[Dreamhack] ssp_001

📌 문제 코드

#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>
void alarm_handler() {
    puts("TIME OUT");
    exit(-1);
}
void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);
    signal(SIGALRM, alarm_handler);
    alarm(30);
}
void get_shell() {
    system("/bin/sh");
}
void print_box(unsigned char *box, int idx) {
    printf("Element of index %d is : %02x\n", idx, box[idx]);
}
void menu() {
    puts("[F]ill the box");
    puts("[P]rint the box");
    puts("[E]xit");
    printf("> ");
}
int main(int argc, char *argv[]) {
    unsigned char box[0x40] = {};
    char name[0x40] = {};
    char select[2] = {};
    int idx = 0, name_len = 0;
    initialize();
    while(1) {
        menu();
        read(0, select, 2);
        switch( select[0] ) {
            case 'F':
                printf("box input : ");
                read(0, box, sizeof(box));
                break;
            case 'P':
                printf("Element index : ");
                scanf("%d", &idx);
                print_box(box, idx);
                break;
            case 'E':
                printf("Name Size : ");
                scanf("%d", &name_len);
                printf("Name : ");
                read(0, name, name_len);
                return 0;
            default:
                break;
        }
    }
}​

먼저 문제 파일의 C코드를 분석해보자.

전체적인 코드는 사용자가 ‘box’에 값을 채우고, 상자의 요소를 출력하거나 프로그램을 종료할 수 있는 간단한 인터페이스를 제공하고 있다. 자세한 기능들을 살펴보면 다음과 같다.

• alarm_handler() 함수: SIGALRM 시그널 핸들러로, 시그널이 발생하면 "TIME OUT" 메시지를 출력하고 프로그램을 종료한다.
• initialize() 함수: 프로그램 초기화를 담당하고 있다. stdin과 stdout의 버퍼를 비활성화하고, SIGALRM 시그널에 alarm_handler() 함수를 연결하며, 30초 타임 아웃을 설정한다.
• get_shell() 함수: /bin/sh 셸을 실행하고 있다.
• print_box() 함수: 주어진 상자(box)의 특정 인덱스에 있는 요소를 출력하고 있다.
• menu() 함수로 사용자에게 상자를 채우거나 인덱스를 지정하여 요소를 출력하거나 프로그램을 종료할 수 있는 메뉴를 표시하고 있다.

 

따라서 F'를 입력하면 상자를 채우고, 'P'를 입력하면 특정 인덱스에 있는 요소를 출력하며, 'E'를 입력하면 프로그램이 종료된다. 'E'를 선택하면 이름의 크기를 입력하고 이름을 읽은 후 프로그램이 종료된다.

 

 

해당 문제도 마찬가지로 pwndbg 모드로 해당 파일에서 현재 사용하고 있는 방어기법을 확인해보았다.

ssp_001은 000문제와 달리 32비트 환경에서 작동하고 있고, canary가 존재하며 NX enabled 이므로 스택 내 실행 권한이 없음을 알 수 있었다.

 

 

우선 disassemble main 명령어를 통해 main 함수와 스택 구조에 대한 분석을 진행하였다.

• case F : 0x080487d5 <+170>: lea eax,[ebp-0x88]
• case P : 0x080487f8 <+205>: lea eax,[ebp-0x94]
• case E : 0x08048852 <+295>: mov eax,DWORD PTR [ebp-0x90]
• select : 0x08048797 <+108>: lea eax,[ebp-0x8a]
• dummy 확인 : __stack_chk_fail@plt를 호출하는 것을 봤을 때, ebp-0x8 위치에 캐너리가 위치함을 알 수 있고, ebp와 캐너리 사이에 4byte의 dummy 값이 존재하고 있음을 알 수 있다.

 

위와 같이 어셈블리에 대한 분석을 바탕으로 다음과 같은 스택 구조를 그릴 수 있었다.

 

 

이를 바탕으로 아래와 같이 익스플로잇 코드를 작성할 수 있다.

본 익스플로잇 코드에서는 카나리 값을 얻어내는 것이 가장 중요한 것으로 보였으며 SSP를 우회하고, 프로그램의 get_shell 함수를 호출하여 셸을 얻을 수 있는 코드를 작성하였다.

 

이후 해당 파이썬 코드를 실행하고

 

 

ls 명령어로 파일을 확인한 후 flag 파일에 대한 내용을 확인해보고자 cat 명령어를 활용하였더니 아래와 같이 플래그 값을 확인할 수 있었다.

 

문제 해결-!