Lord of BOF_10_Skeleton

핵심 알고리즘은 다음과 같다.

argv를 받는다. argv의 48번째 바이트가 0xbf가 아닐 경우 종료한다. 이는 스택의 주소이다.
버퍼에 argv[1]의 내용을 복사한다.
buffer를 지운다.
스택 프레임에서, main 함수의 return address을 제외한 위쪽 값을 지운다.

스택은 0x2c(44)만큼 확보하지만, 배열의 시작 주소는 ebp-40이다. 따라서 스택 destroyer로 지워지지 않는 위치는 return address 뿐이다. 즉, 컨트롤 하여 이용할 수 있는 것은 return address이다.

다만, return address는 스택의 주소가 와야 한다. 문제는 스택을 이용하기를 요구하고 있다.

시도

so injection으로 스택을 크게 확보한 뒤, 셸 코드를 저장한다. 이후 return address 조작을 통해 이동하는 방법이다. 이는 실패했다. 테스트 결과 셸 코드를 넣은 스택에 다른 값이 들어가 정리된다. 왜인지는 모르겠다.

정리되지는 않지만 출력한 주소에 있지도 않다. 스택에 뿌려놓는 작업이 가능하고, 이를 이용할 수도 있다. 하지만, cp한 프로그램에서는 셸을 땄지만 원본 프로그램에서는 invalid instruction 에러가 떴다. nop sled를 이용해도 마찬가지였는데, 주소가 바뀐 게 아닌가 한다.

이상한 점은 라이브러리에서 stdout으로 출력한 결과물이 argv로 들어간다는 점이다. 간단한 인자 출력 프로그램을 작성하고 실험해 보니 거기서는 그런 현상이 보이지 않는 것 같았다.