티스토리

HSr00t
검색하기

블로그 홈

HSr00t

newbiepwn.tistory.com/m

Blog

구독자
0
방명록 방문하기

주요 글 목록

  • PCTF 2017 Chakrazy FakeDataview 만들어서 익스하면된다. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 function set_dv(arr,lo,hi) { arr[0] = 56 arr[4] = (lo - 574280) .. 공감수 0 댓글수 0 2018. 12. 25.
  • PCTF 2018 d8-dist 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 12. 22.
  • SECCON 2017 vm_no_fun VM 공부할겸 풀어봄 ㅎ 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164.. 공감수 0 댓글수 0 2018. 8. 15.
  • Pwnable.tw critical_heap++ 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 8. 5.
  • KR startcraft, combabo_calculator 등등 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 7. 8.
  • Pwnable.tw critical_heap 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 7. 7.
  • Pwnable.kr syscall 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 5. 22.
  • Codegate 2018 7ameBOX1 p21함수는 _7amebox1에 있는 write_memory_tri 코드를 가지고 왔다. _7amebox1 디버깅용으로 코드를 복사해서 firmware Opcode, op_type 등을 출력하여서 분석 하면 오버플로우 취약점이 있다는 것을 알 수 있다. 그리고 뚝딱 풀면 된다. 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364656667from pwn import *import structimport stringfrom hashlib import sha1p=process('vm_name.py') def proof_of_work(): globa.. 공감수 0 댓글수 0 2018. 5. 21.
  • RCTF 2018 Write up Baby HEAP 운 좋게 1등으로 문제를 풀었다 !! 문자열을 입력받는 함수에서 POISON-NULL-Byte 취약점이 생긴다.취약점을 써서 뚝딱 풀면 된다. 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657from pwn import * #p=process('./babyheap')p=remote('babyheap.2018.teamrois.cn',3154) def alloc(size,content): p.sendlineafter(': ','1') p.sendlineafter(': ',str(size)) p.sendlineafter(': ',content) def s.. 공감수 0 댓글수 2 2018. 5. 21.
  • Secuinside 2017 vvv VVV는 배열들을 구현하는 프로그램이다. Native arrayNativeInt arrayStringBig IntSmall Int 위와 같이 5개가 있다. 1234567891011121314151617181920212223242526272829303132333435363738390x1000 { 0x10001000, 0x17 NativeArray NativeArray* vtable int32_t argument_cmd_1000 int32_t two 12 int64_t array_size 16 int64_t size 24 char* array_size_heap[] 32} 0x1000 { 0x10001000, else NativeIntArray NativeIntArray* vtable int32_t argum.. 공감수 0 댓글수 0 2018. 5. 13.
  • Codegate 2017 JsWorld b*js::math_atan vp=(주소)주소 + 2(qword)를 하면 인자 주소가 나온다JS:array는 int ?? + int rel_size + int?? int_length_size + data가 들어감. relsize옆에 데이터를 가르키는 주소가 있음winmerge 프로그램으로 소스 비교하면서 취약점 찾을수있음 아래 주소에 모든 것이 들어가 있다..참고: https://bpsecblog.wordpress.com/2017/04/27/javascript_engine_array_oob/ 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646.. 공감수 0 댓글수 0 2018. 5. 10.
  • pwnable.tw De-ASLR 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 4. 16.
  • pwnable.tw Kidding 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 4. 15.
  • Codegate 2018 Final heapbabe ((dup)UAF + 1byte brute force) 1234567891011121314151617181920212223242526272829303132333435363738394041from pwn import * #p=process('./heapbabe')p=remote('110.10.147.41',8888) def allocate(size,contents): p.sendlineafter('>> ','A') p.sendlineafter('size : ',str(size)) p.sendafter('contents : ',contents) def delete(idx): p.sendlineafter('>> ','F') p.sendlineafter('id : ',str(idx)) p.sen.. 공감수 0 댓글수 0 2018. 4. 10.
  • Codegate 2017 final VM 비트 연산에 약한 탓에 분석 할때 너무 어려웠다..비트연산을 이용하여서 한자리 한자리 나누고 그 값이 몇인지 확인하면서 기능을 실행시킨다. info register, mov, add, sub, xor, swap, inc, dec, push, pop, syscall mov, push, syscall만 이용하여서 문제를 푼 것 같다.mov는 레지스터 배열에서 r0 r1 r2 ~ 인덱스를 받고 그곳에 값을 넣는 방식이고 push는 12345678910111213141516171819__int64 __fastcall push(__int64 a1, __int64 a2, __int64 a3, int a4, int a5){ __int64 result; // rax *(_DWORD *)(a2 + 28) -= 2; if.. 공감수 0 댓글수 0 2018. 3. 22.
  • Codegate 2017 final petshop 취약점은 힙 오버플로우가있고 난이도는 쉽다.string객체를 got로 덮어서 릭을하고 freehook을 시스템으로 덮고 (왜 freehook을 덮었는지 모르겠다 ㄷㄷ) ~basic string 같이 소멸자에서 free가 실행되기 때문에 이것을 이용하여서 문제를 풀었다. 123456789101112131415161718192021222324252627282930313233343536from pwn import * def set_pet(name,sound,feed): p.sendlineafter('select:','4') p.sendlineafter('set:','1') p.sendlineafter(':',name) p.sendlineafter(':',sound) p.sendlineafter(':',feed.. 공감수 0 댓글수 0 2018. 3. 22.
  • 2018 03-06 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 6.
  • Secuinside 2018 simple_board lib.php에있는 str_escape를 이용하여서 GET,POST등에 addslashes를 해주고 있다.그리고 내가 입력한 값들에 sqli_block을 이용하여서 필터링을 해준다. 대부분 함수들을 분석하면 알겠지만 str_escape때문에 sqli를 해줄수가없다.. 함수 중 쿼리 입력 방식으로 조금 다른 함수를 찾는다면 바로 do_delete함수가 있을것이다.그 이유는 다른 함수들은 다 string으로 입력받는데 do_delete에서 idx는 배열로 받고있다.저렇게 배열로받고있는곳에 string으로 입력을 하게되면 AAAA를 넣으면 $_POST[idx][$i] 값을 출력해보면 A한글자만 들어가는데 이것을 이용하여서 str escape를 우회해줄수 있다. strescape를 이용하면 'AAA를 입력하면 .. 공감수 0 댓글수 0 2018. 3. 5.
  • Codegate 2018 simple_cms Write up을 쓰는것을 까먹고 있었다. 소스를 분석해보면 쿼리에서 오류가 나면 mysql_error()로 출력을 해준다. 이 뜻은 error sql injection을 사용하라는 것 같다. 에러 sql injection을 이용하여서 table_prefix를 구해서 flag테이블 이름을 알아내고 아직 컬럼 이름을 모르기 때문에 wargame.kr adm1nkyj무제에서 사용한 방법을 이용하여서 플래그를 얻을 수 있다. EROR SQLI: http://222.110.147.52/simple_cms/index.phpact=board&mid=search&col=title%23&type=1&search=%0a)%20having%20count(title)%23 simple_cms.7876616f46676a456.. 공감수 0 댓글수 0 2018. 3. 5.
  • 2018 03-05 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 5.
  • 2018 03-04 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 4.
  • 2018 03-03 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 3.
  • 2018 03-01 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 3. 1.
  • Wargame.kr dun worry about the vase 이 문제에서는 사실상 패딩 오라클 공격을 안 해도된다.평문을 알고 암호문을 알기 때문에 아마 base64 암호문이 2개가 있는데 두개를 복호화 하면 16byte가 나올것이다(hex로 바꾸면) 앞에 8byte가 Intermediary value(IV)라고 예상을 할 수 있고 그 다음 8byte는 id라고 예측할 수 있다. Intermediary vector ^ 평문 = Intermediary value다.그렇다면 Intermediary value ^ 평문을 하면 Intermediary vector이 구해지고 서버 에서 평문을 구할때 Intermediary vector ^ Intermediary value이런식으로 해서 평문을 구한다. Intermediary vector ^ admin을 했을때 나오는 값을 .. 공감수 0 댓글수 0 2018. 2. 28.
  • Wargame.kr adm1nkyj adm1nkyj800point / adm1nkyjSQL injection Challenge! (injection) - thx to adm1nkyjSQLi 문제다. 공감수 0 댓글수 0 2018. 2. 28.
  • Wargame.kr jff3_magic jff3_magic800point / CommaThis challenge is part of Just For Fun [Season3]. - thx to Comma@LeaveRet 힌트로 .swp를 alert로 알려준다..index.php.swp 파일을 보면 다운 받아지고 소스를 볼수있다.vi로 복구를 해서 할려 했는데 오류가 나서 swp상태에서 소스를 보면서 분석 하였다.id,pw를 입력 받는데 소스에서는 GET방식으로 no를 입력 받고 있다. no에다가 sql injection을 해보니 취약점이 있었다.no=0 을 넣어보면 true가 되면서 admin이 출력 된다. 아이디는 admin인것같다. 패스워드를 틀리면 이상한 해쉬에 incorrect password가 출력된다. 그냥 submit을 누르고 나온.. 공감수 0 댓글수 0 2018. 2. 27.
  • 2018 02-28 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 2. 27.
  • 2018 02-27 보호되어 있는 글입니다. 공감수 0 댓글수 0 2018. 2. 27.
  • Wargame.kr QnA QnA800point / bughelaTime based SQLi challenge. (with Insert Query) you can't see the result after insert query. but you can SQLi Attack!TIME BASED SQLi 문제인것같다. 메뉴 하나하나 눌러보면 알겠지만 누가 봐도 toJSMaster에서 취약점이 있을 것 같은 느낌이 든다.소스를 보면 cont,mail,type를 post형식으로 보내고 있다.cont, mail에는 ' or sleep(3)#으로 테스트를 해보고 type에는 sleep(3) 이런식 으로 테스트를 해서 sql injection취약점이 있는지 확인을 할 수 있었다.그 결과 type에 sql injection취약점이 있었다. 원래 .. 공감수 0 댓글수 0 2018. 2. 27.
  • Wargame.kr ip log table ip log table700point / bughelaBlind SQLi challenge. You can use 'Ascii' to 'Date'Blind SQLi 문제다. IDX 누른 상태에서 파로스를 보면 idx=(클릭한 IDX)를 POST로 보내고 있다.그곳에 IF를 이용하여서 SQL INJECTION을 해보니 취약점이 있다는 것을 알 수 있었다. 123456789101112131415161718192021222324252627282930import urllib2 pw_idx = 10temp = 0table = 'admin_table'id_ = 'blue_admin'ps = '0h~myp4ss'while True: url = 'http://wargame.kr:8080/ip_log_table/chk... 공감수 0 댓글수 0 2018. 2. 26.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.