[Exploit Exercises] Nebula level10 : 레이스 컨디션 (race condition)

심심해서 시작한 Exploit Exercises!

Nebula level10

About

access() 시스템 콜의 요구사항을 만족하면 바이너리를 업로드해주는, setuid가 설정된 /home/flag10/flag10 바이너리가 있다. 

Source code

#include <stdlib.h> #include <unistd.h> #include <sys/types.h> #include <stdio.h> #include <fcntl.h> #include <errno.h> #include <sys/socket.h> #include <netinet/in.h> #include <string.h> int main(int argc, char **argv) { char *file; char *host; if(argc < 3) { printf("%s file host\n\tsends file to host if you have access to it\n", argv[0]); exit(1); } file = argv[1]; host = argv[2]; if(access(argv[1], R_OK) == 0) { int fd; int ffd; int rc; struct sockaddr_in sin; char buffer[4096]; printf("Connecting to %s:18211 .. ", host); fflush(stdout); fd = socket(AF_INET, SOCK_STREAM, 0); memset(&sin, 0, sizeof(struct sockaddr_in)); sin.sin_family = AF_INET; sin.sin_addr.s_addr = inet_addr(host); sin.sin_port = htons(18211); if(connect(fd, (void *)&sin, sizeof(struct sockaddr_in)) == -1) { printf("Unable to connect to host %s\n", host); exit(EXIT_FAILURE); } #define HITHERE ".oO Oo.\n" if(write(fd, HITHERE, strlen(HITHERE)) == -1) { printf("Unable to write banner to host %s\n", host); exit(EXIT_FAILURE); } #undef HITHERE printf("Connected!\nSending file .. "); fflush(stdout); ffd = open(file, O_RDONLY); if(ffd == -1) { printf("Damn. Unable to open file\n"); exit(EXIT_FAILURE); } rc = read(ffd, buffer, sizeof(buffer)); if(rc == -1) { printf("Unable to read from file: %s\n", strerror(errno)); exit(EXIT_FAILURE); } write(fd, buffer, rc); printf("wrote file!\n"); } else { printf("You don't have access to %s\n", file); } }

Solve

access() 시스템 콜로 파일에 대한 권한을 검사한다.

하지만 파일을 여는 것은 그 이후에 이루어진다. (54줄)

레이스 컨디션을 이용하여 access() 시스템 콜 호출 후 파일을 바꿔치기한다.

* 레이스 컨디션 (race condition)

한정된 자원을 이용하려는 여러 프로세스가 서로 경쟁을 벌이는 상황을 말한다.

여러개의 프로세스가 동시에 실행된다면, 결과 값이 달라질 수 있다.