티스토리

rosieblue
검색하기

블로그 홈

rosieblue

hannahsecurity.tistory.com/m

pwnable 20230317~ing

구독자
5
방명록 방문하기

주요 글 목록

  • 리눅스는 디렉토리를 어떻게 일반 파일이 아니라 디렉토리라고 인식하는걸까? 사실 디렉토리 안에 파일들 이름들 저장되어있으니까(UNIX 파일시스템 기준), 실제로 디렉토리 안의 contents을 읽어보고 싶어졌다. (ls 말고...) 그런데 cat이나 xxd등의 일반 읽기 명령어로 읽으려고 하면 계속 ~~is directory가 뜨고 안됐다ㅜㅜ(참고로 vi로는 읽을 수 있었는데 얘가 디스크에 있는 ㄹㅇ 찐 컨텐츠 자체를 읽는건 아닌듯 근데 암튼 이것도 신기하긴 했음) 그래서 찾아봤더니, inode에 파일의 형식이 저장되어있다고 한다. 일반 파일: S_IFREG (0100000)디렉토리: S_IFDIR (0040000)심볼릭 링크: S_IFLNK (0120000)문자 장치 파일: S_IFCHR (0020000)블록 장치 파일: S_IFBLK (0060000)파이프(명명된 FIFO).. 공감수 0 댓글수 0 2024. 6. 10.
  • [꿀팁] 윈도우 파일 파일시스템을 윈도우 터미널이 아닌 리눅스 터미널로 실행하기 wsl 당연히 알겠지만, wsl을 이렇게 쓸 수 있는지는 나도 방금 처음 알았다.지금까지 wsl를 쓰면 그냥 우리의 호스트 컴퓨터랑 와안전히 분리된 가상의 환경이라고 생각했는데 그게 아니었다..  참고로 위는 /dev/sdc가 /와 /mnt/wslg/distro에 마운트되어있다는 이야기임ㅇㅇ 파일시스템 공부하다가 내 파일시스템이 뭔지 궁금해서 mount | grep ^/dev 를 써서 마운트된 fs들을 다 찍어보았다근데 저러면 위처럼 /dev로 시작하는 애들만 나와서 그냥 grep 주지말고 그냥 mount만 진행했는데 엄청 길게 막 나오고 맨 아래에 밑 화면이 찍혔다... 그런데 보니까 윈도우에서 우리가 사용하는 C,D drive였음ㅇㅇ..   그래서 궁금해서 /mnt/c로 가봤다... 근데 ㄹㅇ 이 디.. 공감수 1 댓글수 0 2024. 6. 10.
  • [LLVM Tutorial] LLVM 시작하기 간단한 LLVM 실습을 해보겠다. 1. 일단 간단한 C 파일을 작성한다.#include int main() { printf("hello world\n"); return 0;}  2. clang으로 hello.c를 컴파일한다. clang hello.c -o hello  3. clang으로 LLVM bitcode 파일을 하나 생성한다.clang -O3 -emit-llvm hello.c -c -o hello.bc여기서-emit-llvm 옵션은 -S와 -c 옵션을 통해 각각 .ll, .bc 파일을 생성한다  참고로 -c 옵션을 주었을 때는 아래처럼 아예 인간이 알아볼 수 없는 형태가 되지만,    -S 옵션을 주면 아래처럼 clang은 인간이 읽을 수 어셈블리를 반환한다. 따라서 엄밀히 말해서는 비트코드가 .. 공감수 0 댓글수 1 2024. 6. 2.
  • [Django] createsuperuser 안 될 때 계속 user_user 테이블이 없다고 난리치던데, 보니까 DB가 충돌나서 그런 거였다.이런 경우 각 앱의 migration 안의 0001_initial.py 이런 것들 다 지우고(단 __init__.py는 지우면 안됨!) 다시 마이그레이션 해줘야한다그리고 만약 __init__.py가 없으면 얘도 그냥 생성해줘야한다(차피 빈 파일이라 그냥 이름만 저런 빈 파일 만들면 됨ㅇㅇ) 암튼 이러고 하면 잘 된다............. 공감수 0 댓글수 0 2024. 5. 24.
  • Software-Based Fault Isolation (쓰는중..) 요즘 갑자기 읽어야하는 논문들이 SFI 관련이어서, 베이스 지식을 좀 다지려고 따로 정리한다. (3일만에 논문 4개는 너무해요) https://www.cse.psu.edu/~gxt29/papers/sfi-final.pdf   Introduction컴퓨터 시스템을 보호하기 위해서는 여러개의 'protection domain'을 가져야한다.예를 들어 Kernel mode에서는 low한 작업을 한 권한이 있지만 user mode에는 해당 권한이 없는 것처럼!시스템의 신뢰되지 않은 요소들을(untrusted components) 혹은 신뢰가 필요한 요소들을 따로 고립하는 건 매우매우 자연스럽다.시스템의 untrusted components를 별도의 protection domain에서 관리하여 최소한의 권한을 부.. 공감수 1 댓글수 1 2024. 5. 17.
  • Interprocedural Analysis & Alias Analysis (Pointer Analysis) (작성중) Interpocedural Analysis    f(x)를 저렇게 선언하는 대신, main에서 y=x*42를 한다음 f(x) 대신에 y를 넣으면 더 낫지 않을까?    Open vs Closed world-> 이 둘을 구분하는 것은 볼 수 있는 코드의 영역 차이이다.- open world assumption: 다른 숨겨진 코드들이 있다고 가정- closed world assumption:모든 코드를 볼 수 있음 위 그림에서 closed world assumption 상황이라면 h를 지워도 된다. 왜냐하면 아무도 h를 calling하지 않으니까! 하지만 open world의 경우 i처럼 다른 함수가 h를 부르고 있을 수도 있으므로 h를 지우면 안 된다. Why open world assumption?- m.. 공감수 0 댓글수 0 2024. 5. 11.
  • core file 분석 (수정중) 일단 아래 명령어를 실행해서 core 파일의 크기 제한을 없앤다. ulimit -c unlimited 코어 파일 생성 위치 보통은 프로세스 있는 디렉토리에 생성된다 하지만 나는 커멘드를 실행했을 때 커멘드가 죽는 경우여서 ㅎ... /proc/sys/kernel/core_pattern을 읽어보면 corefile이 어떤 규칙으로 생성되는지 알 수 있다 odroid@odroid:/var/lib/systemd/coredump$ cat /proc/sys/kernel/core_pattern |/usr/share/apport/apport -p%p -s%s -c%c -d%d -P%P -u%u -g%g -- %E 코어파일 생성 따로 안하고 그냥 stdin 인풋으로 코어 내용을 apport에 전달하는 것 같다 이거 수정가.. 공감수 0 댓글수 0 2024. 4. 13.
  • 리눅스에서 하드웨어 정보 확인하는 방법 cat /proc/cpuinfo odroid@odroid:~$ cat /proc/cpuinfo processor : 0 BogoMIPS : 48.00 Features : fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp CPU implementer : 0x41 CPU architecture: 8 CPU variant : 0x1 CPU part : 0xd05 CPU revision : 0 lscpu haeun@DESKTOP-8NK4D08:~$ lscpu Architecture: x86_64 CPU op-mode(s): 32-bit, 64-bit Byte Order: Little Endian Address sizes: 39 bits physic.. 공감수 0 댓글수 0 2024. 4. 13.
  • [OS/System Programming] pthread (1) 노션에 정리하려다가 그냥 블로그에 정리한다.. 갑자기 이걸 하는 이유는 랩에서 나한테 하라고 하신 일이 스레드 관련이어서 먼저 프로그래밍하는 것좀 제대로 알아보고 일을 하려고 한다.. 참고로 pthread관련 처리를 할 때, 'undefined reference to `pthread_create' 이런 오류가 날 수도 있는데, 이걸 해결하려면 컴파일 할 때 아래처럼 -lpthread 옵션을 추가해주어야한다! gcc -o pthread pthread.c -lpthread pthread_create 함수 int pthread_create(pthread_t *thread, const pthread_attr_t *attr, void *(*start_routine)(void *), void *arg); /* 첫번.. 공감수 1 댓글수 0 2024. 3. 31.
  • [ARM] ARM Register / Processor Mode 블로그 안 쓴지도 오래됐고 요즘 ARM 공부하고 있어서 정리하려고 한다. 맨날 인텔 기반만 공부하다가 요즘 ARM을 거의 처음 공부해보는데 재미있는 것 같다. 사실 예전에 RISC 기반의 비슷한 MIPS를 대충 공부하기는 했는데 진짜 대충해서.. 다시 공부해야겠다ㅠㅠ 참고로 ARM 공부하기에는 아래 ARM 공식 Docs가 가장 좋은 것 같다ㅎㅎ MTE도 여기서 설명 잘 되어 있었당 Documentation – Arm Developer developer.arm.com  Processor ModeRegister를 알아보기 전에 먼저 프로세서 모드에 대해서 알아보자이 모드는 현재 프로세서가 어떤 상태에 있는지를 알려주고, 해당 정보는 CPSR라는 특수 레지스터 내에 저장되게된다. 프로세서 모드는 아래와 같다 .. 공감수 0 댓글수 0 2024. 3. 20.
  • [ARM] MTE (Memory Tagging Extension) MTE 일단 MTE는 메모리 자체를 '태깅'하는 기법이다. 그렇다면 태깅이라는게 정확하게 뭘까? Address Tag (Key) : 4bit로 되어있고, virtual address의 상위 비트에 저장된다! 상위 비트에 저장될 수 있는 이유는, AArch64의 TBI(Top-Byte-Ignore' 특징 때문이다 Memory Tag (Lock) : 똑같이 4bit로 구성되어있고, memory storage에 저장된다. 물리 메모리 공간에서 16byte로 정렬된 모든 region에 링크되어있다! 참고) TBI가 활성화되면 virtual address의 top byte는 주소 해석에서 무시된다! 그래서 top byte를 metadata를 저장하는데 쓸 수 있는 것이다 일단 이렇게 '태깅된'메모리에 접근/저장하.. 공감수 2 댓글수 0 2024. 2. 26.
  • angr tutorial 1 보호되어 있는 글입니다. 공감수 0 댓글수 0 2024. 2. 6.
  • [GDB] stripped binary 분석하는 법 stripped binary는 심볼 정보가 없어서 gdb등으로 분석하기 어렵다. 이걸 해결하는 방법을 가져왔다! 일단 맨 처음에 start 말고 run으로 돌려준다. 한번 run을 하면, 이제 심볼 테이블이 로드된다. 참고로 start하면 이 모양난다ㅠㅠ 그러니까 run으로 돌려주자 이제 아래처럼 __libc_start_call_main에 bp를 걸어준다. 여기서 주의할 것은 b __libc_start_call_main로 해줘야한다는 것! b* __libc_start_call_main로 하면 왜그런진 모르겠는데 안된다ㅠㅠ 아래는 b*~~로 해준 모습이다ㅠㅠ 아무튼 *를 안 붙힌 상태로 bp를 걸고 run을 해주면 아래처럼 잘 멈춘다 그림을 보면 이제 아래 main함수의 주소가 있다. 여기서는 0x5555.. 공감수 1 댓글수 0 2024. 2. 3.
  • strace 명령어 seccomp 실습하다가 계속 syscall이 죽어서 고생하던 도중 strace이라는 명령어를 알게되었는데 꽤나 유용하다 아래처럼 pid를 붙여주면 syscall 명령어를 trace해준다 아직도 왜... 예제 파일이 안먹히는지 모르겠다 제발 알려주실분 뭔가 커널 설정을 따로 해야하는 것 같은데(내 추측) 아니말고..... 공감수 0 댓글수 0 2024. 1. 9.
  • [HackTheBox] SickROP SROP 기법을 오랜만에 복습하고 싶어서 이렇게 블로그에 SROP 풀이 방법을 정리하고자 한다. 이 문제는 SROP에 대해서 제대로 익힐 수 있고, 그뿐만 아니라 다른 테크니컬적인 부분도 굉장히 배울 점이 많아 추천하는 문제이다. SROP에 대한 자세한 설명은 예전에 작성해놓았으니 필요하면 아래를 참고하면 된다. [Pwnable] SROP (SigRetrun Oriented Programming) [Pwnable] Exploit Tech: SigReturn-Oriented Programming 아래 포스트는 내가 적은 건 아닌데 SROP 공부하는데 도움된 포스트이다. SROP. Sigreturn-oriented programming (SROP)… | by trustie_rity | Medium 문제 분석.. 공감수 0 댓글수 1 2024. 1. 5.
  • [Pwnable] ROP 가젯 찾기 어려울 때 할 수 있는 방법들... plt 등을 알아도 인자를 넘겨주기 어려울 때 사용하면 좋을 것 같다. objdump로 찾기 예를 들어 libc 모르는 경우, PIE base 안다면(혹은 PIE가 적용되어있지 않다면) 코드 세그먼트 내에서 가젯 찾아보는 시도 가능 objdump 등으로 찾을 수 있다. 이를 사용한 문제는 아래!! (사실 내가 만든 문제다 ㅎㅎ 그런데 라업 보니까 이렇게 푸신 분들은 별로 없는듯...하다.. 그래도 이렇게 하면 무척 편리하게 풀수 있다!) https://dreamhack.io/wargame/challenges/1071 Santa House Description 산타 할아버지가 크리스마스를 맞아 드림이들을 모두 집에 초대해서 선물을 나눠주신대요! 착한 아이는 어쩌면 비밀스러운 선물을 받을 수 있을지도 몰라요.. 공감수 2 댓글수 0 2024. 1. 3.
  • [드림핵(Dreamhack)] csrf-advanced 보호되어 있는 글입니다. 공감수 0 댓글수 0 2023. 12. 27.
  • [Kernel] Mitigation : KASLR KASLR KASLR가 적용되면 커널 코드 및 데이터 부분이 임의의 주소에 배치되게 됨. KASLR는 커널 3.14버전에서 처음으로 지원하였고, 4.12버전에서부터는 디폴트로 KASLR를 적용하게 됨 KASLR 안 적용하려면 커널 명령줄에 nokaslr를 적용하면 됨 실습파일에서는 nokaslr가 그냥 적용되어있기 때문에 아래처럼 바꿔줘야한다. (수정 전) _kernel_cmdline="console=ttyS0 mitigations=off nokaslr norandmaps" (수정 후) _kernel_cmdline="console=ttyS0 mitigations=off norandmaps" 위 처럼 run.sh를 수정해서 _kernel_cmdline에서 nokaslr를 없애면 항상 kaslr가 적용된다... 공감수 1 댓글수 1 2023. 10. 14.
  • [Linux] /proc 디렉토리 /proc 리눅스에는 커널과 커널 모듈로부터 프로세스에게 정보를 전송해주기 위한 추가적인 메카니즘인 /proc 파일시스템이 있다. 원래는 프로세스 정보에 쉽게 접근할 수 있기 위해 만들어졌기 때문에 proc(process)라는 이름을 가지고 있다고 한다 프로세스 정보 대충 아무 프로세스나 실행하고 이 친구의 proc 디렉토리를 가보겠다 이렇게 여러 정보들을 담은 디렉토리가 생성이 됐다 /proc/[pid]/maps 아래처럼 메모리 매핑이 어떻게 되어있는지 보여준다 /proc/[pid]/cmdline 프로세스 인수를 담는 애다! 우리는 딱히 옵션을 주지않았기 때문에 아래처럼 출력됐다 /proc/[pid]/cwd 해당 프로세스가 실행되고 있는 디렉토리를 링크로 걸어둔 거다 아래처럼 똑같이 생겼다 /proc/.. 공감수 0 댓글수 1 2023. 10. 4.
  • [Kernel] Tasks (1) Tasks 리눅스에서는 프로세스나 스레드를 'Task'라는 하나의 단위로 관리한다. Task는 결국 하나의 '실행 단위'를 이야기한다. 결국 프로세스나 스레드는 개념적인 구분일 뿐이고, 리눅스 내에서 이들이 관리될 때에는 프로세스나 스레드나 모두 '태스크'로 관리가 된다. 테스크 별로 시간을 할당하여 여러 개의 테스크들을 실행하는 멀티 태스킹, 실행 시간을 배분하는 스케줄링 등 모두 많이 들어본 용어들일 것이다. 각 태스크는 task_struct라는 구조체로 표현이 된다. 커널은 태스크 관리자라고 했었는데 그렇기 때문에 task_struct는 커널 메모리 내에 존재한다. 생각해보면 당연한 것이, 이렇게 중요한 정보는 일반 사용자가 접근하면 안되므로 커널 메모리 안에 들어가서 쉽게 접근할 수 없게 만드는 .. 공감수 0 댓글수 1 2023. 10. 4.
  • [Heap] Exploitation : House of Spirit House of SpiritHouse of Spirit은 free함수의 인자를 우리가 원하는 값으로 보내서, 이 값에다가 재할당해서 AAW이나 AAR등을 할 수 있는 기법이다. 해당 기법으로 원하는 위치(Heap 영역이 아니어도 상관 x! 스택이나 다른 곳도 가능~~)에 청크를 할당하여 임의의 주소의 값을 알거나 덮을 수 있다! 예) free(main의 return address) - 이렇게 해서 return address overwrite 하기위 예시와 같은 공격을 하기 위해서는 당연히 main의 return address를 알아야할 것이고 그렇다면 스택의 주소를 구하는 과정 또한 선행되어야겠다! 예시 1// gcc -o spirit1 spirit1.c -no-pie #include #include i.. 공감수 0 댓글수 0 2023. 10. 3.
  • [드림핵(Dreamhack] house_of _spirit 보호되어 있는 글입니다. 공감수 0 댓글수 0 2023. 10. 3.
  • [Heap] Exploitation : House of Force House of Force 힙을 안한지 너무 오래되어서 오랜만에 힙 공부를 하는겸 House of Force 기법에 대해 분석하고자 한다. House of Force 기법은 Top Chunk의 사이즈를 조작해서 원하는 위치에 청크를 할당 할 수 있게 하는 공격 방법이다. House of Force를 보기 전에 Top chunk에 대해 다시 복습해보자. -> [Heap] Background : Chunk [Heap] Background : Chunk Heap 시리즈 [Heap] Background : Memory Allocator [Heap] Background : Chunk [Heap] Background : Bin (Fastbin, Unsorted bin, Small bin, Large bin) [He.. 공감수 0 댓글수 5 2023. 9. 30.
  • [드림핵(Dreamhack)] pathtraversal #!/usr/bin/python3 from flask import Flask, request, render_template, abort from functools import wraps import requests import os, json users = { '0': { 'userid': 'guest', 'level': 1, 'password': 'guest' }, '1': { 'userid': 'admin', 'level': 9999, 'password': 'admin' } } def internal_api(func): @wraps(func) def decorated_view(*args, **kwargs): if request.remote_addr == '127.0.0.1': return func(*.. 공감수 0 댓글수 0 2023. 9. 28.
  • [드림핵(Dreamhack) random-test 이런식으로 사물함이랑 자물쇠 비번을 맞춰야하는 문제이다 사물함 번호는 알파벳 소문자 혹은 숫자를 포함하는 4자리 랜덤 문자열이고, 비밀번호는 100 이상 200 이하의 랜덤 정수라고 한다 #!/usr/bin/python3 from flask import Flask, request, render_template import string import random app = Flask(__name__) try: FLAG = open("./flag.txt", "r").read() # flag is here! except: FLAG = "[**FLAG**]" rand_str = "" alphanumeric = string.ascii_lowercase + string.digits #소문자 or 숫자 for i in.. 공감수 1 댓글수 0 2023. 9. 26.
  • [드림핵(Dreamhack)] file-download-1 스크립트 파일을 입력을 했더니 실행이 되지 않았다. 이와 같은 태그는 우회하고 있나보다 이런식으로 path traversal을 시도해보았는데 안되었다 코드가 어떻게 이루어져있는지 이제 뜯어보도록 하겠다 #!/usr/bin/env python3 import os import shutil from flask import Flask, request, render_template, redirect from flag import FLAG APP = Flask(__name__) UPLOAD_DIR = 'uploads' @APP.route('/') def index(): files = os.listdir(UPLOAD_DIR) return render_template('index.html', files=files) @.. 공감수 0 댓글수 0 2023. 9. 26.
  • [Web] File Vulnerability 실습 (Dreamhack 'image-storage' 문제) list.php Image Storage Home List Upload 공감수 0 댓글수 0 2023. 9. 26.
  • [Web Hacking/Python] Request 모듈 사용법 Request 모듈 웹해킹을 풀 때 여태껏 반복된 요청을 보낼 때에는 burpsuit를 사용했는데, python의 request 모듈을 통해서도 좋은 결과를 낼 수 있다는 것을 알았다. 둘을 섞어서 사용하면 좋을 것 같아서 request 모듈에도 익숙해지려고 한다. request 모듈을 이용하면 GET 요청이나 POST 요청등을 보낼 수 있다(물론 다른 메소드도 가능하다!) 먼저 GET 요청을 어떻게 보내는지 코드를 보자. c=request.get(url,header,params..)이런식으로 보내면 get 요청이 가진다! 이때 응답값 c는 response를 받기 때문에 c.raw, c.status_code.. 이런 식으로 응답에 대한 정보도 받을 수 있다. import requests #Reqeust .. 공감수 0 댓글수 0 2023. 9. 24.
  • [드림핵(Dreamhack)] xss-1 @app.route("/flag", methods=["GET", "POST"]) def flag(): if request.method == "GET": return render_template("flag.html") elif request.method == "POST": param = request.form.get("param") form에서 param을 param으로 저장 if not check_xss(param, {"name": "flag", "value": FLAG.strip()}): return '' return '' 여기서 check_xss(param, {"name": "flag", "value": FLAG.strip()}) 호출 param은 우리가 flag에서 form으로 입력한 인자. @ap.. 공감수 0 댓글수 0 2023. 9. 22.
  • [OS/Linux] 프로세스 권한, ID, 프로세스 관리 정보 관련 함수 프로세스에서의 UID User ID(UID)는 32bit의 정수값! 이걸로 user를 식별! ruid : Real User ID!! 즉 이 프로세스를 '시작'한 유저의 아이디 euid : '권한 검사'할 때 사용되는 id. 보통은 ruid와 같겠지만 SetUID비트 등이 설정된 경우, 파일 소유자의 아이디로 바뀜. 따라서 얘를 root로 바꾼다면 root권한으로 프로세스를 실행할 수 있겠지 suid : Saved User ID!! Privileged Process(보통 root가 실행한 프로세스)가 모종의 이유로 권한을 낮춰야하지만 다시 돌아올때 필요한 아이디 Non-root process가 자신의 euid를 바꾸려고 할 때, euid는 현재의 ruid, euid, suid로 밖에 설정할 수 없음 eui.. 공감수 1 댓글수 0 2023. 9. 15.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.