Stack Pivotについて

攻撃者が新たに用意した領域や、攻撃者が自由にデータを書き込める領域、既存の別領域をスタックとして利用するStack Pivotの勉強。

シェルコードを入力してシェルをとる

picoCTF 2021の「filtered-shellcode」。

シェルコードを注入してシェルをとるいつものpwnとは少し違った問題（シェルコードの各命令を2バイト以下に抑えなくてはいけないという制限がある）。

またpwntoolsのshellcraftを初めて使った。

mov命令とbssセクションを利用したROPでシェルをとる

picoCTF 2022 Mini-Competitionの「Guessing Game 1」という問題

bofとROPによる攻撃だが、ガジェットにmov命令を使ったり、"/bin/sh"という文字列の扱い方が勉強になった。

フォーマット文字列攻撃勉強-2

64ビットターゲットのFSBを勉強する。

フォーマット文字列攻撃に際しFSB（Format String Bug）を理解する

策謀本の195ページにある「0x350 フォーマット文字列」を題材に、フォーマット文字列攻撃（のためのFSB）について勉強する。

__stack_chk_failを利用したGOT Overwrite

このアイデアに初めて出会った時「なるほど！！」と感心した。

一つ前の記事のように、main関数の最後にわかりやすくexit関数があったりはしない。 ソースコードには書かれていない__stack_chk_fail関数の存在を思い出す。

__stack_chk_failのGOT Overwriteおよびcanaryの破壊を行い、ROPでシェルをとる。

GOT Overwrite・ret2libc

GOT Overwriteを利用してシェルをとる。

（『詳解セキュコン』の33章を参考）

PLT(Procedure Linkage Table)とGOT(Global Offset Table)

GOT Overwriteの問題をやる前に、共有ライブラリの関数呼び出しはどのようなものなのか？PLTとGOTについて勉強する。

Double freeとUAF (Use After Free)

『解題 pwnable』第7章にあるstrstrというヒープ問を題材に、double freeとUAFによる攻撃を勉強する。

（ターゲットはglibc2.27）

カナリアの回避

picoCTF 2022の「buffer overflow 3」。

スタックの途中に4バイトの文字列があるのでそれを壊さないようにEIPを奪う。

リターンアドレス書き換えと引数指定

picoCTF 2022 「buffer overflow 2」。

bofでリターンアドレスを書き換えてwin関数に飛ぶ。しかし、そのwin関数は引数を2つとる関数であり、それぞれの引数を適切に設定してやる必要がある。

飛んだ先の関数が”引数アリ”の場合のpayloadの作り方に注意。

bofによるリターンアドレス書き換えの基礎

bofを利用してリターンアドレスを書き換える。今回はプログラム中にフラグを出力するwin関数があったので、リターンアドレスをwin関数のアドレスに書き換える。

とても基本的な問題だけどとても大切だし、秒でフラグがとれたから自分の基礎力の定着が確認できた。

SROPとNX enabledの回避

Hack The Boxのチャレンジ「Sick ROP」（一つ前の記事はこのため）。

SROPによる攻撃、sys_mprotectを呼び出してNX enabledの回避、そしてシェルコードを注入してシェルを起動する。

SROP入門

SROP（SigReturn Oriented programming）の入門。

実際にCTFで出題されたSROPの問題と併せて勉強する。

ローカル変数の書き換え

picoMini by redpwnの「clutter-overflow」。ローカル変数の書き換えをしてif文の判定をTrueにしフラグを出力。

基礎的な問題だが、ローカル変数の書き換え、スタックの様子など良い復習になった。