[Security/BOF] LEVEL 12. Golem -> darknight

문제

     

문제

이번 다크나이트 문제에서는 사용자함수를 하나 호출합니다. 이때 strncpy를 하는데 41byte만큼 카피합니다. 기본 버퍼 크기가 40byte 이기 때문에 1byte를 바꿀 수 있습니다. 이때 1byte가 바뀌면 함수가 끝나고 ebp의 값을 바꿀 수 있다는 것 까지는 알겠는데 이 이상을 잘 모르겠습니다. 일단 더미를 하나 만들고 gdb로 확인해 보았습니다.

변형된 ebp가 어떻게 적용되는지 알아보기 위해 leave와 ret의 명령어에 대해서 좀더 자세히 알아보았습니다.

Leave :

           Mov esp, ebp

           Pop ebp

Ret :

           Pop eip

위와 같은 방식으로 작동합니다. 즉 esp에 ebp를 복사하고 pop ebp, pop eip를 순서대로 하는 것 입니다. 이렇게 작동을 하면 eip를 조작할 수 있을 것으로 보입니다.

다음과 같이 입력해서 공격할 주소를 찾아 보았습니다.

Nop가 있는 주소값도 찾았습니다.

찾은 정보르 이용해서 공격 성공합니다!!