Protostar-Stack1 (Buffer Over flow)

Pwnable/프로토스타_시스템해킹

Protostar-Stack1 (Buffer Over flow)

KSJ._.seven11 2023. 1. 23. 21:13

먼저 문제의 소스코드는 다음과 같다.

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>

int main(int argc, char **argv)
{
  volatile int modified;
  char buffer[64];

  if(argc == 1) {
      errx(1, "please specify an argument\n");
  }

  modified = 0;
  strcpy(buffer, argv[1]);

  if(modified == 0x61626364) {
      printf("you have correctly got the variable to the right value\n");
  } else {
      printf("Try again, you got 0x%08x\n", modified);
  }
}

먼저 컴파일 시켜 실행시켜보자.

gcc -z execstack -w -no-pie -o stack1 stack1.c

이후 실행을 시키면 다음과 같은 문구가 나온다.

소스코드와 함께 분석을 하면 argument 가 1일때 위와 같은 문구를 출력시킨다.

int main(int argc, char **argv)
{
  volatile int modified;
  char buffer[64];

  if(argc == 1) {
      errx(1, "please specify an argument\n");
  }

argc가 1이 아니게 하려면 실행을 시킬때 다음과 같이 입려해야 한다.

./sudo stack1 1234

argc가 1이 아니여야 하기에 뒤에 추가로 값을 넣어 함수를 호출할때 입력되는 값이 1이 아니게 해야한다는 것이다.

그러면 정상 실행이 되므로 다음과 같은 화면이 뜬다.

다시 한번 문제 소스코드를 봐보자.

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>

int main(int argc, char **argv)
{
  volatile int modified;
  char buffer[64];

  if(argc == 1) {
      errx(1, "please specify an argument\n");
  }

  modified = 0;
  strcpy(buffer, argv[1]);

  if(modified == 0x61626364) {
      printf("you have correctly got the variable to the right value\n");
  } else {
      printf("Try again, you got 0x%08x\n", modified);
  }
}

여기서 주목해야할 것은 modified 값이다.

변수 modified 값은 0으로 선언되며 이 변수가 0x61626364 일때 "you have correctly got the variable to the right value\n" 구문이 출력된다.

다음으로 주목해야 할 부분은 strcpy 함수이다. Buffer Over Flow 의 취약점이 존재한다.

Strcpy 함수는 길이 검사를 하지 않고 데이터를 복사하는 함수이므로 입력자의 값을 무한대로 넣을 수 있다.

결국은 Stack1또한 Buffer Over Flow 공격 기법들을 통해 문제를 해결해야 한다.

먼저 pwngdb를 통해 분석해 보자.

   0x0000000000401156 <+0>:	push   rbp
   0x0000000000401157 <+1>:	mov    rbp,rsp
   0x000000000040115a <+4>:	sub    rsp,0x60
   0x000000000040115e <+8>:	mov    DWORD PTR [rbp-0x54],edi
   0x0000000000401161 <+11>:	mov    QWORD PTR [rbp-0x60],rsi
   0x0000000000401165 <+15>:	cmp    DWORD PTR [rbp-0x54],0x1
   0x0000000000401169 <+19>:	jne    0x401184 <main+46>
   0x000000000040116b <+21>:	lea    rax,[rip+0xe96]        # 0x402008
   0x0000000000401172 <+28>:	mov    rsi,rax
   0x0000000000401175 <+31>:	mov    edi,0x1
   0x000000000040117a <+36>:	mov    eax,0x0
   0x000000000040117f <+41>:	call   0x401050 <errx@plt>
   0x0000000000401184 <+46>:	mov    DWORD PTR [rbp-0x4],0x0
   0x000000000040118b <+53>:	mov    rax,QWORD PTR [rbp-0x60]
   0x000000000040118f <+57>:	add    rax,0x8
   0x0000000000401193 <+61>:	mov    rdx,QWORD PTR [rax]
   0x0000000000401196 <+64>:	lea    rax,[rbp-0x50]
   0x000000000040119a <+68>:	mov    rsi,rdx
   0x000000000040119d <+71>:	mov    rdi,rax
   0x00000000004011a0 <+74>:	call   0x401030 <strcpy@plt>
   0x00000000004011a5 <+79>:	mov    eax,DWORD PTR [rbp-0x4]
   0x00000000004011a8 <+82>:	cmp    eax,0x61626364
   0x00000000004011ad <+87>:	jne    0x4011c0 <main+106>
   0x00000000004011af <+89>:	lea    rax,[rip+0xe72]        # 0x402028
   0x00000000004011b6 <+96>:	mov    rdi,rax
   0x00000000004011b9 <+99>:	call   0x401040 <puts@plt>
   0x00000000004011be <+104>:	jmp    0x4011d9 <main+131>
   0x00000000004011c0 <+106>:	mov    eax,DWORD PTR [rbp-0x4]
   0x00000000004011c3 <+109>:	mov    esi,eax
   0x00000000004011c5 <+111>:	lea    rax,[rip+0xe93]        # 0x40205f
   0x00000000004011cc <+118>:	mov    rdi,rax
   0x00000000004011cf <+121>:	mov    eax,0x0
   0x00000000004011d4 <+126>:	call   0x401060 <printf@plt>
   0x00000000004011d9 <+131>:	mov    eax,0x0
   0x00000000004011de <+136>:	leave  
   0x00000000004011df <+137>:	ret