バージョン 7 - 履歴 - CTF Pwn - A painter and a black cat

1

kanata

# CTF Pwn

2

5

1

kanata

むぅ。攻撃手法について、ぜんぜん体系化できん。。もうちょっと理解が必要だ。

6

7

{{toc}}

8

9

# Linuxにおけるソフトウェアの脆弱性とセキュリティ機構まとめ

10

11

がんばって整理してみる。

12

18

1

kanata

22

1

kanata

{{rawhtml(<blockquote class="twitter-tweet"><p lang="en" dir="ltr">Memory Segment <a href="https://t.co/j8abA4T0kB">pic.twitter.com/j8abA4T0kB</a></p>&mdash; Mohit Mishra (@chessMan786) <a href="https://twitter.com/chessMan786/status/1921581295773331667?ref_src=twsrc%5Etfw">May 11, 2025</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>)}}

25

1

kanata

33

1

kanata

### Pwnable の流れ

34

35

ユーザからの入力は、ローカル変数(stack)、グローバル変数(.data、もしくは、.bss)、ヒープ領域(heap)のいずれかに格納される。

36

37

| C言語における変数の種類  | 格納される領域       | 格納される方向                         |

38

|--------------------------|----------------------|----------------------------------------|

39

| ローカル変数             | stack                | アドレスの値が大きいほうから小さい方へ |

40

| グローバル変数           |.data、もしくは、.bss | アドレスの値が小さいほうから大きい方へ |

41

| malloc関数で確保した領域 | heap                 | アドレスの値が小さいほうから大きい方へ |

42

43

もし仮に、 Stack buffer over flow の脆弱性があった場合、ユーザからの入力はローカル変数で定義したサイズを超えて、stack内のメモリ領域を書き換える事ができる。

44

書き換える内容を工夫することで、以下ができる。

45

46

* 他の領域(heapや.bss等々)を読みこんだり書き換えたりできる。

47

* プログラムの流れを変え、任意の命令を実行できる。

48

49

# Linux kernelのメモリ管理

50

51

## 全セクション

52

53

調査方法

54

55

~~~

56

# readelf -S /bin/ls

57

~~~

58

59

~~~

60

# gdb /bin/ls

61

(gdb) b exit

62

(gdb) r

63

(gdb) i files

64

(gdb) i proc

65

(gdb) shell cat /proc/[PID]/maps

66

~~~

67

68

| セクション名     | 開始アドレス(サンプル)| NX bit | 説明 |

69

|------------------|-----------------------|--------|------|

70

| .interp          | 0x00400238 | r-xp | 実行形式のロードと動的リンクを行う共有ライブラリ(/lib64/ld-linux-x86-64.so.2とか)を指定 [ゆずさん研究所](http://d.hatena.ne.jp/yz2cm/20131012/1381610473)

71

| .note.ABI-tag    | 0x00400254 | r-xp | このセクションは、何らかの方法でファイルに印をつける情報を保持している [ゆずさん研究所](http://d.hatena.ne.jp/yz2cm/20131013/1381614214)

72

| .note.gnu.build-id| 0x00400274 | r-xp | ビルドされたファイルに対するユニークなIDが入っている。core dumpに含まれる [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628)

73

| .gnu.hash        | 0x00400298 | r-xp | シンボル名の検索を高速化するための .dynsym に関連付けられたハッシュテーブル[ゆずさん研究所](http://d.hatena.ne.jp/yz2cm/20131013/1381662391)

74

| .dynsym          | 0x004002d0 | r-xp | 動的リンク用のシンボルテーブル。[わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628) [ゆずさん研究所](http://d.hatena.ne.jp/yz2cm/20131014/1381702665)

75

| .dynstr          | 0x00400f30 | r-xp | .dynsymセクションヘッダのsh_nameが参照する文字列（シンボル名）を格納している [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628) [ゆずさん研究所](http://d.hatena.ne.jp/yz2cm/20131014/1381705567)

76

| .gnu.version     | 0x004014ec | r-xp | .dynsymで定義されるシンボルに対応するバージョンの一覧 [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/04/11/040554)

77

| .gnu.version_r   | 0x004015f8 | r-xp | .gnu.versionが指すバージョン値についての情報が示されているセクション [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628)

78

| .rela.dyn        | 0x00401688 | r-xp | リロケータブルなシンボルを dynamic に解決するためのセクション [新千葉 ガーベージ・コレクション](http://ryos36.hatenablog.com/entry/20100922/1285145438)

79

| .rela.plt        | 0x00401760 | r-xp | 動的リンクのために書き替えが必要なアドレスのリスト。アドレスとシンボルをペアにして関連付けている [七誌の開発日記](http://7shi.hateblo.jp/entry/2013/05/25/103050) [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628)

80

| .init            | 0x00402228 | r-xp | このセクションにはプロセスが実行される前に実行される実行可能な命令が格納されます。プログラムの実行が始まるときに、OSはメインプログラムエントリー（C言語ではmain関数）をコールする前にこのセクションのコードを実行します。

81

| .plt             | 0x00402250 | r-xp | 遅延リンクのために使われる。関数本体へのジャンプコードの集合 [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628)

82

| .text            | 0x00402990 | r-xp | プログラムのうち、機械語の部分を格納するためのセクション

83

| .fini            | 0x0041295c | r-xp | プロセスの実行終了時に実行される実行可能な命令が格納される。プログラムが正常終了するときにOSはこのセクションのコードを実行する。

84

| .rodata          | 0x00412980 | r-xp | プログラムのうち、定数(const)を格納するためのセクション。C言語では、「プログラム中の文字列定数」「const宣言された定数」などが格納される。[セクションとか.textとか](http://www.ertl.jp/~takayuki/readings/info/no02.html)

85

| .eh_frame_hdr    | 0x00416650 | r-xp |  C++のランタイムが eh_frame にアクセスするためのコードが入るセクション [メモ書き](http://nsaito-nmiri.hateblo.jp/entry/2015/05/22/201534)

86

| .eh_frame        | 0x00416d98 | r-xp | 例外をサポートしている言語の場合、情報を保持しておくセクション。バックトレース（スタックトレース）をとるための情報が入ったフレーム [わらばんし仄聞記](http://warabanshi.hatenablog.com/entry/2013/05/18/231628)

87

| .init_array      | 0x0061a320 | r--p | 関数のアドレスが格納された配列になっている。.initセクション実行の後に、順番に実行される。

88

| .fini_array      | 0x0061a328 | r--p | 関数のアドレスが格納された配列になっている。.finiセクション実行よりも前に、順番に実行される。

89

| .jcr             | 0x0061a330 | r--p | Java Class Reference らしい。

90

| .data.rel.ro     | 0x0061a340 | r--p | RELRO関係??

91

| .dynamic         | 0x0061ada8 | r--p | 動的リンクに必要な情報を集めたテーブル

92

| .got             | 0x0061afa8 | r--p | 動的リンクされた関数などのアドレステーブル。ここをインタプリタで書き替えることにより、動的リンクを実現する。

93

| .got.plt         | 0x0061b000 | rw-p | 動的リンクされた関数などのアドレステーブル。ここを書き替えることにより、動的リンクを実現する。Full RELROの場合は、存在しない。 [七誌の開発日記](http://7shi.hateblo.jp/entry/2013/05/25/103050)

94

| .data            | 0x0061b3c0 | rw-p | プログラムのうち、初期値を持つ変数を格納するためのセクション。C言語では、「0以外の初期値を持つ大域変数」「0以外の初期値を持つ静的局所変数」がここに置かれる。データとして初期値を持ち、プログラムローダは書き込み可能なメモリを確保した後、初期値を書き込む。

95

| .bss             | 0x0061b600 | rw-p | プログラムのうち、初期値を持たない変数を格納するためのセクション。C言語では、「初期値が指定されない大域変数」「初期値が0の大域変数」「初期値が指定されない静的局所変数」「初期値が0の静的局所変数」が格納される。C言語の規約では、「この領域はすべて0で初期化されなければならない」と規定されているため、プログラムローダは書き込み可能なメモリを確保した後、すべて0で初期化する。

96

| [heap]↓         | 0x0061c000-0x0063e000     | rw-p     | C言語におけるmalloc関数等で確保した領域が配置される

97

| shared-object    | 7ffff0415000-7ffff7ffa000 | 以下参照 | 共有ライブラリ(.soのファイル)のメモリ配置場所

98

| [vdso]           | 7ffff7ffa000-7ffff7ffc000 | r-xp     | ここ([[CTF Pwn#vDSO - 仮想 ELF 動的共有オブジェクトの概要]])参照

99

| shared-object    | 7ffff7ffc000-7ffff7fff000 | 以下参照 | 共有ライブラリ(.soのファイル)のメモリ配置場所

100

| [stack]↑        | 7ffffffea000-7ffffffff000 | rw-p     | C言語における関数呼び出し元のアドレス退避先、及び、ローカル変数のメモリ配置先

101

| [vsyscall]       | ffffffffff600000-ffffffffff601000 | r-xp |  カーネル空間の実行コードをユーザ空間から参照できる　[int0x80 と sysenter を切り替える vsyscall](https://github.com/hiboma/hiboma/blob/master/Linux%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%E8%A7%A3%E8%AA%AD%E5%AE%A4/Linux%E3%82%AB%E3%83%BC%E3%83%8D%E3%83%AB%E8%A7%A3%E8%AA%AD%E5%AE%A4-5-3.md)

102

| kernel-area      |  |  | カーネルが使うところ

103

104

> NX bit

105

106

>>r = read

107

>>w = write

108

>>x = execute

109

>>s = shared

110

>>p = private (copy on write)

111

112

> shared-object の NX bit の例 (soによって中身が4分割されてNX bitを設定されたり、まちまち)

113

114

~~~

115

7ffff0415000-7ffff693c000 r--p 00000000 fd:00 181108739                  /usr/lib/locale/locale-archive

116

7ffff693c000-7ffff6952000 r-xp 00000000 fd:00 72515859                   /usr/lib64/libpthread-2.17.so

117

7ffff6952000-7ffff6b52000 ---p 00016000 fd:00 72515859                   /usr/lib64/libpthread-2.17.so

118

7ffff6b52000-7ffff6b53000 r--p 00016000 fd:00 72515859                   /usr/lib64/libpthread-2.17.so

119

7ffff6b53000-7ffff6b54000 rw-p 00017000 fd:00 72515859                   /usr/lib64/libpthread-2.17.so

120

7ffff6b54000-7ffff6b58000 rw-p 00000000 00:00 0

121

7ffff6b58000-7ffff6b5c000 r-xp 00000000 fd:00 72518875                   /usr/lib64/libattr.so.1.1.0

122

7ffff6b5c000-7ffff6d5b000 ---p 00004000 fd:00 72518875                   /usr/lib64/libattr.so.1.1.0

123

7ffff6d5b000-7ffff6d5c000 r--p 00003000 fd:00 72518875                   /usr/lib64/libattr.so.1.1.0

124

7ffff6d5c000-7ffff6d5d000 rw-p 00004000 fd:00 72518875                   /usr/lib64/libattr.so.1.1.0

125

7ffff6d5d000-7ffff6d60000 r-xp 00000000 fd:00 72515794                   /usr/lib64/libdl-2.17.so

126

7ffff6d60000-7ffff6f5f000 ---p 00003000 fd:00 72515794                   /usr/lib64/libdl-2.17.so

127

7ffff6f5f000-7ffff6f60000 r--p 00002000 fd:00 72515794                   /usr/lib64/libdl-2.17.so

128

7ffff6f60000-7ffff6f61000 rw-p 00003000 fd:00 72515794                   /usr/lib64/libdl-2.17.so

129

・

130

・

131

・

132

~~~

133

134

ELFの動的リンク

135

http://www.slideshare.net/7shi/startprintf2-elf

136

137

Github - torvalds/linux/Documentation/x86/x86_64/mm.txt

138

https://github.com/torvalds/linux/blob/master/Documentation/x86/x86_64/mm.txt

139

140

Linux メモリ管理を理解したい

141

https://qiita.com/kimullaa/items/998c2599c9f51bac5be4

142

143

144

145

## 主要なセクション

146

147

CTFだけ考えるなら、以下を押さえておけば、だいたいなんとかなる。

148

149

| セクション名     | 開始アドレス(サンプル) | NX bit | ざっくり説明 |

150

|------------------|------------------------|--------|--------------|

151

| .plt             | 0x00402250             | r-xp   | ここ([[CTF Pwn#PLT(Procedure Linkage Table)とGOT(Global Offset Table)]])参照

152

| .text            | 0x00402990             | r-xp   | 実行される機械語のところ

153

| .rodata          | 0x00412980             | r-xp   | プログラム中の文字列定数、const宣言された定数

154

| .got             | 0x0061afa8             | r--p   | ここ([[CTF Pwn#PLT(Procedure Linkage Table)とGOT(Global Offset Table)]])参照

155

| .got.plt         | 0x0061b000             | rw-p   | ここ([[CTF Pwn#PLT(Procedure Linkage Table)とGOT(Global Offset Table)]])参照。Full RELROの場合は、存在しない。

156

| .data            | 0x0061b3c0             | rw-p   | 初期値を持つ変数

157

| .bss             | 0x0061b600             | rw-p   | 初期値を持たない変数

158

| [heap]↓         | 0x0061c000-0x0063e000  | rw-p   | malloc関数を実行した際のメモリ確保先

159

| shared-object    | 7ffff0415000-7ffff7fff000         | いろいろ | 共有ライブラリ

160

| [stack]↑        | 7ffffffea000-7ffffffff000         | rw-p     | 関数呼び出し元のアドレス退避先、ローカル変数のメモリ配置先

161

| kernel-area      |                                   |          |

162

163

## PLT(Procedure Linkage Table)とGOT(Global Offset Table)

164

165

libc.soなどにある外部関数のアドレスを動的に求める機構。

166

.pltセクションが外部アドレスを解決し、.got.pltに保存(キャッシュ)する。スタティックリンクだと存在しない。

167

168

Partial RELROの場合、遅延バインドという動作になる。

169

共有ライブラリにある関数アドレスに対して、初回呼び出し時に、.got.pltにキャッシュする方式。

170

そのため、.got.pltセクションは書き込み可能な状態で存在し、GOT overwriteという攻撃を受けるリスクがある。

171

172

![fig02.png](fig02.png)

173

174

例えば、C言語でputs関数を呼び出すコーディングをした際の動きは、以下の通り。

175

176

* ①.textセクションにputs関数を呼び出す機械語が書かれている。puts関数の呼び出し先アドレスは、.pltセクションのputs関数がエントリされている部分になる。

177

* ②呼び出された.pltセクションのputs関数の箇所は、さらに .got.pltセクションのputs関数がエントリされているアドレスを呼び出す。

178

* ③.got.pltセクションは、本物の共有ライブラリ(libc.so)のputs関数を呼び出す。

179

180

Full RELROの場合は、.got.pltセクションは存在しない。

181

遅延バインドを使わず、プロセス起動時に外部アドレスを解決して.gotセクションに書き込む。書き込み後にNXによりリードオンリーにする。

182

動きは、.got.pltが、.gotに代わる以外は、Partial RELROの場合と同様である。

183

184

![fig03.png](fig03.png)

185

186

187

188

189

190

PLTエントリはELF中の固定アドレスであり、ASLRが有効であってもアドレスは固定。

191

PIEが適用されている場合はアドレスがランダムとなる。

192

193

### 参考

194

195

ψ（プサイ）の興味関心空間 - ELFの再配置シンボルの解決

196

http://ledyba.org/2014/06/13093609.php

197

198

脱力系日記 GOT、PLTとIAT

199

http://tkmr.hatenablog.com/entry/2017/02/28/030528

200

201

202

203

## vDSO - 仮想 ELF 動的共有オブジェクトの概要

204

205

一部のアーキテクチャの時間関数などは、高速化のためカーネル空間に切り替わらず、vsyscallのみで実現している。

206

vsyscallに必要な関数群をユーザー空間のアプリケーションに提供する仕組み。

207

208

[Man page of VDSO](https://linuxjm.osdn.jp/html/LDP_man-pages/man7/vdso.7.html)

209

210

## スタックとスタックフレームの仕組み

211

212

![fig04.png](fig04.png)

213

214

黄色の部分は SSP による canary値。後述する。

215

216

[ELF Auxiliary Table](http://articles.manugarg.com/aboutelfauxiliaryvectors)

217

要はカーネルから渡される各種値のテーブル。アンチデバッグとして、稀にこの値が利用されることがある。

218

219

# Linuxのセキュリティ機構

220

221

## NX bit

222

223

プロセスの全てのメモリ領域において、読み・書き・実行が可能だと、セキュリティ上良くない。

224

セクション毎に、読み・書き・実行の権限を制御できるようにしたのが、NX。

225

226

Microsoft Windows的には **DEP** と呼ばれている。

227

228

## ASLR

229

230

通常、同じプログラムであれば、関数のアドレスや、変数の格納先アドレス等、何度実行しても変化することはない。

231

この「変化しない」という性質を利用して、任意の関数を呼ばれたりして悪意のある攻撃につながってしまう。

232

233

ASLRは、heap領域以降のアドレスをランダム化(アドレス空間配置のランダム化)することで、これらの攻撃を防ぐのが目的。

234

ASLRだと起動するたびにheap領域以降のアドレスが変化する。

235

236

ただし、ランダム化されるのheap領域以降と限定されるため、アドレスが固定化されている部分を利用した攻撃に対するリスクは残っている。

237

238

通常のheapの開始アドレスは、0x0804XXXXとかになるが、ASLRだと0xfXXXXXXXで始まるアドレスになる。

239

240

## SSP(GCC Stack-Smashing Protector)

241

スタックバッファオーバーフローを防ぐセキュリティ機構の一つ。

242

SSPを有効にすると、関数の呼び出し時にスタックにcanaryと呼ばれる値が置かれる。

243

関数から出る時(リターン前)に、canaryが変更されていないか検証(__stack_chk_fail関数の呼出)され、書き換えられていたら強制終了する。

244

245

### master canaryはどこにあるか

246

247

master canary というスタックに置かれた値との比較元は、どこにあるか。

248

249

* THREAD_SET_STACK_GUARD にて決められている。

250

 * 7アーキテクチャにて定義

251

 * canaryがTLS(thread local storage)に入る。TLSはヒープ領域に格納される。

252

 * 定義されていないならmaster canaryは.bssへ

253

 * ヒープも.bssセクションも、通常は書き込み権限があるので、書き換え可能。

254

 * canaryは、バイナリが再起動するまで変化しない。

255

256

### 参考

257

258

[@potetisensei](https://twitter.com/potetisensei?lang=ja)の[CODE BLUE](http://codeblue.jp/)の時の発表が神解説。

259

https://www.youtube.com/watch?v=UTC2iWxQ4qc&feature=youtu.be&a

260

http://www.slideshare.net/codeblue_jp/master-canary-forging-by-code-blue-2015

261

https://github.com/potetisensei/MasterCanaryForging-PoC

262

263

## RELRO

264

265

外部ライブラリ(共有オブジェクト *.so)を利用するとき、それらはアドレス空間の色々なところにマッピングされている。

266

これらで提供されている関数のアドレスを毎回計算で求めるのは大変なので、一度計算したら保存しておくテーブルがあると便利。

267

そのテーブルのことをGOT(Global Offset Table)と呼び、アドレス固定領域に存在している。

268

269

このGOTテーブルが、もし書き換えられると任意の関数を実行できてしまう。

270

それを防ぐ手段として、Partial RELRO と Full RELRO の二種類がある。

271

272

| 種類          | 遅延バインド | 説明                                                                 |

273

|---------------|--------------|----------------------------------------------------------------------|

274

| Partial RELRO | 有効         | .got.pltセクションが存在し、一部書き換え可能

275

| Full RELRO    | 無効(起動時間が遅くなる) | .got.pltセクションは無い。リードオンリーな .gotセクションのみがある。

276

277

**遅延バインド**について

278

279

普通、遅延バインドと言うと、Partial RELRO の時の動きを言うんだと思う。

280

281

| 種類          | 説明 |

282

|---------------|------|

283

| RELRO 無し    | オブジェクトがロードされた時（プログラムの起動時）に、dynamic linkerが全てのGOTのエントリに本当の関数のアドレス(libc.soのputsなど)を埋める。

284

| Partial RELRO | オブジェクトがロードされた時（プログラムの起動時）には、.got.pltセクションに特別な値を入れておき、本当の関数のアドレス調査を、その関数の初回呼び出し時まで遅延する

285

| Full RELRO    | 遅延BINDしない。プログラム実行開始時に.gotセクションを全部書き換える。全部書き換え終わったら、.gotセクションを書き込み禁止にする

286

287

## PIE

288

ASLRが有効な場合、スタック領域・ヒープ領域や共有ライブラリが置かれるアドレスは一定の範囲の中でランダムに決められる。

289

一方、実行ファイルそのものが置かれるアドレスは基本的には固定であるが、PIE (Position-Independent Executables) となるようにコンパイル・リンクすることでランダムなアドレスに置けるようにできる。

290

291

292

293

## ASCII-armor

294

295

共有ライブラリをメモリ上に配置するときにNULL(0x00) を含むアドレスへ配置するようにする。

296

strcpy 等を利用してのメモリ書き換えを防止するため。

297

298

# Vulnerabilities(脆弱性)

299

300

## Stack Buffer Overflow(スタックバッファオーバーフロー)

301

302

![wikipedia_StackBufferOverflow.png](wikipedia_StackBufferOverflow.png)

303

304

入力値チェックの無い変数にサイズオーバーで値を詰めると、スタックの底の方を書き換えられる。

305

スタックの底には、call時に関数復帰先のアドレスが設定される。

306

307

書き換える内容にシェルコードを含めておき、復帰先は、そこに飛ぶようにうまく上書きすれば、スタックの中だけでexploit処理が完結できる。ただし、NX bitで、この方法を無効にできる。

308

309

NTTデータ先端技術株式会社 - CTFで学ぶ脆弱性（スタックバッファオーバーフロー編・その1）

310

http://www.intellilink.co.jp/article/column/ctf01.html

311

312

## Heap Buffer Overflow(ヒープバッファオーバーフロー)

313

314

NEC 古賀さんによるありがたい解説

315

http://www.soi.wide.ad.jp/class/20040011/slides/19/45.html

316

https://www.nic.ad.jp/ja/materials/security-seminar/20041004/3-koga.pdf

317

318

Github - yannayl / GlibC Malloc for Exploiters

319

https://github.com/yannayl/glibc_malloc_for_exploiters

320

321

>かなり綺麗にまとまっている

322

323

324

### ヒープの仕組み

325

326

1. ヒープはフリーリストという構造になっている。

327

2. この１つの要素を共有する状態を作る。

328

3. 共有すると要素が抱える次の要素と前の要素を指すポインタを書き換えることができる。

329

4. 書き換えられれば、指し先をスタックにして、任意の値を書き込むことで、任意コードの実行まで出来る。

330

331

図を入れる。入れたい。

332

333

malloc(3)のメモリ管理構造

334

http://www.valinux.co.jp/technologylibrary/document/linux/malloc0001/

335

336

mallocの旅(glibc編)

337

http://www.slideshare.net/kosaki55tea/glibc-malloc

338

339

>神解説

340

341

342

### Use After Free

343

344

mallocで一度確保され解放された後に、尚そのアドレスに書き込むことが可能な場合に起きる。

345

既にそのアドレスは別の用途に転用されている場合、そのアドレスのデータを書き換え可能。

346

347

### Double Free

348

349

free()での二重解放。

350

解放されているアドレスを解放されていないものと思い込んで使い続けると、ヒープ内のデータが破損する可能性がある。

351

352

NEC 古賀さんによるありがたい解説

353

http://www.soi.wide.ad.jp/class/20040011/slides/19/61.html

354

355

### off-by-one error

356

357

NEC 古賀さんによるありがたい解説

358

http://www.soi.wide.ad.jp/class/20040011/slides/19/59.html

359

360

### House of XXXシリーズ

361

362

bataさんによる神解説

363

https://pastebin.com/raw/mrFNd19w

364

365

CTFするぞ - House of Corrosionの解説

366

https://ptr-yudai.hatenablog.com/entry/2019/10/19/002039

367

368

369

370

371

## Race Condition(リソース競合)

372

373

排他書が正しく実装されてなかったりした時、Use After FreeやDouble Free，もしくはスタックBOF/ヒープBOFに繋がる。

374

375

## Format String Bug (FSB)

376

377

### 参考

378

379

sekai013's blog - Format String Attack でメモリの中身を書き換える Mac OS X 10.10

380

http://sekai013.hatenablog.com/entry/2015/08/20/195649

381

382

NEC 古賀さんによるありがたい解説

383

http://www.soi.wide.ad.jp/class/20040011/slides/19/67.html

384

385

CTFするぞ - Format String Exploitを試してみる

386

https://ptr-yudai.hatenablog.com/entry/2018/10/06/234120

387

388

## Time-of-check-Time-of-use Race Condition (TOCTOUリソース競合)

389

390

ある処理AとBの間に、別の動作を無理やり割り込ませて、想定外の動作を引き起こす方法。

391

392

# Exploit Techniques - メモリ領域を上書きする

393

394

## .got overwrite

395

396

.gotセクションは外部関数アドレスのキャッシュであるため、ここを任意の関数のアドレスに書き換えることで、任意の関数が実行できる。

397

RELROにより、セクション内の書き込み権限がない場合は、成立しない。

398

399

ユーザの入力をそのまま受け付ける以下の関数があれば、.gotをsystem()に書き替えておくと，呼び出された時system(user_input)になる。

400

401

- strlen()

402

- strcmp()/memcmp()

403

- atoi()/strtol()

404

- free()

405

406

## Heap Buffer Overflow(ヒープバッファオーバーフロー)からの Unlink Attack と fastbins Unlink Attack

407

408

### Unlink Attack

409

410

ヒープバッファオーバーフローで，直下がfree済みチャンクの際，fd/bkメンバを上書き。

411

ただし、2004年以降のlibcにおけるfree()では、チェック機構が加わり、このUnlink Attackは起きない。

412

413

### fastbins Unlink Attack

414

415

fastbinsは、高速化のため実装された機構

416

fastbinsに入る小さなチャンクが直下にある状態で、ヒープバッファオーバーフローし、fdメンバを上書きできる

417

これによりfastbins UnlinkAttackができてしまう可能性がある。

418

419

### 参考

420

421

katagaitai CTF勉強会 #1 pwnables編 - DEFCON CTF 2014 pwn1 heap

422

http://www.slideshare.net/bata_24/katagaitai-ctf-1-57598200

423

424

> bataさん神

425

426

427

## ネットワークソケットを利用したシェル起動

428

429

(整理中)

430

ここに置くのが適切かわからん。。。

431

432

433

## _IO_jump_t overwrite

434

435

(整理中)

436

ここに置くのが適切かわからん。。。

437

438

439

440

441

442

# Exploit Techniques - 任意のアドレス(またはアドレスにある値)を漏洩させる

443

444

## DT_DEBUG,dl_runtime_resolve

445

446

dl_runtime_resolveやDT_DEBUGを利用することで、libc内のアドレスを動的に求めることができる。

447

448

dl_runtime_resolve

449

>PLTで使われる，外部関数のアドレスを動的解決する関数

450

451

452

453

454

455

456

# Exploit Techniques - セキュリティ機構を回避する

457

458

## byte-by-byte bruteforceによるSSP回避(x86)

459

460

1バイトずつブルートフォースすれば、256*4回の試行でStack Canaryを特定できる

461

(x64なら256*8回)

462

Stack Canaryは，TLS(Thread local storage)に格納されている

463

x86ではgs+0x14，x64ではfs+0x28にポインタが存在する

464

この値を書き換えられるなら，Stack Canaryは無効化できる

465

466

## Improper Null Terminationを利用したSSP回避

467

468

(作成中)

469

470

471

472

## Partial overwrite

473

474

ASLRおよびPIEが有効な場合、.textセクションもランダム化される。

475

しかしリトルエンディアン環境においては、リターンアドレスなどの下位バイトのみを書き換えることで付近のコードにジャンプさせることが可能となる。

476

477

リトルエンディアンの場合0x12345678はスタック上で 0x78563412と格納されている。

478

よってBOFなどにより例えば0x78の下位2バイトのみを書き換える事で、近いアドレスにジャンプさせる事ができ る。

479

飛ばせる先が限られている(他の手法と組み合わせ て使う場合が多い)、リトルエンディアンでしか使えない。

480

481

## Heap spray

482

483

(作成中)

484

485

486

487

# Exploit Techniques - 命令を実行する

488

489

(作成中)

490

491

はて、どうやって整理したものか

492

493

## ret2系

494

495

(作成中)

496

497

| 種類        | 説明 |

498

|-------------|------|

499

| ret2libc    | NX bitによる実行制御を回避するため、libcにあるsystem関数にretするようスタックを書き換える。いい感じにスタックポインタも操作して、書き換えた"/bin/sh"を指すようにする。ASLRやPIEでランダム化されると、厳しい。

500

| ret2esp     | スタック中にjmp espや、call espに復帰するようなアセンブラコードを仕込む。当然ながらjmp espやcall espがコード中に無ければ成立しない。

501

| ret2plt     | PLTを引数/戻り先と一緒にスタックへ仕込めば，通常の関数呼出と区別できない。

502

| ret2pop     | pop,pop,pop,pop,pop,pop,ret 等のガジェットを見つけて、スタックを減らして、次に実行したい関数と引数を積む技。

503

| ret2strcpy  |

504

| ret2resolve |

505

506

## ROP系

507

508

(作成中)

509

510

{{rawhtml(<blockquote class="twitter-tweet"><p lang="ja" dir="ltr">意地でもROPを理解させるという強い意志の動画です <a href="https://t.co/eGzrwGCoyc">pic.twitter.com/eGzrwGCoyc</a></p>&mdash; kurenaif🪄🗝@VTuber (@fwarashi) <a href="https://twitter.com/fwarashi/status/1657790229590478848?ref_src=twsrc%5Etfw">May 14 2023</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>)}}

511

512

↓けっこう参考になる

513

514

ROP 輕鬆談

515

http://www.slideshare.net/hackstuff/rop-40525248

516

517

ASLRは、通常実行体まではランダム化されないため、実行体の中の小さな命令(ROP gadgetsと言う)を集めてシェルコードを作る。

518

スタックにある関数復帰先のアドレスを制御し続けることで成し得る。

519

520

例えば、main関数から関数funcを読んだ先に脆弱性があったとする。

521

スタックが書き換えられるが、リターンの先をmainからgadgetに書き換える。

522

gadgetもretするが、その復帰先は、次のgadgetを指すようにする。

523

これを繰り返す。

524

525

PIEまでやられて、実行体もランダム化されると、この方法によるシェル奪取が難しくなる。

526

527

528

529

### ROP系小技

530

531

* __libc_csu_init gadgets

532

533

スタックからレジスタへ値を入れられる汎用ガジェットがある

534

535

* alarm(x)

536

537

x86/x64で、EAX/RAXレジスタにROPで任意の値を入れたいケース

538

ROPガジェットを探索しても、pop eax/raxが見つからない場合がよくある

539

alarm()を使うと、代替可能

540

ret2pltでalarm(x)-> alarm(0)と2回行えば、EAX/RAXレジスタにxが入る

541

542

* ROP stager

543

544

攻撃に使える領域のサイズが制限されている場合、readなどの関数を用いて再度メモリに書き込む方法をstagerと呼ぶ。

545

546

* DROP(Dynamic ROP)

547

548

漏洩させたlibcのアドレスを元に，***libc内のガジェット***を利用してROPを構築

549

.textのガジェットが少ない場合の対処法

550

相手環境のlibcがわかっていることが前提

551

552

* One-gadget-RCE

553

554

DragonSectorの資料

555

http://j00ru.vexillium.org/?p=2485

556

557

>x64でsystem("/bin/sh")を呼ぶ場合、条件付き(x64かつxinetd型でのみ有効)だが8バイトの書き込みで代替する方法がある

558

559

### SROP(Sigreturn-oriented Programming)

560

561

vdsoには、シグナル割り込みから復帰する際に、ユーザーランドのスタック上に作成したsignal frameに保存している値を全てのレジスタへ戻すsigreturnという命令が存在する。つまり、popadが廃止されたx64においても、sigreturnによってスタック上の値を複数のレジスタにセットすることができる。これによって、任意のシステムコールを呼び出すことが可能となるほか、関数の呼び出しがレジスタ渡しの場合においてもROPが容易になる。なお、vsyscallはASLRが有効であっても固定アドレスである。

562

ulimit -s unlimitedを用いてvdsoのマッピングアドレスを固定できる場合はCTFでも活用できそうだ。

563

564

### JOP(Jump-oriented programming) と COP(Call-oriented programming)

565

566

通常、retの次にはそのサブルーチンを呼び出したcallの次の命令が存在する。そこで、コールスタックを辿ることでROPによってretが使われていないか検出するROPguardが考案された。ROPguardはMicrosoftの脆弱性対策ツールであるEMET 3.5の根幹を成す理論だった。

567

そこで、retの代わりにjmpを用いるJump-oriented programmingが考案された。また、retやjmpの代わりにcallを用いるCall-oriented programmingも可能である。例えば以下のコードスニペットにおいて、callはjmpと実質的に等価である。

568

569

~~~

570

pop esi;

571

ret;

572

push eax;

573

call esi;

574

575

; call先

576

pop esi ;retアドレスを除去

577

;eaxを用いる処理

578

~~~

579

580

COPでは、pushのような表現力の高い命令を用いることができる。

581

582

# Exploit Techniques - シェルコードを置くメモリ領域を確保する

583

584

## Stack pivot

585

586

スタックのサイズ上、リターンアドレスの下にROP chainを構築できないような場合、xchg esp,eaxなどのgadgetを用いてスタックのアドレスを移動させる方法をstack pivotと呼ぶ。

587

588

スタックアドレスの設定先は、.bssセクションが使える(write権限がある)。.bssの先頭付近ではなく，中間ぐらいに設定するとよい(スタックの頭打ちを防ぐため)。

589

590

## Stager

591

592

BOFにより、書き換えられる量が少ない場合

593

594

* 短いアセンブリコードをBOFで送り込む

595

* これを最初に実行させ，shellcodeを追加読込をさせる

596

* 追加読み込みした部分へ制御を移す

597

598

と言う流れで対応することをstagerと言う。

599

600

# Command gadgets

601

602

katagaitai ctf study session - setup

603

http://pastebin.com/dWUV06ug

604

605

## 各種PLT/GOTを調査

606

607

```

608

$ objdump -d -M intel /bin/cat|grep "@plt>:" -A1

609

00000000004015b0 <__uflow@plt>:

610

  4015b0:       ff 25 62 aa 20 00       jmp    QWORD PTR [rip+0x20aa62]        # 60c018 <__sprintf_chk@plt+0x20a608>

611

--

612

00000000004015c0 <getenv@plt>:

613

  4015c0:       ff 25 5a aa 20 00       jmp    QWORD PTR [rip+0x20aa5a]        # 60c020 <__sprintf_chk@plt+0x20a610>

614

--

615

00000000004015d0 <free@plt>:

616

  4015d0:       ff 25 52 aa 20 00       jmp    QWORD PTR [rip+0x20aa52]        # 60c028 <__sprintf_chk@plt+0x20a618>

617

--

618

619

620

621

622

623

624

0000000000401a00 <iconv_open@plt>:

625

  401a00:       ff 25 3a a8 20 00       jmp    QWORD PTR [rip+0x20a83a]        # 60c240 <__sprintf_chk@plt+0x20a830>

626

--

627

0000000000401a10 <__sprintf_chk@plt>:

628

  401a10:       ff 25 32 a8 20 00       jmp    QWORD PTR [rip+0x20a832]        # 60c248 <__sprintf_chk@plt+0x20a838>

629

```

630

631

## 関数アドレスの調査

632

633

まず利用しているlibcのパスを調べる

634

635

```

636

$ ldd /bin/cat

637

        linux-vdso.so.1 =>  (0x00007fff3c3e2000)

638

        libc.so.6 => /lib64/libc.so.6 (0x00007fc824120000)

639

        /lib64/ld-linux-x86-64.so.2 (0x00007fc8244ed000)

640

```

641

642

libc内のsystemのオフセット調査

643

644

```

645

$ objdump -d /lib64/libc.so.6|grep "system>:"

646

0000000000041f00 <do_system>:

647

00000000000423d0 <__libc_system>:

648

```

649

650

## 固定文字列のアドレス調査

651

652

```

653

$ strings -tx /lib64/libc.so.6 |grep '/bin/sh'

654

 17b249 /bin/sh

655

656

```

657

658

## アドレス固定のRW領域(.data)調査

659

660

IDA Proでもできます。

661

662

```

663

$ readelf -S ropasaurusrex |fgrep .data

664

```

665

666

## gdb-pedaインストール手順

667

668

CentOS7の場合(既存のgdbを潰さない方法)

669

670

```

671

# yum install python-devel texinfo ※他に足りないパッケージがあったら、同じく入れる(たぶん大丈夫)

672

# su - user

673

$ mkdir /home/user/gdb-peda

674

$ cd /home/user/gdb-peda

675

$ wget http://ftp.gnu.org/gnu/gdb/gdb-7.9.tar.gz

676

$ tar pxzf gdb-7.9.tar.gz

677

$ cd gdb-7.9

678

$ ./configure --with-python=python && make

679

$ yum install git

680

$ git clone https://github.com/longld/peda.git /home/user/gdb-peda/peda

681

$ echo "source /home/user/gdb-peda/peda/peda.py" >> gdbinit

682

```

683

pedaの動作チェック

684

起動したら’start’と打ち，カラフルな画面が出てきたらインストール成功

685

686

```

687

$ /home/user/gdb-peda/gdb-7.9/gdb/gdb -q /bin/ls --data-directory=/home/user/gdb-peda/gdb-7.9/gdb/data-directory -x /home/user/gdb-peda/gdbinit

688

```

689

690

なので、こういう起動シェル作っとけば、既存のgdbと共存できる

691

692

gdb-peda.sh

693

694

```

695

#!/bin/bash

696

/home/user/gdb-peda/gdb-7.9/gdb/gdb -q ${1}  --data-directory=/home/user/gdb-peda/gdb-7.9/gdb/data-directory -x /home/user/gdb-peda/gdbinit ${2} ${3} ${4} ${5} ${6} ${7} ${8} ${9}

697

```

698

699

----

700

ちな、Ubuntu(x64)の場合(参考)

701

702

```

703

$ apt-get install libncurses5-dev g++ python-dev texinfo

704

$ cd /tmp

705

$ wget http://ftp.gnu.org/gnu/gdb/gdb-7.9.tar.gz

706

$ tar pxzf gdb-7.9.tar.gz

707

$ cd gdb-7.9

708

$ ./configure --with-python=python2 && make && make install

709

$ apt-get install git

710

$ git clone https://github.com/longld/peda.git ~/peda

711

$ echo "source ~/peda/peda.py" >> ~/.gdbinit

712

```

713

714

pedaの動作チェック

715

起動したら’start’と打ち，カラフルな画面が出てきたらインストール成功

716

717

```

718

$ gdb -q /bin/ls

719

```

720

721

### pop×Nガジェットを調査(rp++の方が精度がいい)

722

723

```

724

$ gdb ./binary –q

725

gdb-peda $ start

726

gdb-peda $ ropgadget

727

```

728

729

## gdb-dashboardインストール手順

730

731

[ここ](https://github.com/cyrus-and/gdb-dashboard)から、.gdbinitをダウンロード

732

gdbinit_gdb-dashbordと名前を変える。

733

734

起動用シェルを作る。

735

736

```

737

$ vi gdb-dashboard.sh

738

+ gdb ${1} ${2} ${3} ${4} ${5} ${6} ${7} ${8} ${9} -x /home/user/gdbinit_gdb-dashboard

739

740

$ chmod ugo+x gdb-dashboard.sh

741

```

742

743

## rp++インストール手順

744

745

```

746

$ wget https://github.com/downloads/0vercl0k/rp/rp-lin-x86

747

$ wget https://github.com/downloads/0vercl0k/rp/rp-lin-x64

748

```

749

750

### ROPガジェットの抽出

751

752

```

753

$ rp-lin-x86 --file=binary --unique --rop=5

754

```

755

756

## Metasploit Framework インストール手順

757

758

```

759

$ sudo apt-get -y install \

760

  build-essential zlib1g zlib1g-dev \

761

  libxml2 libxml2-dev libxslt-dev locate \

762

  libreadline6-dev libcurl4-openssl-dev git-core \

763

  libssl-dev libyaml-dev openssl autoconf libtool \

764

  ncurses-dev bison curl wget postgresql \

765

  postgresql-contrib libpq-dev \

766

  libapr1 libaprutil1 libsvn1 \

767

  libpcap-dev \

768

  libsqlite3-dev

769

770

$ sudo apt-get install ruby1.9.3       # rvmを使う代わりに直接インストール

771

$ cd /opt

772

$ sudo git clone https://github.com/rapid7/metasploit-framework.git

773

$ cd metasploit-framework

774

$ sudo gem install bundler --no-ri --no-rdoc

775

$ bundle install

776

```

777

778

### EIPまでのオフセットを計算 (pattern_create.rb pattern_offset.rb)

779

780

ユニークな文字列生成

781

782

```

783

$ /opt/metasploit-framework/tools/pattern_create.rb 200

784

Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag

785

```

786

787

コマンド引数に渡したりして、落ちる所を確認

788

789

```

790

$ gdb -q a.out

791

Reading symbols from /home/user/tmp/a.out...(no debugging symbols found)...done.

792

(gdb) r

793

Starting program: /home/user/tmp/a.out

794

Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag

795

Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag

796

797

Program received signal SIGSEGV, Segmentation fault.

798

0x64413764 in ?? ()

799

(gdb) quit

800

```

801

802

EIPが0x64413764で落ちている。0x64413764が、生成した文字列のどの部分か調べる。

803

804

```

805

$ /opt/metasploit-framework/tools/pattern_offset.rb 0x64413764

806

[*] Exact match at offset 112

807

```

808

809

112バイト目からの4バイトがEIPになっている。

810

811

## socatサーバ化ワンライナー

812

813

```

814

$ socat TCP-LISTEN:4444,reuseaddr,fork exec:./binary&

815

```

816

817

## objdumpのdiffをいい感じに取る

818

819

```

820

$ diff -u1 -F '>:$' -I '[0-9a-f]\{6,\}' <(objdump -d test1 | cut -f2-) <(objdump -d test2 | cut -f2-)

821

```

822

823

詳細は、[ももいろテクノロジー objdumpのdiffをいい感じに取る方法のメモ](http://inaz2.hatenablog.com/entry/2016/04/30/073738)参照

824

825

826

## LD_PRELOAD環境変数によるライブラリ関数フック

827

828

詳細は、[ももいろテクノロジー LD_PRELOAD injectionでOpenSSLによる暗号化処理を覗いてみる](http://inaz2.hatenablog.com/entry/2016/03/15/192125)参照

829

830

ここも

831

832

しゃろの日記 - rev問のソルバを書くときとかに使えるかもしれない小テク

833

http://charo-it.hatenablog.jp/entry/2016/12/15/084701

834

835

836

837

838

839

# 動的デバック環境

840

841

## fork-server型とxinetd型について

842

843

fork-server型

844

845

 - バイナリ内にbind→listen→acceptがある

846

 - gdbではset follow-fork-mode childを設定する

847

 - 親プロセスが残り続けてしまうので、都度親プロセスのkillする工夫が必要

848

849

xinetd型

850

851

 - バイナリ内にbind→listen→acceptがない

852

 - xinetdにのせるのは、面倒なので、socatで代用する

853

854

## xinetd型のための、socatとgdb-serverの利用

855

856

socatとgdb-serverを利用して、3つのTerminalをうまく使う

857

858

### 待ち受け側 - TerminalA

859

860

```

861

$ vimain.sh

862

gdbserver localhost:1234 ./a.out

863

$ chmod +x main.sh

864

$ socat TCP-LISTEN:1025,reuseaddr,fork EXEC:"./main.sh"

865

```

866

867

### 攻撃側 - TerminalB

868

869

```

870

$ perl -e'print "A"x140 ."BBBB"'|nc localhost 1025

871

```

872

873

### デバッグ側 - TerminalC

874

875

```

876

vi cmd

877

file ./a.out

878

target remote localhost:1234

879

880

$ gdb ./a.out -q -x cmd

881

```

882

883

884

885

886

887

888

889

890

# x86/x64以外のアーキ

891

892

Learning ARM Exploit Development

893

https://owlinux1000.github.io/ARM_Exploit/

894

895

896

897

898

899

900

901

902

903

904

905

# Study

906

907

NEC 古賀さんによるありがたい解説

908

http://www.soi.wide.ad.jp/class/20040011/slides/19/

909

https://www.nic.ad.jp/ja/materials/security-seminar/20041004/3-koga.pdf

910

911

Shellphishによるheap exploitのテクニック解説

912

https://github.com/shellphish/how2heap

913

914

katagaitai CTF勉強会資料

915

http://www.slideshare.net/bata_24/presentations

916

917

杨坤：掘金CTF ——CTF中的内存漏洞利用技巧， Geekon 2015

918

http://netsec.ccert.edu.cn/blog/2015/10/29/1093 http://netsec.ccert.edu.cn/wp-content/uploads/2015/10/2015-1029-yangkun-Gold-Mining-CTF.pdf

919

920

>スライドの攻撃手法がまとまっていてよさ

921

922

h_nosonの日記 - pwn challenges list baby, easyについて

923

http://h-noson.hatenablog.jp/entry/2017/12/22/000000

924

925

>pwn challenges listのbabyとeasyの一部を解いて、どんな問題が多かったか、何に躓いたかなど

926

927

928

ハリネズミ本 ～pwn編～

929

https://hackmd.io/GwBgHGBmCcDGYFowBMAsj0GZZNgU0RBFnzxD1UmQCYg=?view#

930

931

Linux Reverse Engineering CTFs for Beginners

932

https://osandamalith.com/2019/02/11/linux-reverse-engineering-ctfs-for-beginners/amp/?__twitter_impression=true

933

934

swisskyrepo/PayloadsAllTheThings

935

https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/README.md

936

937

guyinatuxedo/nightmare

938

https://github.com/guyinatuxedo/nightmare/tree/master/modules

939

940

>過去のCTF のリバース、Pwn 問題がジャンル別にまとめられています

941

942

趣味と実益のスタック破壊

943

http://web.archive.org/web/20010910201811/linux.ascii24.com/linux/linuxcom/2000/06/13/465216-001.html

944

945

C++のpwn/revで使うSTLコンテナの構造とバグパターン一覧

946

https://ptr-yudai.hatenablog.com/entry/2021/11/30/235732

947

948

マルウェア解析は IDAPython にシュッとやらせよう

949

https://blog.nflabs.jp/entry/idapython

950

951

Understanding the Heap - a beautiful mess

952

ヒープを理解する - 美しい混乱

953

https://jackfromeast.site/2023-01/understand-the-heap-a-beautiful-mess.html

954

955

Dirty Pagetableを理解する（m0leCon Finals CTF Writeup）

956

https://ptr-yudai.hatenablog.com/entry/2023/12/07/221333

957

958

Exploit Reversing

959

https://exploitreversing.com

960

961

The toddler’s introduction to Heap exploitation (Part 1)

962

https://infosecwriteups.com/the-toddlers-introduction-to-heap-exploitation-part-1-515b3621e0e8

963

964

ゼロからのハイパーバイザ自作入門

965

https://zenn.dev/hidenori3/books/55ce98070299db

966

967

Physical vs Virtual Memory Map

968

https://x.com/chessMan786/status/1909255590989451502

969

970

971

972

973

974

975

976

977

978

979

980

981

982

983

# Memo

984

985

## Pwn環境の構築/ツール導入

986

987

【memo】 pwn環境構築の覚書

988

https://smallkirby.hatenablog.com/entry/2020/01/07/234124

989

990

991

992

## Kernel Exploit

993

994

るくすの日記 - カーネルエクスプロイト入門 - Linuxカーネル解析の基礎

995

http://rkx1209.hatenablog.com/entry/2017/07/13/184358

996

997

CTFするぞ - Kernel Exploitで使える構造体集

998

https://ptr-yudai.hatenablog.com/entry/2020/03/16/165628

999

1000

sec4b-2023 の driver4b で Linux のカーネルエクスプロイトに入門してみる

1001

https://kashiwaba-yuki.com/ctf-sec4b-kernel-exploit

1002

1003

1004

1005

## Exploit系テクニック

1006

1007

ももいろテクノロジー - Exploit系複合テクニックのメモ

1008

http://inaz2.hatenablog.com/entry/2016/12/17/180655

1009

1010

Modern Binary Exploitation

1011

http://security.cs.rpi.edu/courses/binexp-spring2015/

1012

1013

hama7230 SlideShare

1014

https://www.slideshare.net/hama7230/presentations

1015

1016

OUR BLOG - TOP 10プロセスインジェクションテクニック

1017

https://www.endgame.com/blog/technical-blog/ten-process-injection-techniques-technical-survey-common-and-trending-process

1018

1019

yyy - ROP Emporium Writeup(32bit)

1020

http://ywkw1717.hatenablog.com/entry/2017/12/07/235405

1021

1022

Harekaze 外部wiki - Pwn・Exploitテクニック一覧

1023

https://harekaze.com/wiki/#!resources/pwn/technics.md

1024

1025

>すばら

1026

1027

各種OSのUserlandにおけるPwn入門

1028

http://nanuyokakinu.hatenablog.jp/entry/2018/12/09/223440

1029

1030

ROP Emporium

1031

https://ropemporium.com/

1032

1033

>x86とx64 binaryがあってスタックの呼び方の比較とかがしやすい

1034

1035

GTFOBins: 攻撃者が悪用できるLinuxコマンドの一覧

1036

https://gtfobins.github.io

1037

1038

>各コマンドから別のコマンドが使えるもの一覧、シェルが直接呼べなくてもコマンド経由で呼べたりする

1039

1040

libcにデバッグシンボルを付ける方法と自動化

1041

https://satoooon1024.hatenablog.com/entry/2022/06/12/libc%E3%81%AB%E3%83%87%E3%83%90%E3%83%83%E3%82%B0%E3%82%B7%E3%83%B3%E3%83%9C%E3%83%AB%E3%82%92%E4%BB%98%E3%81%91%E3%82%8B%E6%96%B9%E6%B3%95%E3%81%A8%E8%87%AA%E5%8B%95%E5%8C%96

1042

1043

1044

1045

1046

1047

1048

## ASLRのアドレス特定テクニック

1049

1050

この世にあるlibcをdatabase化すればいいじゃない!!

1051

1052

libcdb.com

1053

http://libcdb.com/

1054

1055

niklasb/libc-database

1056

https://github.com/niklasb/libc-database

1057

1058

## Exploit DataBase

1059

1060

EXPLOIT DATABASE

1061

https://www.exploit-db.com/

1062

1063

## Unpack

1064

1065

サイバーセキュリティ研究所 - アンパック手順 覚え書き

1066

http://www.wivern.com/malware20161101.html

1067

1068

Unpacking Executables - The ESP Trick

1069

https://goggleheadedhacker.com/blog/post/6

1070

1071

> パックされたバイナリを手動でアンパックする「ESP Trick」テクニックについて

1072

1073

株式会社Ninjastars 技術研究部 - リバースエンジニアリング対策 -難読化編パート２-

1074

https://www.ninjastars-net.com/entry/2019/05/20/190000

1075

1076

1077

## Malware解析 - Rev

1078

1079

Malware Unicorn - Reverse Engineering Malware 101 Material

1080

https://securedorg.github.io/RE101/

1081

1082

## Windows関係

1083

1084

Shellcode - Exploit Development Community - Windowsシェルコード作成について

1085

http://expdev-kiuhnm.rhcloud.com/2015/05/22/shellcode/

1086

1087

Github - MalwareCantFly/Vba2Graph (VBAの解析・可視化)

1088

https://github.com/MalwareCantFly/Vba2Graph

1089

1090

CTFするぞ - 2019年のpwn問を全部解くチャレンジ【前半戦】

1091

https://ptr-yudai.hatenablog.com/entry/2019/07/01/143652

1092

1093

CTFするぞ - 2019年のpwn問を全部解くチャレンジ【後半戦】

1094

https://ptr-yudai.hatenablog.com/entry/2019/12/23/122844

1095

1096

Magical WinDbg 2 - CTF で学ぶユーザモード & カーネルデバッギング - (WEB 版)

1097

https://kashiwaba-yuki.com/magical-windbg-vol2-00

プロジェクト

全般

プロフィール

A painter and a black cat

CTF Pwn » 履歴 » バージョン 7