwnable.xyz / two targets

두 가지 풀이가 있다. 암호화 루틴을 리버싱하는 방법이 있고, 다른 하나는 GOT overwrite로 플래그를 가져오는 방법이다. Exploit: Reversing auth 함수에서 입력한 name 문자열을 비교한다. s1 암호화 과정을 역연산해서 원래의 문자열을 알아낼 수 있다. for ( i = 0; i > 4) | 16 * a1[i]) ^ *(main + i); return strncmp(s1, &s2, 0x20uLL) == 0; 각각의 바이트에 대해서, 상위 4비트와 하위 4비트를 서로 바꾼 뒤 main[i] 와 xor하고 결과를 s2 와 비교한다. s2 에 대해서 main[i] 와 xor한 뒤 상/하위 4비트를 서로 바꿔주면 적절한 입력값을 찾을 수 있다. Exploit: Pwn age 를 입력..
Wargame/pwnable.xyz 2020. 1. 13. 17:55

pwnable.xyz / xor

while ( 1 ) { n = 0LL; printf(format); c = _isoc99_scanf("%ld %ld %ld", &x, &y, &n); if ( !x || !y || !n || n > 9 || c != 3 ) break; result[n] = y ^ x; argv = (const char **)result[n]; printf("Result: %ld\n", argv); } 특정 위치에 x^y 의 값을 쓰는 작업을 할 수 있다. n 이 9 초과일 때만 필터링하고, 음수를 넣어 0x202248 이하의 범위의 영역에 값을 자유롭게 쓸 수 있다. 바이너리를 실행하고 프로세스의 메모리 매핑 상태를 살펴보니 0x0~0x1000 범위에 RWX 권한이 있다는 점이 눈에 띈다. 이유를 찾아보니 __do_g..
Wargame/pwnable.xyz 2020. 1. 13. 17:55

pwnable.xyz / note

void edit_note() { int size; // ST04_4 void *buf; // ST08_8 printf("Note len? "); size = read_int32(); buf = malloc(size); printf("note: "); read(0, buf, size); strncpy(s, (const char *)buf, size); free(buf); } edit_note에서 입력받은 값을 전역변수 s 에 쓴다. s 는 크기가 0x20인데 입력받을 때는 길이 제한이 없어서, s 뒤에 있는 buf 를 조작할 수 있다. ssize_t edit_desc() { if ( !buf ) buf = malloc(0x20uLL); printf("desc: "); return read(0, buf, ..
Wargame/pwnable.xyz 2020. 1. 13. 17:55

pwnable.xyz / GrownUp

0x601080에 플래그가 있다. qword_601160 = &byte_601168; byte_601168 = 0x25; byte_601169 = 0x73; byte_60116A = 0xA; setup 함수에서 0x601160에 0x601168을 쓰고, 0x601168에 문자열 %s\n 을 쓴다. src = (char *)malloc(0x84uLL); printf("Name: ", &buf); read(0, src, 0x80uLL); strcpy(usr, src); printf("Welcome "); printf(qword_601160, usr); src 에 최대 0x80 크기의 입력을 넣을 수 있다. src 의 문자열을 usr 로 복사한 뒤 0x601160이 가리키는 문자열을 printf 로 출력한다...
Wargame/pwnable.xyz 2020. 1. 13. 17:55

pwnable.xyz / misalignment

*(_QWORD *)((char *)buf + 7) = 0xDEADBEEFLL; while ( (unsigned int)_isoc99_scanf("%ld %ld %ld", &x, &y, &n) == 3 && n = -7 ) { buf[n + 6] = x + y; printf("Result: %ld\n", buf[n + 6]); } if ( *(_QWORD *)((char *)buf + 7) == 0xB000000B5LL ) win(); buf+7 주소가 가리키는 8바이트 값이 0xB000000B5가 되면, system("cat /flag"); 를 실행하는 win 함수를 실행할 수 있다. 이해하기 쉽게 그림으로 표현하면 다음과 같다. (little endian에 주의해야 한다) 즉, buf[0] 에 0xB..
Wargame/pwnable.xyz 2020. 1. 13. 17:55