![スタック3
以下のコードが実行される時のスタックの様子を追いかけてみる
0x08048430 <+6>: sub esp,0x10 #スタック領域を0x10バイト確保
0x08048433 <+9>: mov DWORD PTR [esp+0x4],0x202 #スタックに514を書き込み
0x0804843b <+17>: mov DWORD PTR [esp],0x72 #514の一個上に114を書き込み
0x08048442 <+24>: call 0x804841d <func> #func呼び出し
0x08048447 <+29>: mov DWORD PTR [esp+0x4],eax #funcの結果をスタックに書きこみ
0x0804844b <+33>: mov DWORD PTR [esp],0x80484f0 #文字列のアドレスをスタックに書き込み
0x08048452 <+40>: call 0x80482f0 <printf@plt> printf呼び出し
0x08048457 <+45>: leave #このプログラムのためのスタック領域を後始末
0x08048458 <+46>: ret #終](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-11-320.jpg)
![func関数の中身
0x0804841d <+0>: push ebp
0x0804841e <+1>: mov ebp,esp
0x08048420 <+3>: mov eax,DWORD PTR [ebp+0xc]
0x08048423 <+6>: mov edx,DWORD PTR [ebp+0x8]
0x08048426 <+9>: add eax,edx
0x08048428 <+11>:pop ebp
0x08048429 <+12>:ret](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-12-320.jpg)
![mov二つ
114(0x72)
514(0x202)
0xffffd178
0xffffd160 esp
mov DWORD PTR [esp+0x4],0x202
mov DWORD PTR [esp],0x72
ebp
esp+4](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-14-320.jpg)
![mov eax,DWORD PTR [ebp+0xc]
mov edx,DWORD PTR [ebp+0x8]
0xffffd178
0x8048447
114(0x72)
514(0x202)
0xffffd178
0xffffd160
esp
ebp+0xcとebp+0x8はmain関数で
スタックに積んだ引数です
それをそれぞれeaxレジスタとedx
レジスタに入れています
eax=514
edx=114
ebp
ebp+0x8
ebp+0xc](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-18-320.jpg)
![mov DWORD PTR [esp+0x4],eax
0xffffd178
0x8048447
114(0x72)
628(0x274)
0xffffd178
0xffffd160 esp
無事戻ってくることが出来たので
処理は続き、printfの引数をスタック
に積みます。
この時、eaxにはfuncの戻り値が
入っています。
ebp](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-22-320.jpg)
![脆弱なコード
C言語講習会とかでもやるはず
#include <stdio.h>
int main(){
char buf[10];
printf("buf_addr=%pn",buf);
printf(“what is your name?n> ");
scanf("%s",buf);
printf("Hello %s!n" ,buf);
return 0;
}](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-24-320.jpg)
![脆弱性
•なにがやばいの＞＜
• scanfは長さを確認しないで入力を受け取ってしまう。
• buf[10]で10バイトしか領域を確保していない(本当はアラインメント等でもっと確保さ
れることもある)ので、それ以上の入力が来たらさっきの戻り先を上書きしてしまうか
も。
• やってみよう](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-25-320.jpg)
![実際にやってみます
•$ sudo sysctl –w kernel.randomize_va_space=0 でASLR無効化
•$ gcc –m32 -fno-stack-protector -z execstack bof.c でコンパイル
•(python o.py [bufのアドレス] ; cat) | ./a.out
• python o.pyの結果を流し込んだ後、catでターミナルから入力を受け取ってそれ
を./a.outに流し込む
• シェルが起動していることが確認できるはずです(失敗したらごめん)
• pythonを使うのは、キーボードから入力できない文字を入力するから
• 0xffとか](https://image.slidesharecdn.com/pwn-170506062507/85/Pwn-35-320.jpg)
たのしいPwn 公開用
- 1.
- 2. CTFってなんやねん •Capture The Flag •直訳するとはた取りゲーム • FPSとかでも使われる単語らしい？ •機密文書という設定のテキストファイル(Flag)を読みだして提出すると点数に • そのファイルは与えられた権限では読めなかったり • そもそもサーバーに入れてもらえなかったり • 暗号化されていたり •という感じで普通には読めないファイルを†ハッキング†して読んでくれ、という 競技
- 3. 例 •IFMMP DUG XPSME! •これは暗号文です • 解読してみよう •アルファベットが一文字ずつずらされているだけ • シーザー暗号 •HELLO CTF WORLD!
- 4. pwnってなんやねん •さっき説明したCTFの問題ジャンルの一つ • pwning,pwnablesとか言われる(ownが転じてpwnらしい)(どうでもいい) • 昔iPhoneで遊ぶツールにpwnagetoolとかあったよね •実行ファイルの脆弱性を突いて任意機械語を実行してね、という問 題ジャンル •大体シェル(/bin/sh)を開くことが多い • CTFではファイルを読めれば勝ちなのでファイルを読むことも • 個人的に一番†ハッキング†っぽいジャンルだと思います(何)
- 5. やってみる(その前に) •そんなに難しいことをしているわけではない •が、プログラミングを知らないと厳しい • 必要な事前知識は解説しますが、時間の都合上駆け足にならざるを得ない • 分からなくてもﾑﾘﾀﾞﾅ(・x・)ってならないでほしい •C言語講習会の後にもう一度見直すとまた違った見え方をするかも • 「こんなことも出来るんだ！」という雰囲気を感じてほしい
- 6. アセンブリ言語ってなんや (時間次第では飛ばす) •C言語で書いたプログラムは機械語に変換されて動く • 機械語は01列だが、01011101…だと読みづらいので16進数で書かれることが多い • ex:31ffで xor edi,edi • ediレジスタ同士でXORを取り、その結果をediに代入するという意味、これを行うと ediに0を入れることができる •31 ffとかいきなり言われてもなんのことだかわからないので人間に 分かりやすいように書きたい、それがアセンブリ言語 •アセンブリ言語は機械語と一対一対応する • 上記の例だと、31 ffは絶対xor edi , edi、それ以外にはならない •C言語は機械語と一対一対応しない • 同じプログラムでもコンパイラや最適化度合で違う機械語が出る(動作は同じ)
- 7.
- 8. x86アセンブリ速習(まさかりを投げるな) •これからの話を聞くのに必要最低限の命令だけ列記 • オペランドの種類とか面倒な部分はカット(今回の主目的でないため) •mov dst, src :srcをdstにコピー •push src :srcをスタックにプッシュ •pop dst :dstにスタックからポップ •call arg :次の命令のアドレス(戻り先)をスタックにpushし、argにジャンプ •ret :スタックから 戻り先を取り出してそこにジャンプ
- 9. スタック1(時間次第で飛ばす) •スタックの話(x86の話です、スタックが無いアーキテクチャもあり) • プログラムが実行される時、ほとんどの情報はスタックに乗る • よくお皿を積み上げていくことに例えられるデータ構造 8 push8 push 0push 1 1 8 0 1 8 1 8 pop (0が出てくる)
- 10. スタック2 (時間次第で飛ばす) •関数を呼び出す時、引数の情報はスタックに乗る • esp:スタックのてっぺん(stackpointer) • ebp:スタックの底(base pointer) esp ebp 4 1 5 4 1 1
- 11. スタック3 以下のコードが実行される時のスタックの様子を追いかけてみる 0x08048430 <+6>: subesp,0x10 #スタック領域を0x10バイト確保 0x08048433 <+9>: mov DWORD PTR [esp+0x4],0x202 #スタックに514を書き込み 0x0804843b <+17>: mov DWORD PTR [esp],0x72 #514の一個上に114を書き込み 0x08048442 <+24>: call 0x804841d <func> #func呼び出し 0x08048447 <+29>: mov DWORD PTR [esp+0x4],eax #funcの結果をスタックに書きこみ 0x0804844b <+33>: mov DWORD PTR [esp],0x80484f0 #文字列のアドレスをスタックに書き込み 0x08048452 <+40>: call 0x80482f0 <printf@plt> printf呼び出し 0x08048457 <+45>: leave #このプログラムのためのスタック領域を後始末 0x08048458 <+46>: ret #終
- 12. func関数の中身 0x0804841d <+0>: pushebp 0x0804841e <+1>: mov ebp,esp 0x08048420 <+3>: mov eax,DWORD PTR [ebp+0xc] 0x08048423 <+6>: mov edx,DWORD PTR [ebp+0x8] 0x08048426 <+9>: add eax,edx 0x08048428 <+11>:pop ebp 0x08048429 <+12>:ret
- 13. sub esp 0x10 0xffffd178 0xffffd160esp esp 新たに0x10(16)バイトのスタック 領域を確保 ebp
- 14. mov二つ 114(0x72) 514(0x202) 0xffffd178 0xffffd160 esp mov DWORDPTR [esp+0x4],0x202 mov DWORD PTR [esp],0x72 ebp esp+4
- 15.
- 16.
- 17.
- 18. mov eax,DWORD PTR[ebp+0xc] mov edx,DWORD PTR [ebp+0x8] 0xffffd178 0x8048447 114(0x72) 514(0x202) 0xffffd178 0xffffd160 esp ebp+0xcとebp+0x8はmain関数で スタックに積んだ引数です それをそれぞれeaxレジスタとedx レジスタに入れています eax=514 edx=114 ebp ebp+0x8 ebp+0xc
- 19.
- 20. pop ebp (時間次第で飛ばす) 0xffffd178 0x8048447 114(0x72) 514(0x202) 0xffffd178 0xffffd160 esp関数の先頭で保存したebp(スタック の底)をポップします これにより、スタックの底は再度 main関数のものに戻ります ebp
- 21.
- 22. mov DWORD PTR[esp+0x4],eax 0xffffd178 0x8048447 114(0x72) 628(0x274) 0xffffd178 0xffffd160 esp 無事戻ってくることが出来たので 処理は続き、printfの引数をスタック に積みます。 この時、eaxにはfuncの戻り値が 入っています。 ebp
- 23.
- 24. 脆弱なコード C言語講習会とかでもやるはず #include <stdio.h> int main(){ charbuf[10]; printf("buf_addr=%pn",buf); printf(“what is your name?n> "); scanf("%s",buf); printf("Hello %s!n" ,buf); return 0; }
- 25.
- 26.
- 27.
- 28.
- 29.
- 30. 脆弱性の緩和策 •典型的な脆弱性にはOS側で緩和策が取られている • ASLR(address spacelayout randomization) • DEP(data execution prevention) • SSP(stack-smashing protection) •実際のCTFではこれらを回避して任意コードを実行せねばならない が、今回は簡単のため全部外す
- 31.
- 32. DEP •データ実行防止 • スタック上の機械語を実行することは普通は無い • じゃあスタックを実行不可能にすればさっきみたいな攻撃は防げるよね •実行ファイルに入っている機械語は実行できるのでそれをつぎはぎすれば攻 撃可能(ROP) •現実のゲーム機(3〇Sとか)のハックなどでも使われているテク •コンパイル時に以下のオプションを付ければスタックが実行可能になる • gcc –z execstack
- 33. SSP •なんとかしてバッファーが溢れているのを検知できないか？ • スタックの底部分に検査用の値を仕込んでおいて、その値が書き変わっていたら不 正としてプログラムを落とせばよくない？ • 検査用の値のことをcanaryという(炭鉱のカナリアが由来らしい) •正直CTFでこれがオンになっていると相当しんどい(つまり優秀な緩和策) •SECCON 2016 Online CTF checker • シェルを取るのは諦めて、SSP由来の情報漏洩を狙う •canaryをリークしたり、SSP由来の情報漏洩を狙ったり手はいろいろ • 他の脆弱性を探す事も •$ gcc -fno-stack-protector bof.c でオフに出来る
- 34.
- 35. 実際にやってみます •$ sudo sysctl–w kernel.randomize_va_space=0 でASLR無効化 •$ gcc –m32 -fno-stack-protector -z execstack bof.c でコンパイル •(python o.py [bufのアドレス] ; cat) | ./a.out • python o.pyの結果を流し込んだ後、catでターミナルから入力を受け取ってそれ を./a.outに流し込む • シェルが起動していることが確認できるはずです(失敗したらごめん) • pythonを使うのは、キーボードから入力できない文字を入力するから • 0xffとか
- 36.
- 37. 参考文献(おすすめの本とか) •セキュリティコンテストチャレンジブック • CTFを始めるならコレ • バイナリ問題の入門には最適 •Webやるならちょっと足りないかも •Hacking: 美しき策謀 第2版 ―脆弱性攻撃の理論と実際 • 表紙がかっこいい • 暗号とかも載ってる •ももテク(ももいろテクノロジー) • ブログ • いろんなexploitテクが載っている • http://inaz2.hatenablog.com/entry/2014/03/14/151011
- 38.
- 39.
- 40.
- 41.