티스토리

holinder4S

검색하기

블로그 홈

holinder4S

holinder4s.tistory.com/m

holinder4S 님의 블로그입니다.

구독자: 1

방명록 방문하기

주요 글 목록

[webhacking.kr] prob51(250pt) ## prob51(web, 250pt) [Main] 51번 문제는 간단한 sql injection문제인데, 입력한 문자열이 md5 해시 값으로 변한다는 특징이 있습니다. md5 sql injection은 유명하므로 검색하면 정말 많이 나옵니다. 우선 문제 페이지를 살펴보면 아래 [그림 1]과 같고 해당 페이지 내 source 링크를 클릭하면 php 소스코드가 아래 [그림 2]와 같이 나옵니다. [그림 1] 문제 페이지 [그림 2] index.phps 우선 소스 코드를 보면 입력할 수 있는 벡터는 총 2개($_POST[id], $_POST[pw])입니다. 이 두 벡터 중 $_POST[id]부분에 sql injection을 성공시키기 위해서는 magic_quotes_gpc를 우회해야하는데, mb_conver.. 공감수 1 댓글수 1 2018. 2. 21.
[webhacking.kr] prob45(550pt) ## prob45(web, 550pt) [Main] 45번 문제는 sql injection 문제라고 문제 페이지에 나와있었습니다. 우선 문제 페이지와 소스코드를 보면 아래 [그림 1], [그림 2]와 같습니다. [그림 1] 문제 페이지 [그림 2] index.phps 우선 admin으로 로그인하기 위해 "select id from members where id='$_GET[id]' and pw=md5('$_GET[pw]')" 문에서 sql injection을 시켜 결과 값이 admin이 되도록 해야합니다. 각각의 GET방식의 변수에는 별도의 필터링이 걸려있는데, "select id from members where id='asdf' or id='admin'#' and pw=md5('asdf')"과 같은 .. 공감수 1 댓글수 0 2018. 2. 21.
[webhacking.kr] prob26(100pt) ## prob26(web, 100pt) [Main] 26번 문제는 url encoding에 관한 문제였습니다. 우선 문제 페이지에 들어가면 index.phps라는 링크를 주어 php소스를 제공하고 있습니다. 문제 소스코드는 아래 [그림 1]과 같습니다. [그림 1] index.phps 우선 소스코드를 분석해보면 정말 간단합니다. GET방식으로 id라는 파라미터에 값을 받고, eregi()함수로 "admin"이라는 문자열이 포함되면 "no!"라는 문자열을 출력하고 종료합니다. 하지만 아래 if문을 보면 $_GET[id]가 admin이어야 문제가 풀리게 되는데, urldecode()함수를 거친 값이 "admin"값이 되면 됩니다. 따라서 "admin"이라는 값을 보내는 것이 아니라 "%61%64%6d%69%.. 공감수 1 댓글수 0 2018. 2. 21.
[webhacking.kr] prob5(300pt) ## prob5(web, 300pt) [Main] 5번 문제는 로그인 버튼과 회원가입 버튼이 있는 문제였고, 특별히 php 소스코드가 주어지진 않았습니다. 우선 문제 페이지를 보면 아래 [그림 1]과 같습니다. [그림 1] 문제 페이지 login 버튼을 누르면 로그인 페이지로 넘어가고 join 버튼을 누르면 "Access Denied"라는 alert박스가 뜨게 됩니다. 우선 id, pw를 모르므로 login 버튼을 눌러 넘어가는 "mem/login.php"페이지에서는 특별히 할 것이 없었습니다. admin으로 로그인을 하기 위해 id:admin, pw:????를 입력해보았지만, 비밀번호가 틀렸다고 나옵니다.[그림 2] login.php [그림 3] wrong password [그림 4] join버튼 클릭.. 공감수 0 댓글수 0 2018. 2. 21.
[webhacking.kr] prob33(200pt) ## prob33(web, 200pt) [Main] 33번 문제는 뭔가 자잘한 문제들이 여러 개 포함되어 있는 문제였습니다. 우선 문제를 살펴보면 아래 [그림 1]과 같습니다. [그림 1] 문제 페이지 php 소스코드의 링크가 주어지는데 들어가보면 아래 [그림 2]와 같은 소스코드가 보입니다. [그림 2] index.phps 소스코드를 보면 "get"파라미터로 "hehe"라는 값이 들어오면 다음 stage로 가는 href 링크가 주어지는 형식이었습니다. 이 조건을 만족시켜주면 아래 [그림 3]과 같이 stage1을 클리어하고 stage2로 가는 링크가 주어지게 됩니다. [그림 3] stage1 Clear! 이런 식으로 한 단계씩 클리어해 나가면 되는 문제였습니다. stage2는 post변수의 값을 체크하.. 공감수 0 댓글수 0 2018. 2. 21.
[webhacking.kr] prob4(150pt) ## prob4(web, 150pt) [Main] 4번 문제는 별도의 php소스코드나 html 소스코드를 볼 필요가 없었던 문제입니다. 단순히 base64 인코딩 방식을 알고 있는지를 묻는 문제였습니다. 우선 문제 페이지를 살펴보면 아래 [그림 1]과 같습니다. [그림 1] 문제 페이지 뭔가 알 수 없는 문자열이 보이고 아래에 password를 입력하고 제출 버튼을 누르면 될 것 같았습니다. 우선 위의 문자열은 제일 마지막에 "=="값으로 끝나는 점, 인코딩된 문자열의 범위 등을 보았을 때 대충 base64라는 것을 눈치챌 수 있습니다. 그래서 이 문자열을 간단히 python으로 디코드 해보면 아래 [그림 2]와 같습니다. [그림 2] base64 decode 그래서 나온 디코드된 값을 password에.. 공감수 0 댓글수 0 2018. 2. 21.
[webhacking.kr] prob1(200pt) ## prob1(web, 200pt) [Main] 1번 문제는 쿠키 값을 조작해 조건을 통과시키는 문제입니다. 소스코드는 아래 [그림 1]과 같습니다. [그림 1] index.phps eregi()함수를 이용해 "user_lv"라는 쿠키 값을 필터링하는데 5보다 크고 6보다 작은 값이어야 하므로 "5.5"로 user_lv 쿠키 값을 세팅했더니 문제가 풀렸습니다. [그림 2] Congratulations~! 공감수 0 댓글수 0 2018. 2. 21.
[pwnable.kr] rsa_calculator(200pt) 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 2. 20.
[webhacking.kr] prob46(300pt) ## prob46(web, 300pt) [Main] 46번 문제는 sql injection 문제였는데 mysql의 string관련 내장함수를 잘 이용하거나 mysql특징을 잘 알면 풀 수 있는 문제였습니다. 우선 문제를 보도록 하겠습니다. [그림 1] 문제 페이지 우선 대놓고 문제 페이지에서 SQL INJECTION이라고 적혀있습니다. 소스코드보기를 하면 index.phps가 주석으로 나와 있는데 index.phps에서 페이지 소스를 보면 아래 [그림 2]와 같습니다. [그림 2] index.phps 위 소스코드를 잘 보면 공백 문자, '/', '*', '%'를 str_replace()함수로 필터링하고 있으며, 아래 eregi()함수를 이용하여 "union", "select", "from", "chall.. 공감수 0 댓글수 0 2018. 1. 26.
[webhacking.kr] prob25(150pt) ## prob25(web, 150pt) [Main] 25번 문제는 널 바이트를 이용하는 문제였습니다. 생각보다 많이 어렵진 않았지만 하마터면 엄청 삽질할 뻔했습니다... 우선 문제를 보도록 하겠습니다. [그림 1] 문제 페이지 문제 페이지를 보면 뭔가 리눅스의 "ls" 명령의 결과 처럼 보이는 파일들 목록이 보이고, 아래에는 "hello world"라는 문자열이 보입니다. 그리고 URL을 봤더니 "~/?file=hello"라고 되어 있습니다. 저는 여기서 뭔가 GET방식의 파라미터 file변수로 받은 값에 ".txt"를 붙여서 파일을 read하고 보여주는 구나~ 라고 생각했습니다. 그런데 read하는 방식은 exec()함수(?) php에서 명령어를 실행하는 함수를 사용하는 줄 알고 "/?file=inde.. 공감수 0 댓글수 0 2018. 1. 26.
[34C3 CTF_2017] readme_revenge(pwnable) ## 34C3 CTF_2017(readme_revenge, pwn) [Summary]1. printf()함수의 소스코드를 보고 동작 방식을 간략하게 이해해야 한다.2. __parse_one_specmb() 소스코드를 보고 일반적이지 않은 루틴이 실행되도록 조작해야한다.3. libc_argv가 조작 가능할 때 이를 이용하는 함수를 찾아본다.=> __fortify_fails()함수, malloc_printerr()함수, do_dlopen()함수 etc..4. overflow 시켜 libc_argv, __printf_function_table, __printf_modifier_table, __printf_arginfo_table을 조작해 eip를 control 하고 위 함수를 이용해 메모리에 있는 flag를 .. 공감수 1 댓글수 0 2018. 1. 22.
[webhacking.kr] prob20(200pt) ## prob20(web, 200pt) [Main] 20번 문제는 javascript 문제였습니다. 우선 문제페이지를 보도록 하겠습니다. [그림 1] 문제 페이지 우선 do not programming이라고 적혀있습니다. 무슨 말인지 모르겠어서 바로 html 소스코드와 프록시 도구를 이용하여 아래 [그림 2]처럼 이 페이지를 살펴보았습니다. [그림 2] 페이지 코드 및 프록시 이제 코드를 살짝 보면 Submit버튼을 클릭하면 ck()함수를 실행하며 빨간 네모의 "hack"이라는 name을 가진 text박스와 "attackme"라는 name을 가진 button태그의 value와 비교하여 같은지 확인을 합니다. 여기서 "attackme" 박스의 value를 "hack" 텍스트 박스에 넣고 submit해야할 .. 공감수 0 댓글수 0 2018. 1. 19.
[webhacking.kr] prob8(350pt) ## prob8(web, 350pt) [Main] 8번 문제는 간단한 sqli 문제였습니다. 우선 문제페이지와 소스코드를 보면 아래 [그림 1]과 같습니다. [그림 1] 문제 페이지와 소스코드 우선 위 [그림 1]에서 소스코드에 보면 주석으로 "index.phps"라고 되어 있습니다. 그래서 이 힌트를 바탕으로 index.phps로 접속하면 아래 [그림 2]와 같은 index.php 소스코드를 확인할 수 있습니다. [그림 2] index.php 소스코드 우선 우리가 주의 깊게 보아야 할 부분은 위에서 네모 박스부분입니다. 최종적으로 우리가 해야할 부분은 5번인데 3번이 포함된 select문의 결과로 id가 admin이 나오도록 해야합니다. 이런 sqli문제를 풀때 기본적으로 우리가 조작할 수 있는 inp.. 공감수 0 댓글수 0 2018. 1. 18.
[root-me.org] Javascript - Obfuscation 3(Web - Client) 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 1. 18.
[webhacking.kr] prob21(250pt) ## prob21(web, 250pt) [Main] 21번 문제는 Blind SQLi 문제였습니다. 우선 문제를 보면 아래와 같이 인풋 박스에 숫자를 입력하고 제출 버튼을 누르면 get 방식으로 no파라미터에 값을 넣고 쿼리를 실행하는 페이지를 볼 수 있습니다. [그림 1] 문제 페이지 위 [그림 1]에서는 입력 창에 1, 2, 3을 각각 입력하고 제출 버튼을 클릭한 결과입니다. 1과 2는 True라는 결과가 나오는데 3은 False라는 결과가 나옵니다. 우선 문제 제목부터 blind sql injection이라고 하니 "1 and 1=1#"과 "1 and 1=2#"이라는 쿼리를 날려보았습니다. 예상했던대로 앞의 쿼리는 "True"라는 결과를 뒤의 쿼리는 "False"라는 결과를 뱉어냈습니다. 우선 저는.. 공감수 0 댓글수 0 2018. 1. 13.
[webhacking.kr] prob18(100pt) ## prob18(web, 100pt) [Main] 18번 문제는 아주 간단한 SQLi 문제였습니다. 우선 문제를 보면 아래와 같은 페이지를 볼 수 있습니다. [그림 1] 문제 페이지 일단 index.phps라는 이 문제 페이지의 php 소스로 가는 링크를 클릭하면 아래 [그림 2]와 같이 php 소스 코드를 볼 수 있습니다. [그림 2] index.phps 소스 코드에서는 eregi()함수를 이용해 간단한 필터링을 합니다. 그리고 "select id from challenge18_table where id='guest' and no=$_GET[no]"라는 쿼리문을 실행시키는데 where 절안에 no파라미터를 GET방식으로 받아서 포함시킵니다. 일단 no 컬럼은 숫자이므로 아무 숫자나 0, 1, 2, 3.. 공감수 0 댓글수 0 2018. 1. 12.
[webhacking.kr] prob17(100pt) ## prob17(web, 100pt) [Main] 17번 문제도 개발자 도구만 쓰면되는 아주 간단한 문제입니다. 접속하면 아래 [그림 1]과 같은 페이지와 소스코드를 뿌려줍니다. [그림 1] 문제 페이지 및 소스 코드 우선 개발자도구로 소스코드(html, javascript)를 보면 pw라는 이름의 input 박스에 값을 입력 받고, check 버튼을 누르면 sub()함수가 실행됩니다. sub()함수는 unlock 변수에 숫자계산을 한 값을 집어넣고 입력한 값과 unlock값을 비교하고 10으로 나누어서 password 는 unlock/10이라는 alert박스를 띄워주고 아니면 wrong을 띄워줍니다. 푸는 방법은 여러가지가 있는데 console에서 위 코드를 그대로치고 unlock/10값을 확인하는 .. 공감수 0 댓글수 0 2018. 1. 12.
[webhacking.kr] prob10(250pt) ## prob10(web, 250pt) [Main] 10번 문제를 개발자 도구를 통해 보면 아래와 같은 페이지와 소스코드가 보이게 됩니다. [그림 1] prob10 문제 페이지 & 소스코드 위 [그림 1]에서 빨간 네모 박스 친 부분을 잘 보면 "hackme"라는 id를 가지는 a 태그를 사용하면서 마우스 오버가 되면 "y0u"로 바뀌고, 마우스가 out되면 "O"를 표시합니다. 그리고 onclink 속성으로 마우스로 클릭하면 위치를 오른쪽으로 1칸씩 옮깁니다. 그리고 800번째 위치가 되면 "?go="+this.style.posLeft로 이동하는 링크를 만들고, 이동하면 끝이 납니다. 이 때 당연히 this.style.posLeft는 800이 될 것이고 최종적으로 "http://webhacking.kr.. 공감수 0 댓글수 0 2018. 1. 12.
[34C3 CTF_2017] SimpleGC(pwnable) ## 34C3 CTF_2017(simpleGC, pwn) [Summary]1. C로 Garbage Collection을 구현한 프로그램에서 UAF취약점을 이용하는 문제이다.2. user Add를 하는 과정에서 group을 변경해도 group의 reference Count가 줄어들지 않는다.=> 이를 이용하여 byte형 refcount를 0x00으로 만든 후=> Garbage Collection 스레드에 의해 free된다.3. user3의 구조체와 과 user1의 group_name 구조체가 공유되도록 만든다.=> group_name에 strlen got로 변조하면 => user3의 group_name_ptr이 strlen got로 변하게 되고=> leak과 got overwrite가 가능해짐4. 원래는 .. 공감수 1 댓글수 0 2018. 1. 7.
[HITCON CTF_2017] start(pwnable) ## HITCON CTF_2017(start, pwn) [Summary]1. python 모듈인 pwntool과 같은 역할을 하는 ruby모듈 pwntool을 사용하는 문제=> https://github.com/peter50216/pwntools-ruby2. server.rb가 실행되는데 eval()함수로 루비 코드를 실행시킨다.3. start 바이너리는 간단한 bof 취약점이 있고, static compile되어 있다.=> syscall을 이용한 rop를 하면 된다.4. canary가 있으므로 0x18바이트만큼 덮어 씌우고 출력하면 canary leak 가능. [Exploit Code] - start_exploit.rb12345678910111213141516171819202122232425262728.. 공감수 1 댓글수 0 2017. 11. 22.
[CSAW CTF_2017] prophecy(reversing) ## CSAW CTF_2017(prophecy, rev) [Summary]1. LLVM으로 난독화된 문제이다.2. 베이직 블록만 잘찾고 브포걸고 실행하면 된다.3. 그래프 모드로 봤을 때 젤 아래에 있던 블럭들의 첫 번째만 브포걸고 실행하고4. 베이직 블락이라고 생각되는 곳에서 디컴파일하면서 분석하면 된다.5. 페이로드 중간에 비교하지 않는 부분은 \x00을 넣어서 뒤에 페이로드가 깨지지 않게 한다. [Analysis] 이 문제는 간단하게 요약하면 LLVM으로 난독화되어 있는 아주 간단한 프로그램이다. 프로그램을 실행하여전반적인 프로그램 흐름을 설명하면 우선 아래 [그림 1]과 같이 실행된다. [그림 1] 프로그램 실행 위 그림을 보면 secret name을 받고 unlock할 key를 입력받는데 아무거.. 공감수 1 댓글수 0 2017. 9. 21.
[HDCON_2017] Fabuary(reversing) ## HDCON_2017(Fabuary, rev) [Summary]1. Android APK 리버싱 & native library 리버싱 문제이다.2. 가위바위보를 하는 어플리케이션이 있는데 17916점을 넘기면 이기는 어플이다.3. 한번 이길 때마다 1점씩오르며 각 가위,바위,보를 34999번이상 시도할 수 없다.(수동 방지인듯..)4. rpc_calc()함수에서 score가 17916점을 넘기면 하드코딩된 값과 xor연산을 하여 키값을 생성해냄.5. CallMe에서 해당 키값을 이용하여 하드코딩된 encrypt된 flag를 ck()를 호출하여 decrypt함. [Analysis] 이 문제는 간단하게 요약하면 가위바위보를 하는 어플리케이션이 있는데 이기면 Score가 1점 올라가는 시스템이다. 해당 어.. 공감수 1 댓글수 0 2017. 9. 21.
[ASIS CTF_2017] mrs. hudson(pwnable) ## ASIS CTF_2017(mrs. hudson, pwn) [Summary]1. rop를 이용해 scanf("%s",bss); 호출=> pop_rdi, pop_rsi_r15 가젯 이용=> 취약점이 터지는 함수가 scanf()여서 scanf_plt주소의 0x20부분이 null처리됨.=> 따라서 got로 점프하는 주소 바로 다음 명령어 즉, got에 주소가 없을 경우 plt+0x6으로 다시 돌아오는데그 주소를 이용.=> 쉘코드 입력하고 exploit! [Exploit Code] - mrshudson_exploit.py12345678910111213141516171819202122232425262728293031323334353637from pwn import *#import hexdump context(.. 공감수 1 댓글수 0 2017. 9. 13.
[Tokyo Westerns CTF_2017] swap(pwnable) ## Tokyo Westerns CTF_2017(swap, pwn) [Summary]1. memcpy read : swap기능을 이용해 바꿔치면 memcpy()만 read로 변경된다.(arbitrary mem write 가능해짐)2. oneshot gadget을 얻기 위해 libc leak을 해야한다.=> setvbuf_got를 puts_plt로 덮어씌운다.=> exit_got를 start의 주소로 덮어씌워 setvbuf를 실행시킨다.(결과적으로 puts(stderr))=> stderr를 stdin의 주소로 바꾼다.(for puts(_IO_2__1_stdin's addr))3. exit_got를 oneshot_gadget으로 덮어씌운다. [Exploit Code] - swap_exploit.py12345.. 공감수 1 댓글수 0 2017. 9. 13.
[Samsung CTF_2017] Easyhaskell(reversing) ## Samsung CTF_2017(Easyhaskell, rev) [Summary]1. Custom Base 64를 이용한 문제이다.2. 파일의 이름인 argv[0]을 input으로 Custom Base64 인코딩한 값을 출력하는 프로그램이다.3. 2가지 풀이법이 존재한다.=> 파일명 브루트포싱=> Base 64 테이블을 알아내어 바로 디코딩(하지만 이것도 브루트포싱하였다.) [Analysis] [그림 1] Easyhaskell 문제 이 문제는 간단하게 요약하면 argv[0]을 인자 값으로 커스텀 Base64를 해 결과 값으로 출력하는 프로그램이다.이 문제를 처음에는 IDA로 열어서 분석하려고 했으나 haskell이라 그런지 조금 분석하기 모호했다. 그래서 우선처음 IDA로 분석했을 때는 이 프로그램은.. 공감수 1 댓글수 0 2017. 7. 23.
[Samsung CTF_2017] Buildingblocks(Coding) ## Samsung CTF_2017(Buildingblocks, Coding) [Summary]1. 어셈블리 블럭들의 조각을 던져줌.2. 이 어셈블리 블럭들의 조각을 Segmentation Fault가 나지 않도록 순서만 맞춰주면 됨.3. 각 블럭별로 eax레지스터가 비교값과, 연산을 끝낸 값을 구할 수 있음.4. 구한 eax값과 다음 블럭의 비교값과 비교해 같으면 이어붙이면 됨.(이 조건일 때 seg fault가 안남.) [Analysis] [그림 1] Buildingblocks 문제 이 문제는 코딩을 해서 어셈블리 블럭을 완성시키면 플래그를 주는 문제였다. 위 문제서버로 접속하면 아래[그림 2]와 같이 주어지는 Base64로 인코딩된 문자열들은 x64머신에서 돌아가는 코드이며 각각의 블럭들을잘 이어붙.. 공감수 1 댓글수 0 2017. 7. 23.
[Samsung CTF_2017] dfa(Defense) ## Samsung CTF_2017(dfa, defense) [Summary]1. Integer overflow 취약점을 패치하는 문제2. read에서 bof 취약점이 터지도록 유도하는 취약점을 패치하면 됨. [Analysis] [그림 1] dfa 문제 이 문제는 Defense 문제로 소스코드가 주어지고 거기에 있는 하나의 취약점을 찾아 패치를 한 후 서버에 보내면되는 문제였다. dfa.zip파일을 다운로드 받으면 4개의 소스파일이 주어지는데 그 중 취약점이 존재하는 소스코드는"auto.c"였다. 이 소스 코드 중 취약점이 존재하는 부분은 아래 [그림 2]와 같다. [그림 2] "auto.c" 중 취약한 소스코드 일부 위 [그림 2]의 if 문 내부에 namelen + 1 > 0x100에서 overflo.. 공감수 1 댓글수 0 2017. 7. 23.
[Samsung CTF_2017] Readflag(Attack) ## Samsung CTF_2017(Readflag, Attack) [Summary]1. Python Pickle 취약점을 이용2. __reduce__ method의 return으로 지정되는 함수 (RCE가능) [Analysis] Readflag문제는 이전에 Plaid CTF에서도 나왔던 문제였던 Python의 Pickle 취약점을 이용하는 문제였다.Pickle이라는 것은 파이썬에서 사용하는 각 객체나 변수, 리스트 등을 파일에다가 쓸 수도 있는 유용한 모듈인데class를 dump한 후 load를 할 때 해당 클래스의 __reduce__ method의 return으로 지정되는 함수를 실행하는임의 코드 실행 취약점이 발생한다. 이 취약점을 이용하려면 아래 exploit 코드와 같이 클래스를 하나 만들고 내.. 공감수 1 댓글수 0 2017. 7. 23.
[Tip] pwntools에서 libc symbols을 이용한 주소 찾기 ## pwntools에서 libc symbols를 이용한 주소 찾기 1. pwntools symbols 이용=> leak_libc = ELF("./leak_libc") => libc_system = libc_base_addr + leak_libc.symbols['system'] 이렇게 하면 릭한 libc로부터 오프셋을 변수로 지정할 필요 없이 바로 symbol로 그냥 주소 값을 구할 수 있다. 개꿀~! 공감수 1 댓글수 0 2017. 7. 23.
[Tip] libc에서 binsh문자열 주소 찾는 방법 ## libc에서 "/bin/sh"문자열 주소 찾는 방법 1. pwntools 이용=> leak_libc = ELF("./leak_libc") => binsh = leak_base_addr + list(local_libc.search('/bin/sh'))[0] 2. strings 이용=> strings leak_libc | grep bin/sh 공감수 0 댓글수 1 2017. 7. 22.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.