해당 문제를 쉘코드를 이용하면 풀리는데 원가젯을 넣으면 안풀리는 이유가 뭔가요?

..

문제를 보니까 environ실제 주소와 stack 주소차이가 많이 나서 shellcode가 들어있는 곳으로 접근하기엔 무리가 있어 계속 삽질하고 있는데 제가 문제 접근방법이 틀린건지, 다른 방법이 있는지 의문이 들어 질문드립니다. 혹시 문제푸신 고수님들 있으시면 조언 부탁드립니다..

local에서는 쉘 잘따이는데 retmote로 연결하면 쉘이 안따지네여... 이유가 멀까여........

라이브러리 베이스 주소를 구한다음, environ 오프셋을 더해서 libc_environ까지는 구했습니다. 근데 여기서부터 어떻게 해결해야 하나요??

stdout을 통해서 libc의 주소를 구했는데 마지막에 jmp하는 곳에서 long형이다 보니 4바이트의 값밖에 안들어가는데 주소값은64비트라 전부 8바이트입니다. 혹시 이때 jmp의 주소에 대한 힌트를알수있을까요? [*] Switching to interactive mode $ [*] Got EOF while reading in interactive 항상 여기서 끝나버리네요

제가 생각한 공격 방식은 buf 변수에 생성한 shellcode를 read 함수로 덮어씌우고 buf 주소로 점프 입니다 buf 주소는 $rbp-0x20이고, environ 주소와 차이를 이용하면 되는데 environ 주소와 buf 주소 차이는 0x800000 수준으로 너무 큰 차이가 나서 이상하고, environ 주소에 존재하는 값(= 환경변수 문자열들이 들어있는 주소)은 buf 주소랑 0x128 차이가 나는데 leak한 environ 주소에 존재하는 값에서 0x128을 뺀 주소(buf 변수의 주소)로 점프하면 쉘코드가 실행될 것으로 보이는데 제 접근 방식이 맞나요? 문제는 저 environ 주소에 존재하는 값을 어떻게 읽어올 수 있을지 모르겠습니다.. 지금 할 수 있는건 environ 주소 자체에 숫자를 더하고 뺄 수 있는건데, 그렇게 되면 jump = *(long *)value; 코드 실행 시 value, 즉, environ 주소 자체에 값을 변경하는 거라 jump에 완전 엉뚱한 위치가 들어가버리고.. 그렇다고 environ 자체 주소와 buf 변수의 차이인 0x800000 수준의 값을 더하면 정상적으로 실행이 안되네요(왜 안되는지 모르겠지만..) 어느 부분을 잘못 생각하고 있는걸까요?

일단 쉘코드를 buf에 넣고 싶어도 gdb를 확인해보면 0x18정도의 크기밖에 되지 않아서 buf에 쉘코드를 입력하는 것을 어려울 것이라고 생각이 드는데 아닌가요? 또, 익스플로잇을 위한 순서를 아래와 같이 생각하는데 맞나요? stdout이 출력되는 것을 보고 라이브러리 베이스 주소를 구한다. size는 쉘코드가 들어갈만한 크기의 값을 넣고 read를 통해 쉘코드를 buf에 넣는다. (리턴될 때는 카나리를 확인하기 때문에 리턴되기 전에 value를 이용해서 쉘코드 실행) value에는 쉘코드가 저장된 buf를 가리키도록 해서 쉘코드를 실행하고 마친다. 이게 맞나요?? 도움주세요...

writeup을 보니 environ과 $rbp의 offset이 사람마다 차이가 나는 것 같은데 혹시 몰라 저의 코드와, offset이 저와 다른 코드를 실행해보았는데 둘 다 성공적으로 실행이 되었습니다. offset 설정이 달라도 쉘이 따지는 이유가 무엇일까요?