Format Strings - Arbitrary Read Example
AWS 해킹 학습 및 실습:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 학습 및 실습:
HackTricks Training GCP Red Team Expert (GRTE)
이진 시작 부분 읽기
코드
다음과 같이 컴파일하십시오:
악용
오프셋은 11입니다. 여러 개의 A를 설정하고 루프로 브루트 포싱하여 오프셋 11에서 5개의 추가 문자(우리의 경우 파이프
|
)로 전체 주소를 제어할 수 있다는 것을 발견했습니다.주소가 모두 0x4141414141414141인 것을 확인하기 위해 **
%11$p
**를 사용하고 주소가 모두 0x4141414141414141이 되도록 패딩을 적용했습니다.포맷 문자열 페이로드는 주소 앞에 있습니다. 왜냐하면 printf는 널 바이트를 만날 때까지 읽기를 중지하므로 주소를 보낸 다음 포맷 문자열을 보내면 printf가 포맷 문자열에 도달하지 못할 것입니다.
선택한 주소는 0x00400000입니다. 바이너리가 시작되는 곳이기 때문에(no PIE)
다음과 같이 컴파일하십시오:
스택에서 읽기
**stack_password
**는 로컬 변수이기 때문에 스택에 저장됩니다. 따라서 printf를 남용하여 스택의 내용을 표시하는 것만으로 충분합니다. 이것은 스택에서 비밀번호를 노출시키기 위해 처음 100개 위치를 노출하는 공격입니다:
데이터 읽기
동일한 취약점을 실행하지만 %s
대신 %p
를 사용하면 %25$p
에서 스택의 힙 주소를 노출시킬 수 있습니다. 더불어 노출된 주소(0xaaaab7030894
)를 해당 프로세스의 메모리에서 비밀번호 위치와 비교하여 주소 차이를 얻을 수 있습니다:
이제 스택에서 주소 1개를 제어하는 방법을 찾아서 두 번째 형식 문자열 취약점에서 액세스할 수 있는지 확인할 차례입니다:
그리고 사용된 전달로 try 14에서 주소를 제어할 수 있다는 것을 확인할 수 있습니다:
Exploit
AWS 해킹 배우고 연습하세요:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우고 연습하세요:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated