pwn を解く為に必要なステップ

Last updated Nov 26, 2022 Edit Source

脆弱性の種類と，その攻略方法

flagを獲得する方法

1. シェルコードを実行
   1. Exec-shell系
   2. Exec-shell + バックコネクト系
   3. shellcode - Qiita
2. system("/bin/sh")やexecve("/bin/sh", 0, 0)を実行
   1. 必要に応じてdup2したりする
3. open(“flag”) -> read() -> write()
   1. サンドボックスでexec系が禁止されているケース，chrootされているケースなどで有効

動的解析

• gdb
  • gdb-peda
  • pwndbg
  • rust-gdb 静的解析
• Ghidra
  • v10.1.5が安定版 (プラグインも豊富だと思う)
• IDA Pro (アイダプロ)
  • 専門家はデコンパイラの性能から Ghidra より IDA Pro の方を使いがち
• Binary Ninja
• WinDbg
  • bp <address> : ブレークポイント
  • pr : レジスタ情報とgdbでいうnexti
  • pt : retが来るまで進める
  • pctr : レジスタ情報とcallとretが来るまで進める
  • dc <address reg> : double word単位とascii文字でデータ表示
• Immunity Debugger
• radare2

デバッグ情報

• DWARF
• gdbの自動的にやることでカバレッジを取れる
• seccomp BPF

必要なコマンド

• ld: リンク先
• patchelf: 動的ライブラリの解決
  • libcにデバッグシンボルを付ける方法と自動化 - Satoooonの物置 (hatenablog.com)
• objdump
• checksec.sh
• one_gadget
• ROPgadget
• ptrace
• strace

1
2
3
4
5
6
7
8
9

$ (cat out; cat) | ./a.out
$ nm -D ./a.out | grep " system"
$ strings -a -tx ./libc.so.6 | grep "sh$"
$ objdump -S -M intel ./libc.so.6 --disassemble=execve
$ ldd a.out
$ echo -en ""
$ grep -E ""
$ one_gadget ./libc.so.6
$ ROPgadget --binary ./a.out

• No RELRO: RELRO無効
• Partial RELRO: RELRO有効かつ遅延バインド有効
• Full RELRO: RELRO有効かつ遅延バインド無効