master_canary

메인에서는 local 변수 사이즈 바로 뒤에 카나리가 위치하는데, 스레드 스택에서는 그 위치를 계산하는 방법이 다른가요? 스레드 스택의 로컬변수 사이즈 뒤에 카나리가 안 보이는것 같습니다.

pthread 호출후, input에서 강의 처럼 find를 이용, 카나리 값을 구하고 그 주소에서 stack의 시작부분(값을 입력했을때의 첫 주소)뺀 값을 offset삼아서 stack시작부분 + (canary - stack시작주소)에 임의의 카나리를 넣어놓고 exit에서 보면 카나리가 덮어씌워지지 않습니다. 혹시 어떤게 문제일가요?

왜이런지 모르겠습니다

I am leaking the canary and doing the bof overwrite the stack canary with the leaked canary and it doesnt pop the shell i get Leave comment: * stack smashing detected *: <unknown> terminated? Any hints ?

스레드 생성하고 마스터 카나리를 덮어도 따이지가 않네여.... 스레드 함수 안에서 입력을 받아 덮어야 하는건가여??? 아무리 생각해도 방법이 떠오르지가 않아여.....소정의 힌트를 주실 수 있나여??

is the thread canary offset too big, pwntools crashes on sending this payload top overwrite the canary! is the thread canary offset too big, pwntools crashes on sending this payload to overwrite the thread canary.

gdb의 특정 버전 이후로만 fs_base 명령어가 먹히는 것으로 알고 있는데, 만약에 안먹히는 gdb에서는 어떻게 fs_base를 구해야하나요..............?ㅠㅠ 그리고 fs 레지스터의 값을 출력해봐도 아래와 같이만 뜹니다 ㅠㅠ(thread_routine 실행 후 출력해준 값입니다!) image.png fs는 tls부분 가리키는거 아닌가요? 그런데 왜 저러는지 그 이유도 궁금합니다..

master canary를 알아냈고, 3번 메뉴를 이용해서 아래와 같이 shell을 획득하려고 하는데, stack smashing 으로 죽는건 아닌데, (canary는 통과한듯 합니다.) [*] Got EOF while reading in interactive로 계속 에러가 발생합니다. 뭐가 잘못 된걸 까요? giveshell = elf.symbols['get_shell'] payload = b"A"*0x28 payload += p64(canary,endian="little") payload += b"B"*8 payload += p64(giveshell, endian="little") p.sendafter("Leave comment: ", payload) gdb상으로 봐도 get_shell로 잘 넘어간 것 같은데, shell 획득이 안 됩니다.

I found something that looked like a flaw in the program. In the beginning of main function, size and idx are defined without NULL-initialization. And they has 64bit size because their type is size_t. size_t size; pthread_t thread_t; size_t idx; char leave_comment[32]; However, when it assigns the values from stdin to these variables, it uses "%d" as format string. scanf("%d", &idx); scanf("%d", &size); In my environment, the initial value of size and idx is not NULL and, they have Non-Null value in upper 32 bit. So it can't handle user's input correctly. If this is not intentional, I think it should be fixed.

local에서는 canary가 leak이 잘되어서 ex에 성공하였는데 remote에서는 offset이 다른지 canary가 leak이 안되는데 해결방법 있을까요?