티스토리

jjy
검색하기

블로그 홈

jjy

jjy-security.tistory.com/m

jjy security 님의 블로그입니다.

구독자
2
방명록 방문하기

주요 글 목록

  • AFLPlusplus qemu, Persistence mode 속도 느려질 때 보호되어 있는 글입니다. 공감수 0 댓글수 0 2022. 1. 4.
  • Bypass CRC check for fuzzing with pintools tcp, zip, tar, png등 다양한 데이터 형식에서는 crc 체크를 통해서 파일의 무결성을 검증한다. 만약 crc 체크가 실패하면 프로그램이 그냥 종료된다. 퍼저에 의해 무작위로 변이된 데이터가 crc를 맞출 수 있을 확률이 지극히 낮다. 이러한 문제를 해결하기 위해서 2가지 방법을 쓸 수 있다. Post mutator에 crc 체크를 맞춰주는 코드를 넣어준다. 장점1 : Crash reproduce가 쉽다. 장점2 : crc뿐만 아니라, 다른 형식에 대해서도 적용할 수 있기 때문에 더 범용적이다. 단점1 : 하나의 포맷이 아니라, 다수의 포맷을 처리하는 프로그램의 경우, 프로그램에서 어떠한 방식으로 파일의 포맷을 결정하는지 리버싱해야 한다. switch(format(data)){//have to.. 공감수 0 댓글수 1 2021. 11. 23.
  • ASIS CTF Quals 2021 - V8 for dummies diff --git a/src/compiler/js-call-reducer.cc b/src/compiler/js-call-reducer.cc index 5e26a68ada..a3638ef5b3 100644 --- a/src/compiler/js-call-reducer.cc +++ b/src/compiler/js-call-reducer.cc @@ -6260,12 +6260,11 @@ Reduction JSCallReducer::ReduceArrayIteratorPrototypeNext(Node* node) { Node* etrue = effect; Node* if_true = graph()->NewNode(common()->IfTrue(), branch); - // This extra check exist.. 공감수 0 댓글수 0 2021. 10. 31.
  • CCE 2021 - shlowering 취약점 분석 JSCreateLowering에 최적화 phase를 하나 더 추가했다. jscreate의 size가 add, bit shift, sub로 계산될 경우, 해당 값을 최적화하는 로직이다. Reduction JSCreateLowering::ReduceHandleCCE( Node* bnode, Node* node, Node* length, MapRef initial_map, ElementsKind elements_kind, AllocationType allocation, const SlackTrackingPrediction& slack_tracking_prediction) { int capacity = 0; Node* newLength = length; Node* const value = bnode.. 공감수 0 댓글수 0 2021. 10. 29.
  • AFLPlusplus - qemu mode - High map density 언젠가 블로그 글을 일주일에 하나씩 업로드하겠다고 결심했던 때가 있었던 것 같은데... AFLPlusplus에서는 shared memory로 커버리지를 측정한다. 이때 shared memory를 map이라고 하고, shared memory의 size를 map size라고 한다. 복잡하고 사이즈가 큰 바이너리를 qemu mode로 퍼징할 때, map density가 70%이상으로 높아질 때가 있다. shared memory의 70%가 특정 커버리지에 의해서 표시되었다는 뜻이다. 이 경우 새로운 커버리지가 발견되어도, 70% 확률로 이미 발견된 커버리지로 측정된다. (collision) AFLPlusplus에서는 AFL_MAP_SIZE 환경변수를 통해서 map size를 바꿀 수 있다고 문서화되어 있다. 하.. 공감수 0 댓글수 0 2021. 10. 22.
  • Linux 버그 보는 곳 가끔 리눅스의 최신 버그 (glibc 등에서 발생하는 것들)을 찾아야 할 때가 있다. https://sourceware.org/bugzilla/describecomponents.cgi 공감수 0 댓글수 1 2021. 6. 6.
  • Fuzzing cheat sheet 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 4. 9.
  • Ida python for bug hunting 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 3. 11.
  • Symbolic attack 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 3. 10.
  • Assaultcube Fuzzing Assaultcube는 Open source FPS 게임입니다. 리눅스, 윈도우, 맥에서 플레이 가능하며, 매우 낮은 사양의 PC로도 정상적인 플레이가 가능하다는 특징이 있습니다. 최근 해당 게임에서 취약점이 발견되었고, 해당 취약점을 모티브로한 CTF 문제가 출제된 적이 있습니다. 퍼징 결과 한 개의 원데이 취약점을 발견하였습니다. 본 문서에서는 원데이 취약점이 나왔던 Client가 Server로 보내는 message에 대해서만 퍼징을 했습니다. Map, Server to Client 등 좀 더 많은 벡터에 대해서 퍼징을 한다면 제로데이 취약점을 발견할 수도 있을 것으로 예상됩니다. 나중에 시간될 때 하거나 다른 분이 하시면 구경할 예정. Motivation CTF 문제랑 1-day 문서 있는 거 보고.. 공감수 0 댓글수 0 2021. 2. 4.
  • HITCON CTF 2020 / Dual Fuzzing with AFL -> Awesome crash -> Type confusion -> Heap Overflow ->AAW -> RCE from pwn import * def go(a,b): p.recvuntil(str(a)) p.sendline(str(b)) def add(pred): go(">",'1') go(">",pred) def link(pred,succ): go(">",'2') go(">",pred) go('>',succ) #payload = open("null").read() #print(payload.encode('hex')) payload =b"""5 E23 7 1 E2 7 7? 4 %d """%(0x39) ##FAKE NODE ##### payload+=p64(0xdead)#.. 공감수 0 댓글수 0 2020. 11. 30.
  • CVE-2020-6383 취약점 요약 a security issue in the implementation of loop variable analysis. The patch makes the typer recognize cases where in statements like for (var i = start; i < ...; i += increment) { ... } the loop variable can become NaN because start and increment are Infinity values of differing sign[1]. Unfortunately, the introduced check is not sufficient to catch all loops that can produce NaN. The cod.. 공감수 0 댓글수 0 2020. 11. 10.
  • ~/.gdbinit pwndbg와 angelheap을 함께 쓰는 스크립트입니다. pwndbg와 pwngdb를 설치한 후 아래 스크립트를 .gdbinit에 적으면 됩니다. source ~/Pwngdb/angelheap/gdbinit.py source ~/pwndbg//gdbinit.py define hook-run python import angelheap angelheap.init_angelheap() end 공감수 0 댓글수 0 2020. 10. 30.
  • patch afl-analyze.c invalid free bug 보호되어 있는 글입니다. 공감수 0 댓글수 0 2020. 10. 10.
  • Trend Micro CTF 2020 / reversing-2 200 요즘 바빠서 블로그에 뭐 쓸 게 없네요ㅠ. KISA에 취약점 제보한 것들 비밀유지 기한이 끝나면 쓸 것들이 좀 많아질 듯합니다. Gameboy를 기반으로 만들어진 간단한 게임이 주어집니다. 해당 게임은 점프 높이나 몬스터 때문에 정상적으로 클리어할 수 없기 때문에 ROM 파일을 리버싱하여 치트 코드를 알아내야 합니다. 리버싱에는 2가지 툴을 사용했습니다. Ghidra에서 어셈블리를 디컴파일 해주기 때문에 일반적인 ELF 파일 리버싱과 비슷한 느낌으로 하면 됩니다. Ghidra : GhidraBoy를 설치하면 ROM 파일의 어셈블리를 디컴파일해줍니다. 윈도우에서는 설치가 안 되서 리눅스에서 Ghidra를 설치하여 사용했습니다. bgb : 동적 디버깅을 위해 사용했습니다. 치트코드를 입력할 때 코드의 길이가.. 공감수 0 댓글수 0 2020. 10. 6.
  • DownUnderCTF 2020 / is-this-pwn-or-web 같이 스터디하는 분이 CTF에 V8 나왔다고 알려줘서 풀어봤습니다. 취약점 Slice로 생성되는 array에서 OOB가 발생합니다. V8에선 OOB object가 생성되면 익스플로잇은 늘 하던 거 그대로 하면 되기 때문에 따로 자세히 설명하지는 않겠습니다. 다만 Exploit을 하다보면 OOB의 Base가 V8 heap이 아닌 다른 영역인데 이 부분은 나중에 분석 후 설명을 업로드할 예정입니다. (2021-10-29 young geneation ) diff --git a/src/builtins/array-slice.tq b/src/builtins/array-slice.tq index 7b82f2bda3..4b9478f84e 100644 --- a/src/builtins/array-slice.tq +++ .. 공감수 0 댓글수 0 2020. 9. 21.
  • Relative Path Overwrite 브라우저와 서버의 path 해석을 다르게 하여 임의의 파일을 브라우저에 로드하게 하는 공격 방식입니다. 예를들어 다음과 같은 URL이 있다고 생각해봅시다. http://www.test.com/path/to/script.js 이제 이 URL을 다음과 같이 바꾸어 브라우저에 입력했다고 생각합시다. 일반적인 상식에 따르면 해당 페이지는 404에러가 뜰 것입니다. /을 %2f으로 url encoding했기 때문입니다. http://www.test.com/path%2fto%2fscript.js 하지만 몇몇 사이트에서는 위와 같이 /을 %2f로 바꾸어도 script.js 파일에 정상적으로 접근이 가능합니다. 서버가 path를 해석하는 과정에서 %2f를 /으로 변환하여 해석하기 때문입니다. 이는 여러가지 원인이 있을.. 공감수 0 댓글수 0 2020. 9. 15.
  • 사이버작전경연대회 2020 / vaccinesimulator 대회가 종료되기 40분전에 풀이를 떠올리고 대회가 끝난 20분 뒤에 쉘을 딴 문제입니다. Heap에서 삽질을 조금만 덜 했으면 시간내에 풀었을 텐데 아쉽습니다. keyword : LD_PRELOAD manager 파일과 simulator파일이 주워집니다. manager 파일에는 canary가 적용되어 있지 않습니다. ➜ vachine checksec manager [*] '/home/jjy/lab/whitehat/vachine/manager' Arch: amd64-64-little RELRO: Full RELRO Stack: No canary found NX: NX enabled PIE: PIE enabled ➜ vachine checksec simulator [*] '/home/jjy/lab/white.. 공감수 1 댓글수 0 2020. 9. 15.
  • Incognito CTF 2020 Incognito CTF 2020에 개인으로 참가하여 3등을 하였습니다. 윈도우 리버싱과 포렌식 문제 하나를 못 풀었습니다. 중간에 딴 짓 안 하고 열심히 했으면 둘 다 풀만했을 것 같은데 아쉽네요. 1등이 진작에 올클하고 떠나버리셔서 제가 다 풀었어도 2등이긴 했습니다 ㅋ 주최측에 제출하기 위해 작성한 간단한 라이트업을 공유합니다. Yaaong 고양이 사진을 보여주는 어플이 주어집니다. dex2jar, apktools를 사용하여 어플을 디컴파일할 수 있습니다. 어플 내에 Text Box가 있는데 사용자가 그 Text Box에 Flag의 전반부를 입력하면 어플이 Flag의 후반부를 출력합니다. resources\lib\x86_64\libProb.so에 존재하는 Java_com_charlie_rev_Mai.. 공감수 0 댓글수 0 2020. 8. 30.
  • Chrome v8 / CVE-2019-5791 취약점 요약 AST 단계와 Bytecode-generator 단계에서는 각각 Dead-code Elimination을 수행합니다. CVE-2019-5791는 AST 단계와 Bytecode-generator 단계에서 Dead-code Elimination을 수행하는 방식이 달라서 발생한 취약점입니다. AST에서보다 Bytecode-generator에서 Dead-code를 판단하는 기준이 엄격합니다. 따라서 Bytecode-generator에서는 dead-code라고 판단하지 않은 코드를 AST에서는 dead-code라고 판단하는 경우가 발생합니다. 이는 AST와 Bytecode-generator에서 사용하는 Literal_array의 idx값이 달라지게 되고, Type Confusion이 발생하게 됩니다... 공감수 0 댓글수 0 2020. 8. 17.
  • pwnable.kr / crcgen 보호되어 있는 글입니다. 공감수 0 댓글수 0 2020. 7. 16.
  • ASIS CTF 2020 / shared_house 나중에 블로그에 글 옮기는 걸로... 공감수 0 댓글수 0 2020. 7. 8.
  • Structure for Kernel heap exploit https://ptr-yudai.hatenablog.com/entry/2020/03/16/165628 https://duasynt.com/blog/linux-kernel-heap-spray 공감수 0 댓글수 0 2020. 7. 7.
  • ASIS CTF 2020 / tthttpd #Find bug It is a simple HTTP server written in C language. There are two simple vulnerabilities. 1. Stack overflow Length is not verified when receiving input from the client. Therefore, Stack overflow occurs. int __fastcall readline(_BYTE *buf) { int result; // eax _BYTE *i; // [rsp+18h] [rbp-8h] for ( i = buf; ; ++i ) { result = fgetc(stdin); if ( (_BYTE)result == -1 ) break; if ( (_BYTE)resu.. 공감수 0 댓글수 0 2020. 7. 6.
  • Multiple vulnerabilities In radare2-extras / Fixed 보호되어 있는 글입니다. 공감수 0 댓글수 0 2020. 7. 3.
  • Redpwn CTF 2020 / post-it-notes Keyword : SSRF, HTTP Request Smuggling Web server와 API서버가 주워집니다. Web Server는 외부에서 접근가능한 서버입니다. API Server는 로컬에서만 접속이 가능합니다. ## Command injection vulernalbiliry In Internal API Server def get_note(nid): stdout, stderr = subprocess.Popen(f"cat 'notes/{nid}' || echo it did not work btw", shell = True, stdout = subprocess.PIPE, stderr = subprocess.PIPE, stdin = subprocess.PIPE).communicate() if stde.. 공감수 0 댓글수 0 2020. 6. 23.
  • pwn2win 2020 / omnitmizer # Make POC patch 파일과 d8.exe가 주어집니다. patch 파일을 보면 escape-analysis.cc의 reduce함수에서 case IrOpcode::kCheckMaps:을 거의 지워버린 것을 볼 수 있습니다. reduce 함수는 사용자 정의 함수를 최적화할 때 사용되는 함수 중 하나입니다. 따라서 escape-analysis 최적화를 할 때 Maps(타입) 검사를 지워버리는 패치라고 이해할 수 있습니다. https://github.com/v8/v8/tree/50dd84ca317ae35c926ed34d001a72b62aea6662 diff --git a/src/compiler/escape-analysis.cc b/src/compiler/escape-analysis.cc index b3.. 공감수 0 댓글수 0 2020. 6. 3.
  • 2020 PWN2WIN / tukro #Summary A sends a message to B. B deletes the message. UAF(Use-After-Free) occurs when A reads or modifies a message sent to B. You can do RCE using House of Orange. The solution of this problem is extremely similar to the 300 from 34c3. https://github.com/DhavalKapil/ctf-writeups/blob/master/34c3ctf-2017/300/exploit.py #Find Vulnerable This function sends a message to another user. Users can o.. 공감수 0 댓글수 0 2020. 6. 1.
  • Web cache deception attack 유튜브에 올라온 Black Hack 컨퍼런스 영상을 보던 중 어썸한 기법을 찾아서 정리 겸 남깁니다. 제 글이 부족하기도 하고 참고링크에 있는 유튜브 영상에 잘 설명되어 있으니, 공부 용도로 보시는 이 글을 분들은 유튜브 영상을 보는 걸 추천합니다. 웹알못이 작성한 글이니 틀린 내용을 발견하시면 지적 부탁드립니다. Background 1. Front-End server란? 현재 서비스 중인 많은 웹서버는 Front-End와 Back-End 구조로 이루어져 있습니다. Front-End 서버는 유저(브라우저)와 Back-End 서버 사이에서 이 둘의 연결을 이어주는 서버를 말합니다. Front-End 서버는 두가지 용도로 사용됩니다. 이를 간략하게 설명하면 다음과 같습니다. load balancer : 한 .. 공감수 2 댓글수 0 2020. 5. 27.
  • JJY Profile 정재영 한양대학교 (2017 ~ ) Vulnerability CVE CVE-2021-26624 (link) CVE-2021-26623 (link) CVE-2021-26615 (link) CVE-2021-26603 (link) CVE-2020-12830 (link) CVE-2020-7860 (link) KVE (Kisa) KVE-2019-1111 // KVE-2020-0245 // nmail KVE-2020-0638 // estsoft - unegg KVE-2020-0652 // 반디소프트 - 꿀뷰 KVE-2020-0673 // 휴먼토크 - 다씨 KVE-2020-0748 // KVE-2020-0786 // KVE-2020-0787 // KVE-2021-0018 // 반디소프트 - ARK KV.. 공감수 0 댓글수 1 2020. 5. 12.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.