master_canary

I am leaking the canary and doing the bof overwrite the stack canary with the leaked canary and it doesnt pop the shell i get Leave comment: * stack smashing detected *: <unknown> terminated? Any hints ?

스레드 생성하고 마스터 카나리를 덮어도 따이지가 않네여.... 스레드 함수 안에서 입력을 받아 덮어야 하는건가여??? 아무리 생각해도 방법이 떠오르지가 않아여.....소정의 힌트를 주실 수 있나여??

local에서는 canary가 leak이 잘되어서 ex에 성공하였는데 remote에서는 offset이 다른지 canary가 leak이 안되는데 해결방법 있을까요?

pthread 호출후, input에서 강의 처럼 find를 이용, 카나리 값을 구하고 그 주소에서 stack의 시작부분(값을 입력했을때의 첫 주소)뺀 값을 offset삼아서 stack시작부분 + (canary - stack시작주소)에 임의의 카나리를 넣어놓고 exit에서 보면 카나리가 덮어씌워지지 않습니다. 혹시 어떤게 문제일가요?

이거 gdb로 어디에 브레이크를 걸어야 오프셋을 걸어야 하는건가요? 항상 이거에 대해 감이 안잡혔는데 이거를 예시로 좀 알려주세요..

I found something that looked like a flaw in the program. In the beginning of main function, size and idx are defined without NULL-initialization. And they has 64bit size because their type is size_t. size_t size; pthread_t thread_t; size_t idx; char leave_comment[32]; However, when it assigns the values from stdin to these variables, it uses "%d" as format string. scanf("%d", &idx); scanf("%d", &size); In my environment, the initial value of size and idx is not NULL and, they have Non-Null value in upper 32 bit. So it can't handle user's input correctly. If this is not intentional, I think it should be fixed.

► 0x7f48eb379e3c <do_system+364> movaps xmmword ptr [rsp + 0x50], xmm0 0x7f48eb379e41 <do_system+369> mov qword ptr [rsp + 0x68], 0 0x7f48eb379e4a <do_system+378> call posix_spawn <posix_spawn> thread_routine으로부터 master canary를 추출하고 get_shell로 return address를 정상적으로 변경했음에도 불구하고 do_system() 호출과정에서 해당 위치에서 자꾸만 segmentation fault를 발생시키는데 해결방법이 있을까요? master canary를 유출시키는 과정에서 thread local storage 혹은 덮어쓰지 말아야할 공간을 덮어쓴 걸까요?

gdb의 특정 버전 이후로만 fs_base 명령어가 먹히는 것으로 알고 있는데, 만약에 안먹히는 gdb에서는 어떻게 fs_base를 구해야하나요..............?ㅠㅠ 그리고 fs 레지스터의 값을 출력해봐도 아래와 같이만 뜹니다 ㅠㅠ(thread_routine 실행 후 출력해준 값입니다!) image.png fs는 tls부분 가리키는거 아닌가요? 그런데 왜 저러는지 그 이유도 궁금합니다..

왜이런지 모르겠습니다

is the thread canary offset too big, pwntools crashes on sending this payload top overwrite the canary! is the thread canary offset too big, pwntools crashes on sending this payload to overwrite the thread canary.