티스토리

세계 최강 지존 해커

검색하기

블로그 홈

세계 최강 지존 해커

rls1004.tistory.com/m

rls1004 님의 블로그입니다.

구독자: 0

방명록 방문하기

주요 글 목록

[2017 POX CTF 예선] simpleArch write-up simpleArch (Reversing) write-up simpleArch-v1이라는 바이너리를 다운 받을 수 있고, 이 바이너리는 s390x 라는 아키텍쳐를 사용한다.힌드로 simpleArch-v2라는 바이너리가 올라왔는데 이 바이너리는 64bit powerpc 바이너리이다. qemu를 이용해서 simpleArch-v2를 분석했다. 분석에 들어가기 앞서.. apt-get install -y gcc-multilib-powerpc64-linux-gnu apt-get install qemu-user-static apt-get install qemu-ppc64-static qemu와 위의 것들을 설치해주고, qemu-ppc64 -g 12345 /usr/powerpc64-linux-gnu/lib/ld-2.23.. 공감수 0 댓글수 0 2017. 10. 26.
FOE 퍼저, 모바일에서 사용하기 (Android) Failure Observation Engine (FOE) 퍼저?CERT에서 만든 바이너리 퍼징 도구.파일을 여러가지 기법으로 변조하여 응용프로그램으로 실행하고 크래쉬 발생 시 이를 수집한다.또한 windbg와 msec 모듈을 사용하여 크래쉬에 대한 EXPLOITABLE, PROBABLY EXPLOITABLE, .. 등 공격 가능성에 대해 분류해준다.최신 버전은 BFF (Basic Fuzzing Framework) 와 FOE 퍼저가 합쳐져서 유용한 크래쉬에 대한 순위도 매겨진다.https://www.cert.org/vulnerability-analysis/tools/foe.cfm? 이 퍼저를 이용해서 Windows 환경에서 퍼징을 돌려서 몇몇 취약점을 찾아냈었는데 안드로이드 앱에서 취약점을 찾고 싶어서 .. 공감수 0 댓글수 0 2017. 6. 14.
[DEF CON CTF Qual 2017] beatmeonthedl write-up 카테고리 BABY’S FIRST 풀이서버에 접속하면 username와 Pass를 입력 받는다. 알맞은 계정을 입력하면 다섯 개의 메뉴를 사용할 수 있다. login 함수를 보면 checkuser 함수와 checkpass 함수로 계정을 검사하는 것을 볼 수 있다. 각각의 함수로 들어가면 입력 값을 어떤 값과 비교하는 것을 볼 수 있는데 확인한 결과 username은 mcfly, pass는 awesnap이다.이 계정을 이용하여 메뉴에 접근할 수 있다. 1번 메뉴인 Request Exploit 은 add_request 함수로 연결된다.56 bytes 만큼을 malloc 해서 reqlist 라는 전역 변수 배열에 할당된 순서대로 포인터를 저장한다. 그 후 힙 영역에 쓸 text를 0x80 bytes 만큼 입력 .. 공감수 0 댓글수 0 2017. 5. 4.
[2017 Plaid CTF] Echo (200pts) write-up 카테고리 Web (132 solved) 풀이 웹 사이트와 app.py 파일이 주어진다. 웹 사이트에서는 네 개의 입력 칸이 있고 submit 버튼을 누르면 입력한 문자열을 읽어주는 .wav 파일이 생성된다. app.py 를 보면, 입력할 수 있는 tweet의 최대 개수(MAX_TWEETS)는 4개이고 하나의 tweet당 입력할 수 있는 문자의 최대 길이는 140이다. 취약점 `ls` 를 입력하면 ls 명령어가 실행되어 그 결과가 음성 파일로 만들어진다. 커맨드 인젝션이 가능하다. 이제 플래그가 있는 파일을 찾아야한다. find 명령어를 사용해서 flag 파일의 경로를 찾을 수 있다. 하지만 음성을 알아듣기 어려운데, app.py 파일에서 docker_cmd 변수를 보면 -v 옵션으로 컨테이너에서 사용할 .. 공감수 0 댓글수 0 2017. 4. 24.
[2016 POX CTF final] sombra1 (100) write-up 카테고리 sombra 문제 TEMPORAL 버튼을 클릭하면 php 파일 두 개가 다운받아진다. 파일에는 로그인에 쓰이는 아이디와 패스워드가 들어있는데 패스워드는 암호화되어 있고 암호화 과정은 다음과 같다. 패스워드를 복호화하여 입력하면 된다. 복호화 코드는 encrypt를 반대 순서로 따라가면서 짜면 되고 str_rot의 경우 salt 를 음수로 바꿔주면 된다. Code 공감수 0 댓글수 0 2016. 11. 12.
[2016 POX CTF final] sombra2 (300) wirte-up 카테고리 sombra 문제 TEMPORAL 버튼을 누르면 php 파일 두개와db.sql이 다운받아진다. 소스를 확인해보면 아이디와 패스워드 값이 모두 노출되어 있다. 하지만 "gportero" 라는 아이디로 로그인하려고 보면 해당 아이디가 block되어 로그인이 불가능하다. 또한 addslashes를 사용하여 인젝션을 방지하고 있다. 처음엔 addslashes를 우회해야 된다고 생각하여 0xbf, 0xaa등을 시도했는데 euc-kr을 utf-8로 변환하는 코드가 있어야 가능한 방법이기 때문에 우회가 되지 않았다. 그 다음으로 본 것은 trim 함수다. trim은 문자열의 공백을 제거해주는 함수인데 스페이스바, 탭, 개행 문자, 캐리지 리턴, 널 등을 제거한다. trim으로 제거되지 않는 백스페이스(0x0.. 공감수 0 댓글수 0 2016. 11. 12.
[2016 POX CTF final] keygen (100) write-up 카테고리 reversing 문제 keygenme.exe 파일이 주어지는데 해당 파일에서는 Name과 Serial 값을 입력 받아 매치되는지 확인한다. 이때 Name값을 이용하여 Serial 값을 생성하는데 Serial 값이 "SpuLhNlYlcVsbApvU"와 매치되는 Name값을 찾는 문제다. ida로 바이너리를 열어보면 Name으로 Serial을 계산하는 부분을 쉽게 찾을 수 있다. (sub_401080) v1은 5로, 항상 값이 일정하다. 5-71 = -66, 5-39 = -34 이고 각각에 97과 65를 더하면 둘 다 31이 된다. 알파벳을 31번 rotate 하고 있는 것이고, 알파벳은 26개이기 때문에 5번 rotate하는 것과 같다. Serial로부터 Name을 계산하려면 19(26-5)번 .. 공감수 0 댓글수 0 2016. 11. 12.
[2016 POX CTF final] watch out (150) write-up 카테고리 analysis 문제 압축 파일이 주어진다. 압축을 두 번 해제하면 malscript 라는 폴더에 다섯개의 vbscript 파일이 있는 것을 볼 수 있다. 이 파일들을 모두 분석하여 key url을 찾아야 한다. 파일은 위와 같은 형태로 난독화 되어 있다. 주석을 제거하고, 각각의 변수들을 문자로 치환하는 과정을 거쳐 난독화를 어느정도 해제했다. 이때 제일 처음 등장하는 function(위 파일에서는 AXSZWYG)이 첫 번째 인자의 문자열에 대한 decode를 수행하고 있다. 해당 함수가 호출되는 부분을 찾아 첫 번째 인자와 두번째 인자를 구해 난독화를 한 번 더 해제하면 사이트의 url들이 나타난다. 다섯개의 파일들을 분석한 결과, 다섯번 째 파일에서 key url을 찾을 수 있었다. Cod.. 공감수 0 댓글수 0 2016. 11. 12.
[2016 POX CTF final] xorxor (200) write-up 카테고리 matrix 문제 32 bit elf 바이너리가 주어진다. 이 바이너리는 code.txt를 해석하여 인스트럭션들을 실행한다. 인스트럭션을 호출하는 부분은 위 그림 중 22번 째 줄 부분이다. 여기서 instruction_table 배열에는 mov, add, sub, xor, cmp, jmp, je, jne, jl, jg, call, ret, push, pop, syscall 이 순서대로 있고, 각각의 함수들은 바이너리 내부에 구현되어 있다. 예를 들어서 coce.txt의 첫 번째 바이트가 0x0c 라면, 열 두 번째 함수인 push가 실행된다. 다음 실행할 인스트럭션은 세 번째 바이트의 값 + 3 만큼 건너뛴 위치가 된다. 만약 방금 실행한 인스트럭션이 pc 값을 변경할 만한 함수(jmp, re.. 공감수 0 댓글수 0 2016. 11. 12.
[2016 layer7 CTF] UP AND UP !! write-up 카테고리 PWNABLE 문제 main() passcode.txt를 읽은 값과 사용자의 입력 값이 같아야 sub_8048756 함수를 호출 할 수 있다. passcode.txt를 읽은 값은 s2, 사용자의 입력 값은 s1에 들어가는데 0x28 바이트 크기의 s1에 0x50 바이트의 입력을 넣을 수 있어 s2로 overflow가 발생한다. Overflow를 이용하여 s2의 값을 조작할 수 있으므로 passcode.txt를 몰라도 우회가 가능하다. sub_8048756() sub_8048756 함수로 들어오면 네 가지 메뉴가 있다. echo는 입력한 문자열을 출력해주고, man은 메뉴를 출력해주고, exit는 프로그램을 종료한다. 여기서 중요한 건 root_auth 메뉴이다. s = &v4 root_auth .. 공감수 0 댓글수 0 2016. 11. 4.
asdf 공감수 0 댓글수 0 2016. 9. 14.
[WhiteHat Contest 12] Pwn001 write-up 카테고리 Pwnable Team having solved this 27, Point 200 문제 32 bit elf 바이너리 사용자 정보를 등록하고, 수정하고, 볼 수 있는 프로그램이다. 1번 메뉴를 선택했을 때 불리는 creatAcc 함수의 내용이다. Name, phone number, balance 를 입력 받는다. 이때, Name과 phone number는 문자열, balance는 숫자로 입력 받고, account의 개수가 maxAcc(0xA)를 넘으면 생성할 수 없다. account ID는 생성한 순서대로 1부터 시작한다. 수정시에는 이 account ID를 이용하여 수정할 account를 선택하고 해당 account의 phone number를 수정할 수 있다. 여기에는 gets함수를 통해 입력 .. 공감수 0 댓글수 2 2016. 9. 11.
[WhiteHat Contest 12] Misc002 write-up 카테고리 Miscellaneous Team having solved this 12, Point 300 문제 key 라는 gif 파일과 13개의 PNG들이 주어졌다. key라는 gif 파일에는 각 아이콘들의 동작 과정이 나타나있는데, 13개의 PNG 파일에 있는 아이콘들을 보고 7개의 전구 중 어떤 전구들에 불이 들어오는지를 보고 이를 7개의 비트로 나타내면 하나의 글자가 나온다. 이렇게 총 13개의 글자를 알아내어 SHA1로 암호화하면 그 값이 flag이다. 첫 번째 PNG 파일의 결과는 위와 같다. 전원이 들어오면 하얀 박스 같이 생긴 것에 불이 들어오고, 물이 끓어 수증기가 되어 위로 올라간다. 체중계(?)처럼 생긴 것과 수증기가 만나면 전원이 공급되어 전구에 불이 켜진다. 1010100 : T 두 .. 공감수 0 댓글수 1 2016. 9. 11.
[2016 Layer7 CTF] ECHO_SYSTEM write-up 카테고리 PWNABLE 문제 32 bit elf 바이너리인 echo_system 파일이 주어졌다. IDA로 열어보자. buf 변수는 ebp-0x88 에 위치하고 있지만 read 함수를 통해 최대 0xC8 바이트의 입력 값을 넣을 수 있다. buf 변수를 그대로 출력하고 있으므로 FSB!! 가 일어날 것 같았지만 자세히 보니 printf함수가 아니라 print라는 사용자 정의 함수였고, 내부적으로 write 함수를 통해 출력하고 있어 FSB는 일어나지 않는다. 또한 친절하게도 프로그램의 내부에 cat_flag라는, flag를 출력시켜주는 함수가 존재한다! 너무 쉬운 거 아닌가… BOF가 발생하므로 이를 이용해 RET를 cat_flag 함수의 주소로 변조하면 된다!! 라고 생각했지만 그렇게 간단한 문제는 아.. 공감수 0 댓글수 0 2016. 9. 6.
[2016 Layer7 CTF] EASY UAF write-up 카테고리 PWNABLE 문제 32 bit elf 바이너리인 easy_uaf 파일이 주어졌다. 변수 선언 시점에 5개의 변수에 각각 malloc이 이루어진다. 이 중 세 번째 할당된 ptr에는 flag의 값이 기록된다. 그 후에는 while(1) 을 통해 메뉴가 반복되는데, hi write delete print exit 총 5개의 메뉴가 있다. 1번 메뉴인 hi는 "hi~ easy uaf, layer7"이 출력된다. 쓸모 없는 메뉴이다. 2번 메뉴인 write는 초기에 malloc해놓은 5개의 영역에 글을 쓸 수 있는 메뉴이다. "what ? > "이라는 물음이 나왔을 때 1을 입력하면 buf에, 2를 입력하면 s에, 3을 입력하면 ptr에, … 등등 선택 가능하다. 또한 주목할 점은, 할당된 공간이 0.. 공감수 0 댓글수 3 2016. 9. 6.
[2016 Layer7 CTF] EASY FSB write-up 카테고리 PWNABLE 문제 32bit elf 바이너리인 easy_fsb_ 파일이 주어졌다. IDA로 열어봤다. 지역변수인 buf에 100 바이트만큼의 입력을 받고 이 변수를 printf로 바로 출력하는 간단한 프로그램이다. 버퍼 오버플로우는 존재하지 않으며, printf가 변수를 포맷 없이 출력하고 있으므로, 변수에 "%x"등을 입력할 경우 이것을 문자열이 아닌 포맷 스트링으로 인식하는 Format String Bug가 발생한다. "AAAA%x%x%x%x%x%x%x"를 입력할 경우, 스택의 값들이 출력되는데 이때 일곱 번째 %x에서 "AAAA"에 해당하는 값인 "41414141"이 출력된 것을 확인할 수 있다. 이 위치가 입력 데이터가 들어가는 변수인 buf의 시작 지점이다. printf에 사용되는 포.. 공감수 0 댓글수 0 2016. 9. 6.
[2016 Layer7 CTF] SANITY CHECK write-up 카테고리 REVERSING 문제 welcome 이라는 64 bit 바이너리가 주어졌다. Mac에서 실행할 수 있는 파일(Mach-O) 인데 일단 IDA로 열어봤다. v6의 값들과 v7의 값들을 XOR 연산한 결과가 "WelcomeToLayer7CTF"와 같다면 "Congratulation!\n"이라는 문자열이 출력된다. v6의 값이 무엇이어야 하는지를 맞춰야 하는 것 같다. XOR 연산의 특성상 A ^ B = C C ^ B = A 이므로 "WelcomeToLayer7CTF"와 v7의 값들(v7부터 v9까지 총 18바이트)을 XOR 연산하면 v6의 값이 나온다. a = "0415062c07083501" a += "55040b2006090c60" a += "1B3C" b = "WelcomeToLayer7CT.. 공감수 0 댓글수 0 2016. 9. 6.
[2016 Layer7 CTF] LOGIN WITH ADMIN ! write-up 카테고리 WEB 문제 "admin"으로 로그인해야 하는 문제이다. "asdf"로 아이디를 만들어서 로그인해보면 쿠키에 "VlVaa01GSXhXWGRQVkVKcFZtMVNNVlJXV2xOVlVUMDk%3D" 라는 값이 저장되어 있다. %3D는 '='에 해당하는 아스키코드이므로 base64 암호화로 추측하고 디코딩을 시도했다. VlVaa01GSXhXWGRQVkVKcFZtMVNNVlJXV2xOVlVUMDk= VUZkMFIxWXdPVEJpVm1SMVRWWlNVUT09 UFd0R1YwOTBiVmR1TVZSUQ== PWtGV090bVduMVRQ =kFWOtmWn1TP base64에서 '='이라는 문자는 패딩을 위해 넣는 것으로 알고 있는데 디코딩을 반복하다보니 이 문자가 제일 첫 번째에 나타났다. 문자열이 거꾸로 .. 공감수 0 댓글수 0 2016. 9. 6.
[2016 Layer7 CTF] EASY CRYPTO write-up 카테고리 CRYPTO 문제 bhwc{~~} 위 형태로 생긴 문자열이 주어져있다. bhwc를 오른쪽으로 5만큼 이동하면 flag라는 문자열이 된다. 이를 이용하여 전체 문장을 5만큼 이동하면 복호화가 가능하다. 공감수 0 댓글수 1 2016. 9. 6.
[Exploit Exercises] Nebula level11 : 심심해서 시작한 Exploit Exercises!Nebula level11 About /home/flag11/flag11 바이너리는 표준 입력과 쉘 명령어를 수행한다.이 문제를 푸는 두 가지 방법이 있는데 둘 다 해봐라. Source code #include #include #include #include #include #include #include /* * Return a random, non predictable file, and return the file descriptor for it. */ int getrand(char **path) { char *tmp; int pid; int fd; srandom(time(NULL)); tmp = getenv("TEMP"); pid = getpid();.. 공감수 0 댓글수 1 2016. 7. 5.
[Exploit Exercises] Nebula level10 : 레이스 컨디션 (race condition) 심심해서 시작한 Exploit Exercises!Nebula level10 About access() 시스템 콜의 요구사항을 만족하면 바이너리를 업로드해주는, setuid가 설정된 /home/flag10/flag10 바이너리가 있다. Source code #include #include #include #include #include #include #include #include #include int main(int argc, char **argv) { char *file; char *host; if(argc < 3) { printf("%s file host\n\tsends file to host if you have access to it\n", argv[0]); exit(1); } file = a.. 공감수 0 댓글수 0 2016. 7. 4.
[Exploit Exercises] Nebula level09 : PHP /e modifier 취약점 심심해서 시작한 Exploit Exercises!Nebula level09 About 취약한 PHP 코드에 대한 C setuid 래퍼가 있다. Source code Solve * /e modifier이 변경자를 지정하면, preg_replace()는 변경할 문자열을 PHP 코드로 처리한다. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level08 : 와이어 샤크 (WireShark) 심심해서 시작한 Exploit Exercises!Nebula level08 About 문제가 뭐라는건지 모르겠습니다 ; _ ; Source code 없음. Solve pcap 파일이 주어집니다.WireShark로 열어보면 보입니다. ASCII 코드표 참고. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level07 : 커맨드 인젝션 심심해서 시작한 Exploit Exercises!Nebula level07 About flag07 유저는 웹 서버에 접근했는지 확인하기 위해 ping을 허용하는 첫 번째 perl 프로그램을 작성했다. Source code #!/usr/bin/perl use CGI qw{param}; print "Content-type: text/html\n\n"; sub ping { $host = $_[0]; print(""); @output = `ping -c 3 $host 2>&1`; foreach $line (@output) { print "$line"; } print(""); } # check if Host set. if not, display normal page, etc ping(param("Host")); .. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level06 : 존 더 리퍼 (John The Ripper) 심심해서 시작한 Exploit Exercises!Nebula level06 About flag06의 자격증명은 기존 유니온 시스템에서 왔다. Source code 없음. Solve 옛날 유닉스 시스템에서는 실제 비밀번호를 암호화해서 /etc/passwd 에 저장했다./etc/passwd는 누구나 읽을 수 있는 파일이다.암호는 John The Ripper 를 통해 복호화할 수 있다. 지금의 시스템은 /etc/shadow 에 비밀번호를 저장한다. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level05 : 숨김 파일과 압축 해제 심심해서 시작한 Exploit Exercises!Nebula level05 About flag05의 홈 디렉토리를 확인해라.약한 디렉토리의 권한을 확인할 수 있다. Sourcec code 없음. Solve * ls 옵션 옵션 설명 -a 숨김 파일을 포함한, 경로안의 모든 파일 및 디렉토리 출력 -l 경로안의 파일 및 디렉토리의 자세한 정보 출력 -d 지정한 디렉토리의 정보 출력 -n 파일 및 디렉토리 정보 출력시 UID, GID 사용 -F 파일 형식을 알리는 문자를 각 파일 뒤에 추가 -R 하위 경로와 그 안의 모든 파일도 나열 * tar 옵션 옵션 설명 -c 파일 압축 -p 파일 권한 저장 -v 로그 출력 -f 파일 이름 지정 -C 경로 지정 -x 파일 압축 해제 -z gzip으로 압축하거나 해제 인증.. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level04 : 심볼릭 링크(Symbolic Link) 심심해서 시작한 Exploit Exercises!Nebula level04 About token 파일을 읽어야 하지만 코드가 그걸 제한하고 있다.우회할 방법을 찾아라./home/flag04 Source code #include #include #include #include #include #include int main(int argc, char **argv, char **envp) { char buf[1024]; int fd, rc; if(argc == 1) { printf("%s [file to read]\n", argv[0]); exit(EXIT_FAILURE); } if(strstr(argv[1], "token") != NULL) { printf("You may not access '%s'\n".. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level03 : crontab과 setuid 심심해서 시작한 Exploit Exercicses!Nebula level03 About /home/flag03 디렉토리에 있는 파일을 주의 깊게 살펴라.2분마다 호출되는 crontab이다. Source code 없음. Solve * crontab주기적으로 어떤 프로그램을 실행시키는데 사용된다./etc/cron 프로그램.수행되어질 프로그램은 /usr/spool/cron/crontabs 디렉토리의 사용자명과 동일한 파일 #!/bin/sh for i in /home/flag03/writable.d/* ; do (ulimit -t 5; bash -x "$i") rm -f "$i" done setuid 가 설정된 파일을 만들어준다. 파일을 작성하고 crontab에 의해 실행될 때까지 기다린다. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level02 : 커맨드 인젝션 심심해서 시작한 Exploit Exercises!Nebula level02 About 취약점 찾아라./home/flag02 Source code #include #include #include #include #include int main(int argc, char **argv, char **envp) { char *buffer; gid_t gid; uid_t uid; gid = getegid(); uid = geteuid(); setresgid(gid, gid, gid); setresuid(uid, uid, uid); buffer = NULL; asprintf(&buffer, "/bin/echo %s is cool", getenv("USER")); printf("about to call system(.. 공감수 0 댓글수 0 2016. 7. 3.
[Exploit Exercises] Nebula level01 : 환경변수 심심해서 시작한 Exploit Exercises!Nebula level01 About 다음 프로그램의 취약점을 찾으세요./home/flag01 에 있습니다. Source code #include #include #include #include #include int main(int argc, char **argv, char **envp) { gid_t gid; uid_t uid; gid = getegid(); uid = geteuid(); setresgid(gid, gid, gid); setresuid(uid, uid, uid); system("/usr/bin/env echo and now what?"); } Solve 이 바이너리는 flag01의 소유이며 setuid 비트가 설정되어 있다.소스코드의 내.. 공감수 0 댓글수 0 2016. 7. 3.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.