SECCON 2020 OnlineCTF writeup yharima チームで参加．今回は人が集まらず3人． 631pts で 47th でした．自分は Welcome と Survey 除くと実質1問しか解けなかった． ソース: https://github.com/yuta1024/ctf_log/tree/master/SECCON_CTF_2020_Online [pwn] pwarmup 「warmp なのでソースコードも付いていてとても簡単そう!」…そう思っていた時期が俺にもありました．長くなるので，ステージを分けます． Stage 1: シェルを奪うまで 実質これだけ． int main(void) { char buf[0x20]; puts("Welcome to Pwn Warmup!"); scanf("%s", buf); fclose(stdout); fc

はじめに SECCON Online CTF 2020にチーム125で出場して、結果はWelcome,Surveyを除く309チーム中48位でした。 解けた問題(pwarmup, This is RSA, Begginer's Capsule)について解説をします。 はじめに pwarmup [pwn, 63solves] This is RSA [crypto, 62solves] Begginer's Capsule [web, 55solves] 感想 pwarmup [pwn, 63solves] #include <unistd.h> #include <stdio.h> int main(void) { char buf[0x20]; puts("Welcome to Pwn Warmup!"); scanf("%s", buf); fclose(stdout); fclose

ASISで見事に爆死したので記念に投稿します。 https://blog.techorganic.com/2015/04/10/64-bit-linux-stack-smashing-tutorial-part-1/を参考にしました。 x64でのpwn 基本的なテクニックや原理はx86と同じように使えるけど細かいところで違いがある。 引数の渡し方 引数の渡し方が変わってる。 x86では関数呼び出しするときにスタックに値を積んで引数を渡していたため、バッファオーバーフローなどでそのまま引数を渡せた。 x64ではレジスタに引数の値を指定するため、引数の操作がやりにくくなっている。 引数を渡すときは、まずスタックに値を設定してからROPで正しいレジスタに値をpopする必要がある。 ropperとかrp++とかを使って、目当てのものを探そう。 ちなみにレジスタと引数の対応はgccだと下になる。 第

9/28に仙台市で行われた仙台CTF(Day-1)に参加してパケット解析，イベントログ解析，静的解析を勉強してきましたので静的解析部分についてまとめて，他のバイナリについてもやってみたいと思います． 僕は初心者なので間違っている部分，誤解を招く部分あったら遠慮なく指摘してください 注意 解析は仮想環境内で！！ -- 静的解析なら仮想環境じゃなくても大丈夫じゃね？？ -> 解析ツールの脆弱性つかれたら終わり(今回使うGhidraにも脆弱性が確認されています) -- 仮想マシンと共有フォルダをつなげるときは読み取り専用に，ネットワークはHost-onlyにすること 許諾が無いものに使わないこと -- 神○川県警のお世話になります -1.仙台CTFについて 仙台CTFは仙台市のconnpassで行われた実務に使えるセキュリティを学ぶイベントです．(公式サイト) 内容は二部に分かれていて 一部目は

最近何かとCTFでお世話になっているradare2だが，どうもコマンドの物忘れがひどいので自分用の覚書としてここに残しておく．随時更新する． redare2って何 OSSとして開発が進んでいるReverse Engineering Framework．時々動作に難はあるものの，対応しているアーキテクチャやファイルフォーマットの多さから重宝している*1．元々はフォレンジックツールとして開発が始まったそうだが，今ではバイナリ解析用に逆アセンブルやデバッグ機能も追加され，有用な機能を持ったツール群として radare2 に統合された．操作性はvim,gdbに近く馴染みやすい．素晴らしいね！CTFで利用する人も増えてきており，最近は標的型Malwareの解析やBlackHatの成果発表でも見かけるなど実用性も上がってきている模様．詳細は以下． github.com やりたいこと 基本的には図のよう

Master Canary Forging: 新しいスタックカナリア回避手法の提案 by 小池 悠生 - CODE BLUE 2015CODE BLUE

ABOUT Pwnable.tw is a wargame site for hackers to test and expand their binary exploiting skills. HOW-TO Try to find out the vulnerabilities exists in the challenges, exploit the remote services to get flags. The flag is usually at /home/xxx/flag, but sometimes you have to get a shell to read them. Most of challenges are running on Ubuntu 16.04/18.04 docker image. You can share write-up or exploit

pwnable.twのスコア100の問題、「start」のwrite-upです。 pwnable.tw 昔CTF for Girlsのバイナリ解析の講師をやったときに、講義後に実習ということで簡単な問題をやってもらったのですが、まず何をしていいのか分からないという人が結構いて、その辺を説明しなかったことをずっと後悔していたので、だいぶ詳細に解説してみました。問題自体は基本をおさえたシンプルなもので、バイナリ解析の勉強にはとてもいいのではないかと思います。 なお、諸々思い出すためにも、pwn用ツールは使わずゆっくりじっくりやっています。*1 目次 目次 環境 まず何をするか そもそもフラグとは 問題に書かれているものをとりあえずやってみる startファイルをダウンロード fileコマンド stringsコマンド ファイルを実行 Exploit gdb上で実行する objdumpによる逆アセ

学内で開催した勉強会で使用したスライドです． プログラムの実行手順からBOFを用いたROPのイメージを説明しています．

・学内で開催したPwn入門勉強会で使用したスライドです。

SECCON 2018 Online CTF writeup 解けたのはClassic Pwn, Runme, Unzipの3問。 何故かSpecial Instructionが解けてるのに正解が出ず... そのままずるずると終わりました。 Classic Pwn Pwn まさに古典的Pwnといった感じの問題、classicという実行ファイルとlibcが降ってくる。 プログラムの動作は、getsで入力を受け取ってローカルバッファに格納して終了するというだけ。 4006a9: 55 push rbp 4006aa: 48 89 e5 mov rbp,rsp 4006ad: 48 83 ec 40 sub rsp,0x40 4006b1: bf 74 07 40 00 mov edi,0x400774 4006b6: e8 65 fe ff ff call 400520 <puts@plt>

開催期間(JST) 10/27 PM3:00 ~ 10/28 PM3:00 結果 ・チーム名：wabisabi ・得点：1201 pt ・順位：80/653 解いた問題 ・Classic Pwn(Pwn 121pt) ・Runme(Reversing 102pt) ・Special Device File(Reversing 231pt) ・Special Instructions(Reversing 262pt) ・QRChecker(QR 222pt) 取り組んだが解けなかった問題 ・History(Forensics 145pt) ・block(Reversing 362pt) はじめに 今年も参加していました．もう3年くらいは出ているような？気がする．なかなか決勝が遠いです．今回はチームの初期メンバーで参加していましたが，去年より1ptしか得点変わらないのに順位が90位ぐらい上にな

GOT overwrite? "GOT overwrite" という、(ここでは特にLinuxの)プログラムに対する攻撃方法があります。攻撃が成功すると、そのプロセスの権限での任意コード実行等、深刻な被害を受けます。最近のGNU ld(リンカ)のオプションを用いると、この攻撃から身を守ることができるそうですので、紹介します。 最初にまとめ （こまかいことはあとで） GOT overwrite から身を守るには、gccでプログラムをリンクするときに、 -Wl,-z,now,-z,relro をつけるだけです。起動時間が遅くなるというトレードオフがありますが、GOTがreadonlyになります。GOTがreadonlyなら、GOT overwrite attack を受けたときに、プロセスがSEGVしてくれますので、安全性が高まります。プロセスのメモリマップを確認すると、きちんと w が落ちて

はじめに 真面目にpwnを勉強していきたいので復習も兼ねて1から整理していこう，ということで最初にFSBについてまとめてみます． FSBに関する分かりやすい説明はたくさんあるのですが，この記事ではグローバル変数に対するFSBの利用法を説明しようと思います． Format String Bugとは FSBはprintf関数のようなフォーマット文字列を扱う関数に起因する脆弱性です． 通常フォーマット文字列は次のような使い方をします． printf("Message: %s", buf); これは構わないのですが，次のようにフォーマット文字列の箇所に攻撃者が任意のデータを入れることができると問題が発生します． printf(buf); printfは"%s"や"%d"のようなフォーマットを見つけると，スタックから順番にデータを読み込んで処理します． したがって，bufに"%x%x%x"のような文

ASLRが有効な場合、スタック領域・ヒープ領域や共有ライブラリが置かれるアドレスは一定の範囲の中でランダムに決められる。 一方、実行ファイルそのものが置かれるアドレスは基本的には固定であるが、PIE (Position-Independent Executables) となるようにコンパイル・リンクすることでランダムなアドレスに置けるようにできる。 また、ASLRを迂回する手法の一つにInformation LeakあるいはInformation Exposureと呼ばれる脆弱性を利用するものがある。 ここではPIEな実行ファイルを作成し、ASLR+PIEが有効な実行ファイルに対してformat string attackによるInformation Leakを使ったシェルの起動をやってみる。 環境 Ubuntu 12.04 LTS 32bit版 $ uname -a Linux vm-u