[LoB RedHat 6.2] LEVEL 5: orc -> wolfman

LEVEL 5: egghunter + bufferhunter

 

환경변수, buffer를 이용한 공격이 막혔다.

하지만 아직 argv[2]는 유효하다.

bash2 실행 후 복사본 만들고 분석해보자.

LEVEL 4와 payload는 같다.

strcpy 호출 직후의 위치를 파악하고

그곳에 breakpoint를 건 뒤 Stack을 살펴보자

저번과 비슷하다. 적당히 0xbffffc44를 ret 주소에 덮기로 하자.

argv[1]: buffer+sfp를 A 44개로 덮고, ret은 위에서 봐둔 argv[2]의 NOP sled 중간 주소

argv[2]: NOP 40개 + 쉘코드

로 구성한 payload로 쉘을 얻었다.