학부때부터 제대로 공부하지 못해서 아쉬웠던 개발과 해킹에 대해서 다시 공부해보려고 합니다.
연구 메인 분야로 블록체인을 선택하였는데, 관련해서 생태계를 그리 잘 아는 것 같진 않아서 Web3 공부도 열심히 해야할 것 같아요.
최근에 교수님들과 미팅 및 면담을 하게 되면서 생각한건데 너무 한 분야만 집중하기 보다는 여러 분야를 접해보는 것도 좋은 방법 중의 하나일 것 같다는 생각이 들었습니다.
그리고 랩에서는 아이디어 제안하는 것을 매우 중요한 가치로 여기고 있어서 학부, 석사때부터 스스로 연구 주제를 발굴하는 연습을 하고 있습니다. 근데 정말 어렵더라구요. 괜찮은 아이디어 같은데?! 싶어서 조사해보면 이미 있고, 제가 알고 있는 것을 기반으로 새로운 것을 제안하는 것이 정말 어렵다고 생각했습니다. 어느날 미팅을 들어갔는데 교수님께서 생물학의 세포와 관련해서 말씀을 해주시더라고요. 듣고 놀랐습니다.
미팅을 함께 들어갔던 다른 분이 디지털 면역체계와 관련된 연구를 하고 계셨는데, 코멘트로 하셨던 말씀이
실제 우리 몸에서 균이 들어왔을 때 항원-항체 반응은 알고 있는 특정 균에 대해서 잡아먹고, 대식 세포는 균이든 좋은 세포든 모두 잡아 먹는 세포라고 하시면서 보안에서도 유사하게 적용할 수 있다. 이런 내용으로 말씀해주셨습니다.
저는 아이디어를 넓게 생각한다고 해도 보안 분야 중에서 다른 분야의 솔루션을 내가 하고 있는 분야에 적용해보면 어떨까?가 최선이었는데, 정말 다른 일상의 분야에서도 접목해서 생각해볼 수 있다는 것을 새롭게 깨닫게 되었습니다. 그래서 더욱이 하나에 집중하는 것도 좋지만, 뭐가 됐던 많이 보고 배우는 것이 좋겠다 싶더라구요.
서론이 길었는데, 어쨌던 요즘은 관심 분야를 넓혀보려고 하고 있습니다.
오늘 제가 코테 연습을 한다고 브론즈 문제부터 시작해보았는데, 연습삼아 해본 문제들에서도 배울 점이 있었습니다. 보통 python으로 사용자의 입력을 받을 때 input함수를 사용하잖아요. 근데 sys.stdin.readline()으로도 가능하더라구요. input 함수는 input("prompt message") 이런식으로 프롬프트에 메시지를 입력할 수 있고, 해당 값이 출력되면서 사용자의 입력을 받게 되는데 거기서 약간의 지연이 발생한다고 합니다. 반복문으로 입력을 많이 받는 상황에서는 sys.stdin.readline()이 효율적이라고 하네요ㅎㅎ
브론즈 문제중에 다이얼이라는 문제가 있는데, 다른 write up을 보니 리스트에 문자열을 배치하거나 문자에 따른 시간을 미리 선언해두고 사용하더라구요.
다른 방법으로 풀고 싶어서 고민을 해보았는데, ASCII 문자열을 ord로 변환해서 3으로 나누었을 때 해당하는 시간에 매핑되도록 작성해볼 수 있었습니다.
import sys
def main():
total_time = 0
num = sys.stdin.readline().strip()
arr = [3, 4, 5, 6, 7, 8, 9, 10]
for i in range(len(num)):
if num[i] == 'S' or num[i] == 'V' or num[i] == 'Y' or num[i] == 'Z':
num_index = (ord(num[i])-62)//3
total_time += arr[num_index-2]
else:
num_index = (ord(num[i])-59)//3
total_time += arr[num_index-2]
print(total_time)
if __name__ == '__main__':
main()
생각했던 방법이 통해서 오! 하면서 풀었네요ㅎㅎ
알고리즘 단계별로 풀이를 진행하고 있는데, 실버전까진 하루에 한챕터씩 풀이해보려고 합니다!
아! 여기서 끝은 아니고, 서체는 font-family로 설정하게 되는데 기존에 작성되어 있던 부분들을 변경해주는 작업이 필요합니다.
@font-face 하위에 보이는 font-family: [폰트 이름] 에서 폰트 이름을 복사해주세요.
Ctrl+F를 통해 서치 창을 확인할 수 있는데 font-family를 검색해줍니다.
이런식으로 찾을 수 있어요
여기서 제가 넣고자 하는 폰트 이름인 Dovemayo_gothic을 넣어줬습니다.
에러 사항
font-family를 모두 바꿔주었는데 볼드 처리한 글꼴만 바뀌었습니다.
기존에 이렇게 평문으로 작성한 것에 대해서는 글꼴이 바뀌지 않았고, 개발자 도구를 열어서 확인해보니 글이 작성된 것이 span 태그 안에 있었습니다. <span style="font-family: 'Noto Sans', 'Noto Sans KR';> 글 내용 </span>
element style이 적용되어 있어서 제가 넣은 css가 동작하지 않았습니다.
관련하여 구글링을 해보았는데요.
element.style이란?
읽기 전용으로 인라인으로 정의된 스타일 속성
읽기 전용이므로 CSSStyleDeclaration을 정의할 수 없다.
CSSStyleDeclaration.cssText를 통해 덮어쓸 수 있다.
<span style="font-family: 'Noto Sans', 'Noto Sans KR';> 글 내용 </span>
<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/styles/default.min.css">
<script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/highlight.min.js"></script>
<!-- and it's easy to individually load additional languages -->
<script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/languages/go.min.js"></script>
<script>hljs.highlightAll();</script>
이걸 가져오시면 되는데요!
제가 넣어보니 가장 마지막 script 태그가 안먹는건지 테마가 안씌워지더라고요.
<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/styles/nord.min.css">
<script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/highlight.min.js"></script>
<!-- and it's easy to individually load additional languages -->
<script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/languages/go.min.js"></script>
<script>hljs.initHighlightingOnLoad();</script>
그래서 저는 이렇게 넣어줬습니다.
넣는 방법 알려드릴게요.
티스토리 스킨 편집으로 직접 적용해보기
블로그 관리 홈에서 스킨 편집 탭을 클릭해주세요
오른쪽 화면에서 html 편집이라는 버튼을 찾을 수 있습니다. 클릭해주세요
이런식으로 HTML 파일이 보이실텐데요.
가장 상위의 <html> 태그 아래에 <head> 태그가 있습니다.
<head> ~~~ 다른 태그들 </head> 형태로 구성이 될텐데, head 태그 안에
<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/styles/nord.min.css">
<script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/highlight.min.js"></script>
<!-- and it's easy to individually load additional languages -->
<script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/languages/go.min.js"></script>
<script>hljs.initHighlightingOnLoad();</script>
아까 복사하였던 cdnjs를 넣어주세요!
참고로 첫 줄의
<link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/11.9.0/styles/default.min.css"> 이 부분의 default 자리에 마음에 드는 테마의 이름을 넣어주시면 됩니다. 테마에 - 로 단어가 연결되어 있다면 그대로 stackoverflow-dark.min.css 이런식으로 넣어주시면 돼요. 저는 nord 테마를 선택했기 때문에 nord라고 작성하였습니다.
그런데 한가지 이슈가 있었어요. 다른 테마들은 잘 적용되었는데 base16-[이름] 형태인 테마는 적용이 안되더라고요.. 이유는 아직 못찾았습니다. 아시는 분 계시면 답글 남겨주세요!
Dynamic Link에서는 PLT와 GOT이 필요함. Static Link 방식으로 컴파일하면 라이브러리가 프로그램 내부에 있어 별도로 함수의 주소를 알아내는 과정이 필요하지 않음. 그러나 Dynamic Link 방식으로 컴파일하면 라이브러리가 외부에 위치해 함수 주소를 알아오는 과정이 필요하게 됨.
PLT(Procedure Linkage Table)이란?
외부 library 함수를 사용할 수 있도록 연결해주는 table
PLT를 통해 다른 라이브러리에 있는 함수를 호출해 사용할 수 있음
GOT(Global Offset Table)이란?
PLT가 참조하는 table
PLT에서 호출하는 resolve 함수를 통해 구한 library 함수들의 절대 주소가 저장되어 있음
Dynamic Link방식에서 프로그램이 함수를 호출하게 되면 PLT를 가장 먼저 참조하게 됨
PLT에서 GOT로 jump하게 되며, GOT에 기록된 실제 함수 주소(library에 기록되어 있음)를 호출하여 함수가 동작하게 됨
이는 1번째 호출인지, 아닌지에 따라 동작 과정에 차이가 있음
바이너리가 실행되면 ASLR에 의해 library가 임의의 주소에 mapping 됨 해당 상태에서 library 함수를 호출하면, 함수의 이름을 바탕으로 library에서 symbol들을 탐색하고 해당 함수의 정의를 발견하였을 때 그 주소로 실행 흐름을 옮김 → 이 과정을 runtime resolve라고 부름
만약, 반복적으로 호출되는 함수 정의를 매번 탐색하게 된다면 이는 매우 비효율적임
이에 GOT이라는 table에 resolve된 함수의 주소를 저장하여 사용하고 있음 → 저장된 주소를 꺼내쓰기만 하면 되기 때문!
결론적으로 함수에 대해 1번째 호출하게 된다면, 다음과 같이 호출흐름을 그려볼 수 있음
✨함수 호출 → PLT 이동 → GOT 참조 → PLT로 재이동 → _dl_runtime_resolve 수행 → GOT에 실제 주소 저장 후 실제 함수 주소로 분기
출처: https://bob3rdnewbie.tistory.com/190
반대로, 함수의 최초 호출이 진행된 후 재호출하게 된다면 GOT에 저장된 실제 함수 주소를 참조하기만 하면 됨
✨ 함수 호출 → PLT이동 → GOT참조 → 실제 함수 주소로 jump
출처: https://bob3rdnewbie.tistory.com/190
위의 상황을 모두 조합하여 흐름을 figure로 확인해보면 아래와 같음
출처: https://bnzn2426.tistory.com/27
실습으로 알아보는 resolve 전후 과정
실습 코드
// Name: got.c
// Compile: gcc -o got got.c -no-pie
#include <stdio.h>
int main() {
puts("Resolving address of 'puts'.");
puts("Get address from GOT");
}
코드는 단순히 puts 함수를 2번 호출하고 있음
1번째 puts 함수와 2번째 puts 함수의 동작 과정은 상이할 것임! (1번째 puts 함수에서는 resolve 과정이 수행되기 전이고, 2번째 puts 함수에서는 resolve 과정이 끝난 상태일 것)
gdb 동적 분석
main 함수
pwndbg> disass main
Dump of assembler code for function main:
0x0000000000401136 <+0>: endbr64
0x000000000040113a <+4>: push rbp
0x000000000040113b <+5>: mov rbp,rsp
0x000000000040113e <+8>: lea rdi,[rip+0xebf] # 0x402004
0x0000000000401145 <+15>: call 0x401040 <puts@plt>
0x000000000040114a <+20>: lea rdi,[rip+0xed0] # 0x402021
0x0000000000401151 <+27>: call 0x401040 <puts@plt>
0x0000000000401156 <+32>: mov eax,0x0
0x000000000040115b <+37>: pop rbp
0x000000000040115c <+38>: ret
End of assembler dump.
main+15, main+27에서 puts함수를 호출하고 있음
puts 함수
pwndbg> disass puts
Dump of assembler code for function puts@plt:
0x0000000000401040 <+0>: endbr64
0x0000000000401044 <+4>: bnd jmp QWORD PTR [rip+0x2fcd] # 0x404018 <puts@got.plt>
0x000000000040104b <+11>: nop DWORD PTR [rax+rax*1+0x0]
End of assembler dump.
앞선 실습에서 1번째 puts 함수를 호출하며 GOT에 저장한 puts 함수의 실제 주소를 변조할 수 있다면, 2번째 puts 함수를 호출할 때 puts 함수 대신 다른 코드가 실행되도록 할 수 있음(GOT Overwrite)
실습 코드를 약간 수정하여 /bin/sh를 호출할 수 있는 get_shell함수를 삽입함
// Name: got.c
// Compile: gcc -o got got.c -no-pie
#include <stdio.h>
void get_shell(){
system("/bin/sh");
}
int main() {
puts("Resolving address of 'puts'.");
puts("Get address from GOT");
}
pwndbg> info func
All defined functions:
Non-debugging symbols:
0x0000000000401000 _init
0x0000000000401050 puts@plt
0x0000000000401060 system@plt
0x0000000000401070 _start
0x00000000004010a0 _dl_relocate_static_pie
0x00000000004010b0 deregister_tm_clones
0x00000000004010e0 register_tm_clones
0x0000000000401120 __do_global_dtors_aux
0x0000000000401150 frame_dummy
0x0000000000401156 get_shell
0x0000000000401172 main
0x00000000004011a0 __libc_csu_init
0x0000000000401210 __libc_csu_fini
0x0000000000401218 _fini
pwndbg> disass puts
Dump of assembler code for function puts@plt:
0x0000000000401050 <+0>: endbr64
0x0000000000401054 <+4>: bnd jmp QWORD PTR [rip+0x2fbd] # 0x404018 <puts@got.plt>
0x000000000040105b <+11>: nop DWORD PTR [rax+rax*1+0x0]
End of assembler dump.
pwndbg> b *main+27
Breakpoint 1 at 0x40118d
pwndbg> r
pwndbg> set *(unsigned long long*) 0x404018=0x401156
pwndbg> c
Continuing.
$ ls
got got.c Return_Address_Overwrite ReturnToShellcode ssp_000 ssp_001
$
gdb에서 값을 변경하고 싶을 때에는 set명령을 이용할 수 있음
puts@got(0x404018)을 get_shell함수 주소(0x401156)으로 변조하면 2번째 puts 함수를 호출하였을 때 /bin/sh 쉘이 출력되는 것을 확인할 수 있음
새롭게 알게 된 것
libc의 모든 함수들은 정해진 순서가 있으며, 외부 바이너리에서 함수를 호출하면 공유 라이브러리 내부의 순서를 우선시하여 index를 부여함
대표적으로 printf, scanf, strlen, memcpy, malloc 등의 함수가 있음
자주 사용되는 함수들의 정의를 묶어 하나의 라이브러리 파일로 만들고, 이를 여러 프로그램이 공유하여 사용할 수 있도록 지원하고 있음
Library를 사용하면 같은 함수를 반복적으로 정의하지 않아도 손쉽게 활용할 수 있어 코드 개발의 효율을 높임
각 언어에서 범용적으로 많이 사용되는 함수들은 표준 라이브러리가 제작되어 있어 호출만 하면 사용할 수 있음
C의 표준 Library인 libc는 ubuntu에 기본으로 탑재되어 있으며, /lib/x86-64-linux-gnu/libc-2.27.so에 존재함
해당 경로에서 위와 같은 방법으로 찾아볼 수 있으나, 필자는 ubuntu 버전차로 libc-2.27.so는 존재하지 않음
예
C의 printf 함수
libc에 정의된 printf함수의 source code는 다음과 같음
/* Copyright (C) 1991-2018 Free Software Foundation, Inc.
This file is part of the GNU C Library.
The GNU C Library is free software; you can redistribute it and/or
modify it under the terms of the GNU Lesser General Public
License as published by the Free Software Foundation; either
version 2.1 of the License, or (at your option) any later version.
The GNU C Library is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the GNU
Lesser General Public License for more details.
You should have received a copy of the GNU Lesser General Public
License along with the GNU C Library; if not, see
<http://www.gnu.org/licenses/>. */
#include <libioP.h>
#include <stdarg.h>
#include <stdio.h>
#undef printf
/* Write formatted output to stdout from the format string FORMAT. */
/* VARARGS1 */
int
__printf (const char *format, ...)
{
va_list arg;
int done;
va_start (arg, format);
done = vfprintf (stdout, format, arg);
va_end (arg);
return done;
}
#undef _IO_printf
ldbl_strong_alias (__printf, printf);
/* This is for libg++. */
ldbl_strong_alias (__printf, _IO_printf);
Object File은 실행 가능한 형식을 갖추고 있지만, library 함수들의 정의가 어디에 존재하는지 알 수 없어 실행 불가함
// Path: /usr/include/stdio.h
...
/* Write a string, followed by a newline, to stdout.
This function is a possible cancellation point and therefore not
marked with __THROW. */
extern int puts (const char *__s);
...
puts함수에 대한 선언은 /usr/include/stdio.h에 정의되어 있음
그러나 puts 함수 내부 코드에 대해서는 정의되어 있지 않음
이와 관련된 정보들을 찾아 최종 실행 파일에 기록하는 것이 link과정에서 일어나는 것임!
코드에 대해 완전히 컴파일하고, link 되기 전후 과정을 비교해보면 다음과 같음
$ gcc -o hello-world hello-world.c
$ readelf -s hello-world | grep puts
2: 0000000000000000 0 FUNC GLOBAL DEFAULT UND puts@GLIBC_2.2.5 (2)
46: 0000000000000000 0 FUNC GLOBAL DEFAULT UND puts@@GLIBC_2.2.5
$ ldd hello-world
linux-vdso.so.1 (0x00007ffec3995000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fee37831000)
/lib64/ld-linux-x86-64.so.2 (0x00007fee37e24000)
libc에 대해 source code와 함께 컴파일하지 않았음에도 불구하고 libc에서 puts함수에 대해 탐색할 수 있었던 것은, libc 파일이 존재하는 /lib/x86_64-linux-gnu/ 가 표준 library 경로에 포함되어 있기 때문임
gcc 컴파일러는 source code를 컴파일할 때 표준library 경로에 있는 모든 library File들을 탐색함
이렇게 Link과정을 거치고 나면 binary에서 puts함수를 호출할 때, puts함수가 정의되어 있는 libc에서 puts함수의 코드를 찾아 실행하게 됨
🔍 요약 Link/Linking은 컴파일 이후 프로그램을 실행하기 이전에, 프로그램이 사용하는 다른 프로그램이나 library를 가져와 연결하는 과정
표준 libc로 지정한 파일 이외에도 사용자가 작성한/보유한 파일에 대해 직접 linking 해줄 수도 있음
실행 흐름 정리) binary에서 puts 함수 호출 → libc에서 puts 함수 코드 찾아 실행 → binary에서 puts 함수의 다음 코드 실행
이론은 [Dreamhack - Mitigation: Stack Canary] 부분을 정리한 뒤 추가적으로 덧붙였습니다.
Stack Canary
함수의 프롤로그에서 스택 버퍼와 반환 주소 사이에 임의의 값을 삽입하고, 함수의 에필로그에서 해당 값의 변조를 확인하는 보호 기법
카나리 값의 변조가 확인되면 프로세스는 강제로 종료됨
스택 버퍼 오버플로우로 반환 주소를 덮으려면 반드시 카나리를 먼저 덮어야 함
카나리 값을 모르는 공격자는 반환 주소를 덮을 때 카나리 값을 변조하게 되고, 에필로그에서 변조가 확인되어 공격자는 실행 흐름을 획득하지 못함
🦜 카나리 이름의 유래 (Canary in a Coal Mine) 19세기, 20세기에는 일산화탄소 농도의 측정 기술이 부족했고, 탄광에서 유출된 일산화탄소에 광부가 중독사하는 사건이 빈번하게 발생했음. 카나리아라는 새는 유독가스에 민감해 사람이 중독되기 전에 먼저 반응하여 죽기 때문에, 누출을 사전에 인지 가능했음 이로 인해 카나리아는 “위험을 알려주는 새”라는 상징적 의미를 갖게 됨 소프트웨어를 출시하거나 업데이트할 때, 베타 테스트 용도로 공개하는 버전을 카나리 버전이라고 부르는 것도 이런 의미가 반영된 것 카나리 보호 기법도 반환 주소가 덮인 것을 알려준다는 의미에서 “카나리”로 이름 붙여짐 카나리아 새 - 이미지 출처: https://itwiki.kr/w/%EC%B9%B4%EB%82%98%EB%A6%AC
컴파일 시 카나리 옵션 적용하기
gcc 컴파일 시 옵션을 주지 않으면 기본적으로 canary가 적용됨
canary 옵션을 빼고 싶다면 -fno-stack-protector 옵션을 사용하면 됨
카나리 활성화 여부에 따른 error 발생 차이
실습 바이너리는 [Dreamhack - Return to Shellcode]를 대상으로 수행하였습니다.
canary 적용 → stack smashing detected
임의의 값을 지정된 버퍼보다 훨씬 많은 값을 주었을 때 stack smashing detected라는 error가 발생함 -> canary가 존재함을 알 수 있음
canary 미적용 → Segmentation fault
canary가 적용되지 않은 경우 버퍼 크기 보다 많은 값을 입력했을 때 Segmentation fault라는 error가 발생함
rcx에 저장된 canary 값과 기존에 fs:0x28에 저장된 canary 값을 xor 연산
두 값이 동일하면 연산 결과가 0이 되면서 je 조건을 만족하여 main 함수가 정상적으로 반환됨
그러나 두 값이 동일하지 않으면 __stack_chk_fail이 호출되면서 프로그램이 강제로 종료됨
가장 처음 생성하였던 fs:0x28의 canary와 스택에 저장된 canary(rbp-0x8)가 같은지 비교하는 것 만약 BOF가 발생하였다면 canary 값을 임의의 값으로 덮어쓰게 될 것이고, 이는 스택에 저장된 canary 값을 변조하게 됨 이로 인해 fs:0x28의 canary와 xor 연산하게 되면 불일치하여 1이 반환될 것! → stack smashing detected error 발생
💡xor 연산
bit 1
bit 2
result
0
0
0
0
1
1
1
0
1
1
1
0
같은 bit일 때 0을 반환, 다를 때 1을 반환 함 canary 또한 두 값이 동일하다면 연산하는 bit 모두 동일하므로 결과적으로 0이 반환되는 것!
카나리 생성 과정
카나리 값은 프로세스가 시작될 때 TLS에 전역 변수로 저장되고 각 함수마다 프롤로그와 에필로그에서 해당 값을 참조함
TLS의 주소 파악
fs는 TLS를 가리키므로 fs 값을 알면 TLS의 주소를 알 수 있음
BUT 리눅스에서 fs값은 특정 시스템 콜을 사용해야만 조회하거나 설정할 수 있음(info register fs, print $fs등으로 알 수 없다는 말!)
fs의 값을 설정할 때 호출되는 arch_prctl(int code, unsigned long addr) 시스템 콜에 bp 걸어 확인할 수 있음
arch_prctl(ARCH_SET_FS, addr)의 형태로 호출하면 fs의 값은 addr로 설정됨
$ gdb -q ./canary
pwndbg> catch syscall arch_prctl
Catchpoint 1 (syscall 'arch_prctl' [158])
pwndbg> run
Catchpoint 1 (call to syscall arch_prctl), 0x00007ffff7dd6024 in init_tls () at rtld.c:740
740 rtld.c: No such file or directory.
► 0x7ffff7dd4024 <init_tls+276> test eax, eax
0x7ffff7dd4026 <init_tls+278> je init_tls+321 <init_tls+321>
0x7ffff7dd4028 <init_tls+280> lea rbx, qword ptr [rip + 0x22721]
pwndbg> info register $rdi
rdi 0x1002 4098 // ARCH_SET_FS = 0x1002
pwndbg> info register $rsi
rsi 0x7ffff7fdb4c0 140737354032320
pwndbg> x/gx 0x7ffff7fdb4c0+0x28
0x7ffff7fdb4e8: 0x0000000000000000
💡gdb catch(catchpoint) 특정 이벤트가 발생했을 때 프로세스를 중지함
catchpoint에 도달했을 때, rdi에 저장된0x1002는 ARCH_SET_FS의 상숫값임
rsi 값이 0x7ffff7fdb4c0이므로 이 프로세스는 TLS를 0x7ffff7fdb4c0에 저장할 것이며, fs는 이를 가리키게 될 것
카나리가 저장될 fs+0x28(0x7ffff7fdb4c0+0x28)의 값을 보면, 아직 어떠한 값도 설정되어 있지 않음
canary 값 설정
TLS+0x28에 값을 쓸 때 wathpoint 설정
security_init 함수에서 프로세스가 멈춤
💡gdb watch(watchpoint) 특정 주소에 저장된 값이 변경되면 프로세스 중지함
pwndbg> watch *(0x7ffff7fdb4c0+0x28)
Hardware watchpoint 4: *(0x7ffff7fdb4c0+0x28)
pwndbg> continue
Continuing.
Hardware watchpoint 4: *(0x7ffff7fdb4c0+0x28)
Old value = 0
New value = -1942582016
security_init () at rtld.c:807
807 in rtld.c
pwndbg> x/gx 0x7ffff7fdb4c0+0x28
0x7ffff7fdb4e8: 0x2f35207b8c368d00
→ TLS+0x28의 값을 조회하면 canary 값이 0x2f35207b8c368d00으로 설정된 것을 확인할 수 있음
해당 값이 실제 main 함수에서 사용하는 canary 값인지 확인
pwndbg> b *main
Breakpoint 3 at 0x5555555546ae
Breakpoint 3, 0x00005555555546ae in main ()
pwndbg> x/10i $rip
► 0x5555555546ae <main+4>: sub rsp,0x10
0x5555555546b2 <main+8>: mov rax,QWORD PTR fs:0x28
0x5555555546bb <main+17>: mov QWORD PTR [rbp-0x8],rax
0x5555555546bf <main+21>: xor eax,eax
0x5555555546c1 <main+23>: lea rax,[rbp-0x10]
0x5555555546c5 <main+27>: mov edx,0x20
0x5555555546ca <main+32>: mov rsi,rax
0x5555555546cd <main+35>: mov edi,0x0
0x5555555546d2 <main+40>: call 0x555555554580 <read@plt>
0x5555555546d7 <main+45>: mov eax,0x0
pwndbg> ni
0x00005555555546b2 in main ()
pwndbg> ni
0x00005555555546bb in main ()
pwndbg> i r $rax
rax 0x2f35207b8c368d00 3401660808553729280
→ mov rax, QWORD PTR fs:0x28 부분 실행 후 rax 값을 확인해보면 security_init에서 설정한 값과 같은 것을 알 수 있음
카나리 우회
1. 무차별 대입(Brute Force)
x64 아키텍처에서는 8byte의 canary가 생성됨
Brute Force로 최대 256^7번 연산이 필요함
x86 아키텍처에서는 4byte의 canary가 생성됨
Brute Force로 최대 256^3번의 연산이 필요함
canary에는 null-byte가 포함되어, 실제로는 7byte, 3byte의 random한 값이 포함됨!
→ 무차별 대입으로 알아내는 것은 현실적으로 어려움
2. TLS 접근
canary는 TLS에 전역변수로 저장됨
매 함수마다 이를 참조해서 사용함!
TLS 주소는 매 실행마다 바뀌지만 실행 중 TLS 주소를 알 수 있고, 임의 주소에 대한 읽기 또는 쓰기가 가능할 경우 TLS에 설정된 canary 값을 읽거나 임의의 값으로 조작할 수 있음
→ stack BOF를 수행할 때 알아낸 canary 값 또는, 조작한 canary 값으로 stack canary를 덮으면 함수 에필로그에 있는 canary 검사를 우회할 수 있음!
read 함수를 통해 name, memo에 64bytes씩 입력할 수 있음 → 주어진 buffer 크기보다 더 많은 값을 입력할 수 있으므로 BOF 취약점 발생
printf 함수를 통해 입력한 name과 memo에 대한 값을 출력해줌
stack 구조
💡printf 함수 printf 함수는 null-byte가 오기 직전까지 출력해줌 입력 값의 가장 마지막은 null-byte가 위치하여 메모리 상에서 값에 대한 구분을 하게 됨 즉, memo와 name에 대해 입력하게 된다면 각각의 마지막 byte는 null로서 구분됨 그러나 이때, 마지막 byte를 null-byte가 아닌 임의의 값으로 채워준다면 지정된 buffer 이후의 값도 출력할 수 있음
예를 들어, name에 임의의 값(다수의 a)를 입력한 뒤, memo에 8bytes를 꽉채워 입력하게 되면 null-byte를 덮어쓰게 됨
printf 함수는 null-byte가 올 때까지의 모든 것을 출력해주므로, memo 뒤에 위치한 name에 있는 값까지 출력하게 됨
memo에 대한 값을 print하는 부분에서 name 값까지 leak된 것을 확인할 수 있음
💡name 직후에 존재하는 canary에 대해서도 이와 같은 방법으로 leak할 수 있음 그러나 여기서는 name에 대한 8byte만 채우면 안됨 canary의 첫 번째 byte가 null-byte이므로 name[8]+canary[1] 만큼의 dummy 값을 줘야 printf 함수를 통해 canary 값을 leak할 수 있음
9byte의 입력 값을 주었을 때 leak된 canary
shell에서 보았을 때 canary 값이 이상하게 깨져서 보이는데, 이는 canary가 갖는 hex 값에 대해 ascii 문자로 치환할 수 있는 것이 없기 때문
위의 ascii 코드표(ASCII Table)에 matching되는 hex에 대해서만 치환 가능
