HackerSchool FTZ Level 1 풀이

HackerSchool FTZ Level 1 풀이 

설치 과정은 잘 나와있으므로 전부 생략

풀이 참고 문헌은 문제풀이로 배우는 시스템 해킹 테크닉

---

먼저 로그인 후 hint가 보이므로 hint 부터 파악

힌트에는 Setuid가 걸린 파일을 찾아야 한다.파일을 찾는데는 find를 쓰면 된다.

find / -perm +6000 -user level2 2>/dev/null

find / -perm +6000 -user level2 2>/dev/null

find : 명령어

/ : 전체 디렉토리

-perm : 파일 권한이 어떻게 되어있는지

+6000 : Setuid나 Setgid가 설정된 파일

-user : 어떤 유저 파일인지

level2 : 유저 이름

2>/dev/null : 에러가 나는 것들은 전부 출력 X
(1>/dev/null하면 에러가 나는거만 출력)

2>/dev/null이 없다면 찾기가 힘듬

/bin/ExecuteMe 파일 확인 

실행시 화면

/bin/bash 실행시키면 바로 level2가 됨.
(/bin/bash말고 sh등등 으로도 level2가 가능)

---

ADB를 이용하여 /bin/Execute 파일 분석

gdb /bin/Execute

(gdb) disas main

0x08048488 
:    push   %ebp
0x08048489 :    mov    %esp,%ebp
0x0804848b :    sub    $0x28,%esp
0x0804848e :    and    $0xfffffff0,%esp
0x08048491 :    mov    $0x0,%eax
0x08048496 :   sub    %eax,%esp
0x08048498 :   sub    $0xc,%esp
0x0804849b :   push   $0x8048680
0x080484a0 :   call   0x8048358 
0x080484a5 :   add    $0x10,%esp
0x080484a8 :   sub    $0xc,%esp
0x080484ab :   push   $0x804868f
0x080484b0 :   call   0x8048378 
0x080484b5 :   add    $0x10,%esp
0x080484b8 :   sub    $0xc,%esp
0x080484bb :   push   $0x80486a0
0x080484c0 :   call   0x80483a8 
0x080484c5 :   add    $0x10,%esp
0x080484c8 :   sub    $0xc,%esp
0x080484cb :   push   $0x80486e0
0x080484d0 :   call   0x80483a8 
0x080484d5 :   add    $0x10,%esp
0x080484d8 :   sub    $0xc,%esp
0x080484db :   push   $0x8048720
0x080484e0 :   call   0x80483a8 
0x080484e5 :   add    $0x10,%esp
0x080484e8 :   sub    $0xc,%esp
0x080484eb :   push   $0x8048760
0x080484f0 :  call   0x80483a8 
0x080484f5 :  add    $0x10,%esp
0x080484f8 :  sub    $0xc,%esp
0x080484fb :  push   $0x8048782
0x08048500 :  call   0x80483a8 
0x08048505 :  add    $0x10,%esp
0x08048508 :  sub    $0x4,%esp
0x0804850b :  pushl  0x8049948
0x08048511 :  push   $0x1e
0x08048513 :  lea    0xffffffd8(%ebp),%eax
0x08048516 :  push   %eax
0x08048517 :  call   0x8048368 
0x0804851c :  add    $0x10,%esp
0x0804851f :  lea    0xffffffd8(%ebp),%eax
0x08048522 :  sub    $0x8,%esp
0x08048525 :  push   $0x804879c
0x0804852a :  push   %eax
0x0804852b :  call   0x8048388 
0x08048530 :  add    $0x10,%esp
0x08048533 :  test   %eax,%eax
0x08048535 :  je     0x8048551 
0x08048537 :  sub    $0xc,%esp
0x0804853a :  push   $0x80487c0
0x0804853f :  call   0x80483a8 
0x08048544 :  add    $0x10,%esp
0x08048547 :  sub    $0xc,%esp
0x0804854a :  push   $0x0
0x0804854c :  call   0x80483c8 
0x08048551 :  lea    0xffffffd8(%ebp),%eax
0x08048554 :  sub    $0x8,%esp
0x08048557 :  push   $0x80487e8
0x0804855c :  push   %eax
0x0804855d :  call   0x8048388 
0x08048562 :  add    $0x10,%esp
0x08048565 :  test   %eax,%eax
0x08048567 :  je     0x8048583 
0x08048569 :  sub    $0xc,%esp
0x0804856c :  push   $0x8048800
0x08048571 :  call   0x80483a8 
0x08048576 :  add    $0x10,%esp
0x08048579 :  sub    $0xc,%esp
0x0804857c :  push   $0x0
0x0804857e :  call   0x80483c8 
0x08048583 :  sub    $0xc,%esp
0x08048586 :  push   $0x8048826
0x0804858b :  call   0x80483a8 
0x08048590 :  add    $0x10,%esp
0x08048593 :  sub    $0x8,%esp
0x08048596 :  push   $0xbba
0x0804859b :  push   $0xbba
0x080485a0 :  call   0x80483b8 
0x080485a5 :  add    $0x10,%esp
0x080485a8 :  sub    $0xc,%esp
0x080485ab :  lea    0xffffffd8(%ebp),%eax
0x080485ae :  push   %eax
0x080485af :  call   0x8048358 
0x080485b4 :  add    $0x10,%esp
0x080485b7 :  leave
0x080485b8 :  ret
0x080485b9 :  nop
0x080485ba :  nop
0x080485bb :  nop

함수를 Call하는 부분을 크게 살펴보자면

system -> chdir -> printf *5 -> fgest -> strstr -> printf -> exit -> printf -> setreuid -> system

main+16까지는 함수 프롤로그 및 esp자리 확보이므로 넘긴다.

main+19에 push $0x8048680이 있다 여기엔 /usr/bin/clear값이 있고

다음 system함수를 만나 화면을 clear하게 된다.

main+13에 chdir한다. main+35에 0x804868f이 push되었으므로 여기엔 아래와 같은 값이 있다.

여기까지 정리하자면 /usr/bin/clear로 화면을 밀고, /hmoe/level2로 디렉토리를 옮긴다.

다음은 printf문구가 5번 나오는데 각각 값이 뭐가 들어가 있는지 확인 해보자.

main+51,67,83,99,115의 값을 확인해보면 다음과 같다.

main+131에 0x8049948을 Push하는데 여기에 stdin값는다

main+137에 0x1e(30)를 push하고 여기서 사이즈를 받는다.

main+139에 lea 0xffffffd8(%ebp), %eax를 통하여 배열주소를 받는다. 따라서. 

main+143와 결합하면 fgets(배열주소, 사이즈(30), stdin)이 될 것이다.

main+157에 0x804879c에는 my-pass라는 값이 들어가 있다.

main+157의 값을 가져와 main+163에서 비교를 한다. 

main +171 ~ 196은 만약 값을 비교해서 my-pass가 나왔다면 아래의 출력이 나오고 exit가 된다.

main +201 ~ 246도 my-pass가 아닌 chmod를 검사하고 같으면 exit로 종료된다.

main +270 ~ 280 에 0xbba를 10진수로 바꾸면 3002이다. setreuid(3002,3002)로 level2의 ID를 나타낸다.

main +285 ~ 295는 아까 입력했던 값을 level2의 id의 권한으로 system(입력값)이 된다. 

그래서 이 입력값에 /bin/bash나 sh등을 입력하면 level2로 쉘이 열리게 된다. 

main + 300 ~ 이후는 함수 에필로그이다. 

---

(gdb) set disassembly intel(att)

로 디스 어셈블리 코드를 다르게 볼 수 있다.