Plaid CTF 2013 ropasaurusrex 문제풀이

1. ropasaurusrex
Plaid CTF 2013
2017.04.25
홍승표(Phantom)

2. 『머리말』
처음 푼 CTF 문제이기에 삽질이 매우 많았다.
그래서 환경도 몇 번이나 새로 설정하고
분석을 안하고 어렴풋이 풀려 하니 페이로드가 너무나 헷갈렸다.
이 교육자료를 통해 ROP에 대한 개념을 조금이나마 숙지하고
조금 더 나아가 다른 풀 수 있는 계기가 된다면 좋겠다.

3. I. Plaid CTF 2013 - ropasaurusrex
II. What is ROP??
III. 개요 및 기초 분석
IV. 정보 수집
V. Exploit
Contents

4. I. Plaid CTF 2013 - ropasaurusrex
Contents

5. 1. 개요
파일을 실행하고 아무거나 입력하면 “WIN”이라는 문자열을 출력하고
종료한다.

6. II. What is ROP??
Contents

7. ROP(Returned Oriented Programming)
취약한 프로그램 내부에 있는 기계어 코드 섹션들(Gadget)을
이용하여 BOF공격 시 특정 명령을 실행시키는 방법

8. PLT, GOT
PLT(Procedure Linkage Table) : 외부 프로시저(함수)를 연결해주는 테이블
GOT(Global Offset Table) : PLT가 참조하는 테이블

9. PLT, GOT
함수를 호출하면(PLT를 호출하면) GOT로 점프하는데 GOT에는 함수의 실제 주소가 쓰여있다.
첫 번째 호출이라면 GOT는 함수의 주소를 가지고 있지 않고 ‘어떤과정’ 을 거쳐 주소를 알아낸다.
두 번째 호출부터는 첫 번째 호출 때 알아낸 주소로 바로 점프한다.

10. III. 개요 및 기초분석
Contents

11. 1. 파일 분석
32bit ELF Binary
Stripped

12. 2. 메모리 보호기법
NX(No Excutable)
해당 메모리 영역에 w권한과 x권한을 동시에 갖지 않도록 설정하는 것

13. 2. 메모리 보호기법
ASLR(Address Space Layout Randomization)
메모리상의 공격을 방어하기 위해 주소 공간배치를 난수화 시키는 기법.

14. 3. 정적 분석

15. 3. 정적 분석

16. 3. 정적 분석

17. 4. 동적분석

18. 4. 동적분석

19. 4. 동적분석
BUF[136] SFP[4] RET[4]

20. IV. 정보 수집
Contents

21. 1. PLT, GOT 수집
write@plt – 0x804830c
read@plt – 0x804832c
read@got – 0x804961c

22. 2. 입력 데이터 저장 영역 탐색
.dynamic – 0xd0 byte
.data – 0x8 byte
.bss – 0x8 byte

23. 2. 입력 데이터 저장 영역 탐색
.dynamic – 0xd0 byte
.data – 0x8 byte
.bss – 0x8 byte

24. 3. 함수 간 Offset
read() addr – 0xf7edc1c0
system() addr – 0xf7e42940
read – system offset – 0x99880

25. 4. Gadget
pop_pop_pop_ret – 0x80484b6

26. V. Exploit
Contents

27. 1. Exploit 전 서비스 등록

28. 2. libc 추가

29. 3. Payload 작성

30. 4. Exploit

31. 『마치며』
스스로 이 문제를 풀기 위해 3일간 삽질을 했고
부족했던 개념들을 다시 이해하기 위해 2일을 더 배워야 했습니다
이 자료를 보시는 분들도 이 자료를 통해 많은 공부가 되고
이해가 안되는 부분을 더 많이 스스로 찾고 탐구하는
그래서 자신만의 첫 CTF문제를 풀게 되는 순간이
모두들 오게 되었으면 좋겠습니다.

32. Thanks to
가장 먼저 이 기법에 대한 문제들을 소개해준 정경빈 군
문제 풀며 삽질할 때 아주 많은 도움을 준 심상현 군
자료를 만들며 많은 이해와 자료의 도움을 주신
Blackperl Security의 안소희 연구원님과 김민정 연구원님
마지막으로 이 자료를 만드는 모든 기회와 계기를 주신
보안 프로젝트 조정원 대표님

33. Reference to
• ropasaurusrex_salen – link
• [PlaidCTF] ropasaurusrex_conchi – link
• PLT와 GOT 자세히 알기 1 - link
• Plaid CTF 2013 ropasaurusrex_confus3r – link
• remote BOF1 - [xinetd 데몬으로 작동하는 프로그램] – link
• LD_LIBRARY_PATH 에 경로 추가 - link

34. 감사합니다