티스토리

h4wonLOG

검색하기

블로그 홈

h4wonLOG

haerinn.tistory.com/m

대학교 막학년 블로그👩‍💻

구독자: 9

방명록 방문하기

주요 글 목록

[HackCTF] RTC 문제 NX 가 걸려있다. 멘트를 출력하고, 입력을 받는다. buf 에 입력 시 bof 가 발생한다. nx, aslr 이 걸려있는 상황에서 rop 를 이용해 풀려고 했는데, 마땅한 가젯이 없다...! 이런 경우 RTC(return to csu) 기법으로 문제를 풀 수 있었다. __libc_csu_init() 함수로 리턴해 거기 있는 가젯들을 이용해 인자값을 레지스터에 저장하고 함수를 호출하여 주소를 leak 한 뒤, 다시 메인으로 돌아와서 bof 를 일으키면 된다. RTC 기법은 다음 블로그를 참고해 공부하였다. https://py0zz1.tistory.com/107 Return-to-Csu 기법 정리 포너블 문제를 풀 때, 64Bit 바이너리가 까다로운 이유가 바로 'Gadget' 때문이다. 64Bit의.. 공감수 0 댓글수 0 2021. 6. 1.
[Dreamhack] ssp_001 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 5. 31.
[HackCTF] World Best Encryption Tool 문제 nx, canary 가 걸려있다. 버퍼 크기 이상으로 값을 넣으니 카나리 값 변조에 의해 프로그램이 종료된다. 1. src 에 입력을 받는다. (bof 발생) 2. src 배열 인덱스 0부터 49까지 xor 비트 연산을 한다. 3. dest에 src를 복사한다. (1바이트 만큼 조작 가능) 4. 계속할 지 안할지를 묻는다. 문제 해결 과정 src 에 bof 를 발생시켜 ret 를 변경하면 될 것이다. 그런데 카나리로 인해서 SFP 바로 전에 카나리 값이 들어가 있는 상황이다. -> 카나리 값을 빼와서 그걸 유지시키면서 익스플로잇 하면 될 것 같다. 카나리의 하위 1바이트가 null 값인 것을 이용해, strncpy 시 한 바이트 만큼을 조작하면 printf 를 통해 카나리 값까지 출력될 것이다. B.. 공감수 0 댓글수 0 2021. 5. 29.
[HackCTF] Unexploitable #2 문제 NX 만이 걸려있다. unexploitable#1 처럼 입력을 받고 끝낸다. 다만 이번에는 함수이름 문자열 .dynstr 을 이용해서 sh 을 구하진 못할 것으로 보인다. fgets 입력 시 bof 가 발생한다. 이번엔 fflush 문자열이 존재하지 않기에 fgets를 통해 binsh을 bss영역에 넣거나 fwrite를 통해 주소를 leak 시키려고 했다. 그런데 마땅한 가젯을 쓸 수 없었다. 이때, system 함수를 통해 got 주소를 leak 할 수 있었다. system 함수 인자로 명령어가 아닌 것을 줬을 때 에러 메시지가 출력된다. 이를 이용해 system 함수 인자로 특정 libc 함수 주소를 주면, 에러 메시지가 출력되며 그 내용을 출력해줄 것이다. 이것을 leak 해서 libcBase.. 공감수 0 댓글수 0 2021. 5. 23.
[HackCTF] Unexploitable #1 문제 NX 만이 걸려있다. 기본적인 RTL 문제인 것 같고, 실행을 하면 입력을 받고 끝낸다. 입력을 받을 때 bof 가 발생한다 -> ret 변경 가능 필요한 것들을 구해보자. system@plt system 함수의 plt 가 존재한다. "sh" 주소 binsh을 구해서 bss 영역에 넣자고 하니 상당히 귀찮아서, 위의 fflush 문자열을 구했다. "sh" 부분을 system 함수의 인자로 넘기면 될 것 같다. 알파벳 당 한바이트씩이니 sh 시작 주소는 4003BF 이다. 가젯 익스플로잇 system@plt 주소를 알고 있었고, "sh" 도 문자열을 통해 구할 수 있었기에 기본적인 RTL로 풀 수 있는 문제였다! 공감수 0 댓글수 0 2021. 5. 23.
[Webhacking.kr] 33번 PHP 문제 33-1 Get 방식으로 'get' 파라미터 값으로 "hehe" 를 전달해주면 된다. 33-2 POST 방식으로 'post' 값을 "hehe"로, 'post2' 값을 "hehe2"로 전달해주면 된다. 33-3 GET 방식으로 'myip' 파라미터 값으로 자신의 ip 주소를 전달해주면 된다. 33-4 GET 방식으로 전달한 'password'의 파라미터 값과 현재 시간을 md5 해싱한 값을 비교한다. 시간을 넉넉히 잡아서 md5 해싱해서 넣어준 다음 새로고침을 계속 눌러주었다. https://awebanalysis.com/ko/md5-generator-online/ MD5 온라인 생성기 이 무료 온라인 도구는 MD5 해시 생성기로, 신용 카드 번호, 토큰, 암호 및 기타 민감한 정보를 데이터베.. 공감수 0 댓글수 0 2021. 5. 18.
[Webhacking.kr] 32번 쿠키 문제 클릭을 하면 투표가 되고, 자신의 아이디가 추가가 된다. 투표를 한 후에 또 클릭을 하면 you already voted 라는 alert 와 함께 거부된다. 확인해보니 vote_check 라는 이름의 쿠기 값이 있었고 ok 값을 지운 뒤 투표를 해보니 투표가 되었다. 투표를 할 때마다 vote_check 값을 ok로 설정해주고 그에 따라 투표 여부가 결정되는 것 같다. vote_check 쿠기를 차단시킨 뒤, 클릭을 통해 자신의 점수를 100으로 만들어주면 되는 문제였다. 공감수 0 댓글수 0 2021. 5. 18.
[Webhacking.kr] 28번 파일 업로드 취약점 문제 ./upload/O7XO91oPbea4/flag.php 파일을 실행이 아닌 읽어들이라고 한다. -> 이 문제는 php 파일 형태의 웹셀을 업로드 하는 것이 아니라 .htaccess 를 이용한 php 실행 금지 를 통해 풀 수 있다. htaccess는 "hypertext access"의 약자이다. 아파치 같은 웹 서버에서 브라우저 같은 클라이언트에서 접근할 때 어떤 식으로 서비스를 제공할 지 결정하는 파일이다. 파일 업로드 디렉토리에 .htaccess 파일을 만들고 해당 파일에서 php 파일을 실행하지 않게 설정하면, 텍스트 파일로 인식하게 하여 소스코드를 텍스트 형태로 볼 수 있다. 참고 https://rootrator.tistory.com/119 https://developme.. 공감수 0 댓글수 0 2021. 5. 18.
[Webhacking.kr] 27번 SQL Injection 문제 정규표현식에서 필터링 되는 것들은 다음과 같다. # select ( (공백) limit = 0x 이 문제는 18번 문제와 상당히 유사하다. 다만, 정규표현식을 통해 limit 이 필터링 되서 똑같은 방법으로는 되지 않는다. 쿼리를 조작하여 앞의 조건문은 무시하고 원하는 쿼리를 통해 admin 을 갖고 오게끔 해보자. 0) or no like 2-- 이를 삽입하면 쿼리문 전체는 다음과 같이 작동할 것이다. select id from chall27 where id='guest' and no=(0) or no like 2-- )")) or die("query error"); 앞의 where id='guest' and no=(0) 에 해당하는 column은 없으므로 무시되고, 뒤의.. 공감수 0 댓글수 0 2021. 5. 17.
[Webhacking.kr] 26번 더블 인코딩 문제 GET 방식으로 id 파라미터 값을 받아서 urldecoding 한 후의 값이 "admin"이여야 하고, admin 을 그대로 입력할 시 필터링이 된다. urlencoding 표를 참고해서 admin 을 인코딩 시켰다. admin 을 디코딩 한 값(아래) 를 URL에 파라미터 값으로 넣어준다. %61%64%6d%69%6e 코드를 보면 preg_match 함수가 urldecode 앞쪽에 있어 영향을 받을 일이 없어보이는데 위와 같은 결과가 나타났다. 그렇다면 아마도 urldecode가 되기 이전에 자동적으로 디코딩이 되었기 때문에 preg_match가 동작한 것을 보인다. 웹 서버와 브라우저 사이에서 데이터 교환 시 브라우저는 폼에서 입력받은 데이터를 자동으로 인코딩한 값을 PHP서버로 .. 공감수 0 댓글수 0 2021. 5. 17.
[Webhacking.kr] 25번 PHP wrapper 문제 주소창을 보면 get 방식으로 파일명을 받아와 (파일명).php 에 접속하는 것 같다. flag.php 에 접속한 모습 -> "FLAG is in the code" 라고 뜬다. php 코드 내에 flag가 존재하는 것 같다. 그렇지만, 서버 내에 존재하는 php 코드는 노출되지 않는다. 이때 php wrapper 을 이용할 수 있다. PHP는 입출력, 오류 파일 기술어 등에 엑세스 할 수 있는 다양한 I/O 스트림을 제공하는데 이것을 PHP Wrapper라고 한다. 이 문제에서 그 중 'php://filter'라는 wrapper를 사용할 것이다. php://filter의 경우, 서버 안의 문서들을 열람할 수 있게 해준다. (encode 또는 decode의 형태로) www.[웹사.. 공감수 0 댓글수 0 2021. 5. 17.
[Webhacking.kr] 24번 쿠키 인젝션 문제 extract() 함수는 배열 속의 키값을 변수화 시켜주는 함수이다. extract(array) : array의 key값의 이름으로 변수를 만든다. 변수의 값은 key값에 대응하는 값. ex) extract($_COOKIE) => $REMOTE_ADDR = $_COOKIE['REMOTE_ADDR'] $_SERVER[REMOTE_ADDR] : 현재 페이지를 보고있는 시스템의 ip 주소 $_SERVER[HTTP_USER_AGENT] : 클라이언트의 접속 환경 정보(브라우저 정보 등) 그러므로 extract으로 변수들을 생성하고 $ip=$REMOTE_ADDR; 의 ip를 str_replace 함수를 거쳐서 ip값을 필터링시킨다. 우선 ip를 문자열 형태로 바꾸고, .. 을 "." 으로 12를.. 공감수 0 댓글수 0 2021. 5. 17.
[Webhacking.kr] 23번 URL 인코딩 문제 위의 폼으로 를 삽입해야 한다. 문자열이 필터링 되는 것 같다. 문자열 필터링을 우회하는 방법을 찾아보니, 문자 사이사이마다 NULL 을 넣어주는 방법이 있었다. -> NULL 값을 url 인코딩으로 사이사이에 넣는다. %00a%00l%00e%00r%00t%00(%001%00)%00;%00 공감수 0 댓글수 0 2021. 5. 17.
[Webhacking.kr] 20번 Javascript 문제 각 입력 태그 값이 빈 값이 아닌지 체크한다. 빈 값이면 return 을 한다. 또한 captcha.value와 captcha_.value 값이 다른 경우도 return 을 한다. 값들을 2초안에 입력하지는 못하기 때문에 개발자 도구 - console 기능을 통해 script 태그 안 코드를 변경하면 된다. 새로 고침을 누른 뒤 변조 코드를 전달한다. 공감수 0 댓글수 0 2021. 5. 14.
[Webhacking.kr] 19번 문제 admin 을 입력하면 you are not admin 이라고 뜬다. admin 을 제외한 다른 값은 입력하면 정상적으로 로그인이 된다. admin이라는 문자열에 대해서만 필터링이 걸려 있는 것을 확인하고 admin 문자열과 같은 의미의 문자열을 집어 넣어 보도록 했다. (admin) 이나 a/**/dmin 혹은 a%00dmin과 같이 괄호와 주석처리를 통해 우회가 가능했다. 공감수 0 댓글수 0 2021. 5. 14.
[Webhacking.kr] 18번 Java Script 문제 URL 에서 no 파라미터 값이 존재하는 경우 정규표현식을 통해 select, from, 16진수 등을 필터링한다. $result = mysqli_fetch_array(mysqli_query($db,"select id from chall18 where id='guest' and no=$_GET[no]")); // admin's no = 2 sql 쿼리를 통해 가져온 id가 admin 일 때, solve() 함수가 실행되므로 admin 인 id 값을 가져와야 한다. SELECT id FROM chall18 WHERE id='guest' and no=1 or 1=1 LIMIT 1,1 -> or 를 이용해 조건이 항상 참이 되게 한 뒤(guest의 no=1), LIMIT 를 통해 a.. 공감수 0 댓글수 0 2021. 5. 13.
[Webhacking.kr] 17번 Java Script 문제 아무값이나 입력하고 버튼을 누르면 wrong 경고창이 뜬다. login.pw.value(우리가 입력하는 값)이 unlock 과 동일할 경우 "?"+(unlock/10) 사이트로 이동시킨다. 공감수 0 댓글수 0 2021. 5. 13.
[Webhacking.kr] 16번 Java Script 문제 cd 값이 124일 때 어떤 php 사이트로 이동시켜준다. 처음엔 cd 를 124로 만들려고 했다. mv 함수는 키를 누를 때 실행되는데, 누른 특정 키에 해당하는 아스키 값을 인자로 넣는다. 그런데 124에 해당하는 키는 f13 으로, f13키는 없었다.... 그래서 직접 저 사이트로 이동시켜주기러 했다. fromCharCode 는 아스키코드번호를 받아 문자열을 구성해주는 함수로, 아스키값 124는 | 에 해당한다. 공감수 0 댓글수 0 2021. 5. 13.
[Webhacking.kr] 15번 Java Script 문제 먼가 alert 창을 띄우고 페이지를 이동시키는 JS 코드가 작동하는 것 같다. 공감수 0 댓글수 0 2021. 5. 13.
[Webhacking.kr] 14번 Java Script 문제 입력을 하고 버튼을 클릭하면 input_pwd 의 파라미터 값으로 전달된다. input_pwd의 값이 ul 변수 값과 동일할 경우 사이트를 이동시킨다. ul 값은 다음과 같다. 공감수 0 댓글수 0 2021. 5. 13.
[HITCON training] lab 12 secretgarden 1. 문제 main 함수 add() 함수 - 0x28만큼 malloc() 할당한 후 변수 s에 반환된 포인터 저장 - 입력받은 size 만큼 malloc() 할당 후 변수 buf에 반환된 포인터 저장 - (DWORD)s에 1을 저장하고, (QWORD)s+1에 buf 값을 저장하고 (char*)s +16에 문자열을 저장한다.(color) - &flowerlist(전역변수) + size(HIDWORD)에 s 값을 저장하고 flowercount(전역변수) 값을 증가시킨다. struct flower{ int vaild ; char *name ; char color[24] ; }; 사실 flower 구조체를 위해 처음에 0x28만큼 malloc() 할당한 것이다. flower->valid 에 1을 넣은 것 flo.. 공감수 0 댓글수 0 2021. 5. 11.
[Pwnable.kr] UAF 1. 문제 보면 Human 클래스와 Man, Woman 클래스가 상속 관계인 것 같다. 먼저 Human 형 m, w 객체가 초기화된다. 1번 : 각 객체의 introduce() 함수가 실행된다. 2번 : char 형 객체가 생성된다. argv[1] 으로 받은 크기만큼 메모리를 할당해서 data 변수가 가르키도록 한다. 그리고 argv[2] 로 입력받은 파일을 열어서 len byte 만큼 데이터를 읽고 읽은 데이터를 data 에 저장한다. 3번 : m, w 객체가 free 가 된다. -> 본 문제는 uaf 문제로 malloc 으로 할당한 뒤 free 후 재사용하는 방식이다. (uaf : malloc -> free -> malloc) 초기화된 m, w 객체를 3을 입력하여 free 해주고, 다시 2를 입력하.. 공감수 0 댓글수 0 2021. 5. 8.
[HackCTF] UAF 1. 문제 canary, nx 가 켜져있다. 메뉴 화면이 나오고, 1~4번까지 선택지가 주어진다. 각 선택지에 따라 다른 함수들이 실행된다. main 함수 v3에 저장된 값에 따라 각 함수들이 실행된다. add_note() 함수 먼저 notelist 배열 값이 비어있는지 확인한다. notelist 란 전역에 선언된 배열로써 최대 5개의 노트까지 추가할 수 있다. add_note() 에서는 총 두 번 malloc()이 호출된다. - print_note_content 라는 함수 포인터 저장을 위해 - 실제 데이터를 저장하기 위해 0x804c008 : 함수 포인터가 저장되어 있다. 0x804c018 : 입력한 데이터가 저장되어 있다. del_note() 함수 add_note() 를 하면 notelist 의 배.. 공감수 0 댓글수 0 2021. 5. 8.
[HackCTF] Beginner_Heap 1. 문제 입력을 두 번 받고 끝낸다. 총 네 번 malloc 을 할당한다. 1. v3에 16 공간 할당 2. v3+1에 8 공간 할당 3. v4에 16 공간 할당 4. v4+1에 8 공간 할당 5. s라는 변수에 최대 0x1000의 크기의 값을 입력받고 v3+1에 저장 6. s라는 변수에 최대 0x1000의 크기의 값을 입력받고 v4+1에 저장 이 부분에서 strcpy 시 overflow 가 두 번 발생한다. sub_400826 함수를 실행시키는 것이 목적일 것이다. 2. 문제 해결 과정 1 (v3이 가르키는 힙영역) malloc(8) 할당한 주소가 담김 malloc(8) 실제 주소 2 (v4가 가르키는 힙영역) malloc(8) 할당한 주소가 담김 v4+1에 입력을 받으니 v4+1이 가르키는 0x60.. 공감수 0 댓글수 0 2021. 5. 8.
[Dreamhack] basic_heap_overflow 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 5. 8.
[Webhacking.kr] 12번 자바 스크립트 문제 Js 부분이 난독화 되어있음. 구글링을 통해 aaencode 를 통해 암호화된 것을 확인함. var enco=''; var enco2=126; var enco3=33; var ck=document.URL.substr(document.URL.indexOf('=')); for(i=1;i 공감수 0 댓글수 0 2021. 5. 4.
[Webhacking.kr] 11번 정규 표현식 문제 Php 부분을 살펴보면 get 방식으로 받은 ‘val’ 값과 정규표현식이 같을 경우 solve(11) 가 실행된다. 정규 표현식(Regular Expression)은 문자열을 처리하는 방법 중의 하나로 특정한 조건의 문자를 '검색'하거나 '치환'하는 과정을 매우 간편하게 처리 할 수 있도록 하는 수단이다. http://tcpschool.com/php/php_regularExpression_basic 정규 표현식 $pat 을 분석하면 다음과 같다. https://regex101.com/ Code Meaning Example [1-3] 1과 3사이의 수 1 [a-f]{5} (A-f 사이의 수)* 5 aaaaa _.* '_' 문자와 임의의 문자(.) 0개 이상 $_SERVER[REMOTE_A.. 공감수 0 댓글수 0 2021. 5. 4.
[Webhacking.kr] 10번 웹개발자도구 앞에 있는 O를 클릭하면 조금씩 1px만큼 움직인다.. 소스코드를 확인하니 다음과 같다. This.style.left==1600이 되면 어느 디렉터리로 이동하는 것 같다. Left 값을 1599로 바꾸고, O를 클릭해보았다. 공감수 0 댓글수 0 2021. 5. 4.
[Webhacking.kr] 8번 sql injection 문제 소스 코드를 보면 특정 HTTP_USER_AGENT 인 id 값을 가져와 $ck에 저장한다. 그리고 $ck 값이 존재하고 "admin" 일 경우 solve() 가 실행된다. $ck 값이 존재하지 않을 경우엔 insert 문을 통해 agent, ip, id 값들을 추가한다. -> 버프 스위트를 이용해 "admin" 을 추가하면 될 것 같다. User-Agent 에 a','1','admin'),('b 를 추가하였다. 이는 실제 INSERT 문에서 다음과 같이 동작할 것이다. INSERT INTO chall8(agent,ip,id) VALUES('a', '1', 'admin'), ('b', '{$ip}', 'guest') F5로 새로고침을 한 뒤, User-Agent 를 아까 a.. 공감수 0 댓글수 0 2021. 5. 4.
[Webhacking.kr] 7번 sql injection 문제 소스는 다음과 같다. $go 변수에 $_GET[‘val’] 파라미터 저장 $go 변수에 2, -, +, from, _, =, \s, *, \ 등의 문자열 존재 시 Access Denied! 발생 $rand 변수에 rand 함수를 적용한 1~5의 랜덤 값 선언 $rand 변수에 입력된 값에 따라 조건문 실행 $data에 mysqli_fetch_array($result) 문으로 데이터 값 저장 $data[0] == 1일 경우 Access_Denied! 출력 $data[0] == 2일 경우 Hello admin 출력 후 Solve(7) 수행 $data [0]이 2 값을 저장해야 Solve(7) 수행 UNION을 이용해 앞의 쿼리문을 거짓으로 만들고 뒤의 쿼리문을 참으로 만들어서 .. 공감수 0 댓글수 0 2021. 5. 4.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.