zj3t

왠만하면 풀이를 안올리려 했는데 올린사람이 많이 없어 올려보겠습니다. 저도 오늘 푼 문제인데 시간이 많이 걸렸네요....

1. #include <fcntl.h>
2. #include <iostream> 
3. #include <cstring>
4. #include <cstdlib>
5. #include <unistd.h>
6. using namespace std;
7. 
   
8. class Human{
9. private:
10. virtual void give_shell(){
11. system("/bin/sh");
12. }
13. protected:
14. int age;
15. string name;
16. public:
17. virtual void introduce(){
18. cout << "My name is " << name << endl;
19. cout << "I am " << age << " years old" << endl;
20. }
21. };
22. 
    
23. class Man: public Human{
24. public:
25. Man(string name, int age){
26. this->name = name;
27. this->age = age;
28.         }
29.         virtual void introduce(){
30. Human::introduce();
31.                 cout << "I am a nice guy!" << endl;
32.         }
33. };
34. 
    
35. class Woman: public Human{
36. public:
37.         Woman(string name, int age){
38.                 this->name = name;
39.                 this->age = age;
40.         }
41.         virtual void introduce(){
42.                 Human::introduce();
43.                 cout << "I am a cute girl!" << endl;
44.         }
45. };
46. 
    
47. int main(int argc, char* argv[]){
48. Human* m = new Man("Jack", 25);
49. Human* w = new Woman("Jill", 21);
50. 
    
51. size_t len;
52. char* data;
53. unsigned int op;
54. while(1){
55. cout << "1. use\n2. after\n3. free\n";
56. cin >> op;
57. 
    
58. switch(op){
59. case 1:
60. m->introduce();
61. w->introduce();
62. break;
63. case 2:
64. len = atoi(argv[1]);
65. data = new char[len];
66. read(open(argv[2], O_RDONLY), data, len);
67. cout << "your data is allocated" << endl;
68. break;
69. case 3:
70. delete m;
71. delete w;
72. break;
73. default:
74. break;
75. }
76. }
77. 
    
78. return 0;
79. }

소스 코드입니다.
virtual 로 선언된 함수가 있어 Vtable 개념으로 푸는 문제라 생각해고 꽤 오래 생각했는데 아닌거 같았습니다.(맞았나....)

virtual 같이 가상함수를 사용하는 경우 Vtable이 생성되고, 이 가상함수 테이블에 저장된 함수 포인터를 이용하여 각 메소드에 접근하게 됩니다.

Vtable의 포인터는 객체의 메모리의 첫 4바이트에 위치합니다.

이 포인터를 이용하여 가상함수를 찾고, 가상함수 테이블에서 virtual로 생성된 함수에 해당하는 주소를 찾아서 실제함수를 호출하게 되는 것입니다.

즉 Vtable은 제 나름대로 알기 쉽게 정리하자면, virtual로 정의된 함수들이 모여있는 곳입니다.

여기서는 위에서의 개념대로 나름 풀었던 것 같습니다.


gdb 로 디버깅을 해보았는데 중요한 부분만 보도록 하겠습니다.







위 사진을 보면 0x00401570에 0x0040117a 가 있습니다.
이는 위에서의 give_shell() 함수입니다.

그리고 위위 사진을 보면 rdx=rax+8을 하고 그 주소에 있는 함수를 호출합니다.
이는 rax=401570+8=0ㅌ00x401578안에 있는 0x004012d2를 호출하는 구문입니다.

여기서 눈치를 채야합니다.
저기서 호출하는 함수는 Human 클래스에 있는 intruduce() 임을 알 수가 있습니다.
그럼 8을 왜 더하는 걸까요??

이는 인스턴스를 만들었기 때문입니다.

1. protected:
2. int age;
3. string name;

int age는 크기가 4, 여기서 name은 Jack과 Jill을 정해주었으므로 4 바이트가 되어 8바이트를 더하는 것입니다.
 여기서 주의해야 할 것은 use after free 라는 점입니다.
이 개념은 인터넷에 많이 나와있지만 여기서는 free, 즉 인스턴스 할당을 취소하고,  다시 인스턴스를 만들때 참조되는 곳을 공격자가 임의로 조작하는 것입니다.

/tmp/zjet 파일에는 AAAA를 써 넣었씁니다.

보는 것처럼 3, 즉 free를 하고 2를 입력해서 할당해서 레지스터를 보았습니다.

0x0000000????

왜 내가 입력한 값을 1번을 눌러 인스턴스를 만드는 Man 주소가 내가 입력한 파일에 입력한 값이 아닌가....

엄청난 시간이 흘렀습니다.