[LOB]01 GREMLIN

gremlin

+) sfp, ebp 개념 혼동하여 작성함. 나중에 수정할 수도 있고

기본적인 설정을 마치고 문제를 풀어보기로 했다.

login : gate / password : gate로 접속할 수 있다.


접속하면 gremlin.c와 그 실행파일이 있다.

gremlin.c의 내용을 확인할 수 있다.

이제 한 번 문제를 해결해보자.

gremlin을 실행시키면 권한이 허용되지 않았다는 말과 함께 실행되지 않는다.
root 권한으로 실행하면 문제가 없다고 한다(출처)
권한을 다시 설정할 필요가 있다.

tmp 디렉터리를 만들어 gremlin을 새로 생성했다. 이제 파일은 내 소유이므로 실행가능하다.

여기는 c 코드가 있어 확인할 필요는 없는데 어셈블리어에 익숙해질 겸 한 번 해보았다.

어셈블리 코드

push %ebp	%ebp를 push한다.(%ebp = main함수의 sfp)
mov %esp, %ebp	%esp값을 %ebp에 복사한다.(main함수의 %ebp 고정)
~함수 프롤로그 끝~
sub $0x100, %esp	%esp - 0x100 (buffer를 256바이트 늘린다)
cmpl $0x1, 0x8(%ebp)	(%ebp+8 - $0x1) 하고 ZF, SF 에 저장한다.(%ebp+8 = argc)
jg 0x8048456 <main+38>	ZF == 0 && SF == OF 이면 해당 주소로 점프한다 ([각주:1]cmpl에서 우항의 값이 크면 점프한다)
main+15 ~ main+41	if문의 내용이므로 생략한다. 스택을 확장시키고 함수 실행이 끝나면 원래대로 복구한다.
~if문 끝~
mov (%eax), %edx	%eax 값을 %edx에 넣는다.
push %edx	%edx 값을 push한다.
lea 0xfffff00 (%ebp), %eax	(%ebp-256)인 주소 값을 %eax에 넣는다. (%ebp-256바이트 = buffer의 시작부분)
push %eax	%eax를 push한다.
call 0x8048370 <strcpy&rt;	strcpy 명령어를 실행한다.
add $0x8, %esp	%esp += 8 (strcpy을 위해 확장시킨 stack을 복구한다)
~strcpy 끝~
lea 0xfffff00 (%ebp), %eax	(%ebp-256)인 주소 값을 %eax에 넣는다.
push %eax	%eax를 push한다.
push 0x80484ec	0x80484ec를 push한다.
call 0x58350	printf 명령어를 실행한다.
add $0x8, %esp	%esp += 8 (strcpy을 위해 확장시킨 stack을 복구한다)
~printf 끝~
leave	mov %ebp, %esp pop %ebp
ret	pop %eip의 역할을 한다. (실제로 %eip를 조작할 수 없음)
~함수 에필로그 끝~

strcpy 실행 후를 bp(break point)를 잡고 260개(buf 256+sfp 4)의 "A"를 매개변수로 주어 실행해보자.


bp에 걸릴 때(strcpy명령어가 끝난 후), 스택은 이런 식으로 구성된다.(left : high value, right : low value)

...(환경변수)

argv[1]

argv[0]

argv[0]

argc

ret

sfp

(현재 %ebp 위치)

buffer(256byte)

(현재 %esp 위치)

strcpy는 매개변수로 받은 값을 buffer에 저장하는데 256byte를 초과할 경우 위의 메모리(sfp, ret 등)을 차례로 침범한다.

메모리에 "A"가 채워진 것을 확인할 수 있다.


쉘코드를 삽입한다. nop을 앞뒤로 채워 정확한 ret 값을 몰라도 쉘코드를 실행할 수 있도록 한다. nop과 쉘코드를 합쳐 260바이트를 만들고 뒤에 ret 값으로 적당한 값("A"로 채워진 메모리의 주소)을 넣어준다.


확인해보면 쉘을 획득했음을 확인할 수 있다.

비밀번호는 다음과 같음을 알 수 있다.

끝
아직 해결 못한 문제
- 어셈블리 코드에서 cmpl $0x1, 0x8(%ebp) 인 이유
A. cmp1는 (%ebp-0x8) - $0x1을 비교한다.(intel 방식) 왼쪽이 더 크면(즉 argc > 1이면) jg(jump greate)가 수행되어 if절의 내용을 건너뛴다.
하지만 argc<=1 즉 argc<2이면 jp가 수행되지 않아 if절의 내용을 수행한다.

1. 위의 코드는 AT&T 방식으로 작성되어 인터넷에서 흔히 볼 수 있는 intel 방식과는 반대로 작성되었다. [본문으로]