Oteria Cyber Cup 2022

Sur ce post, je vais faire 2 writeups de la catégorie “Applicatif”, 1 et 2, les deux étant des challenges Buffer Overflow niveau Facile.

Commençons :

Applicatif 1

En nous connectant sur le ssh à l’adresse 192.168.250.2 en tant qu’utilisateur level1, nous avons un binaire ELF appelé “level1”, nous allons le copier vers notre machine en locale pour l’analyser avec GDB, personnellement pour faciliter les analyses, j’ai ajouté l’extension PEDA de GDB (Python Exploit Development Assistance).

https://github.com/longld/peda

En éxecutant le binaire, on obtient un “blocage”, il s’agit d’un input qui demande des informations à l’utilisateur. En essayant un payload classique pour détecter un buffer overflow, nous remarquons qu’on obtient un “segmentation fault” qui signifie qu’on à réussi à écrire dans une zone mémoire qu’on ne devrait pas accéder normalement. Lançons PEDA et essayons de trouver l’offset pour écraser le registre EIP :

Sur cette image, nous voyons que nous avons réussi avec un pattern de 100 caractères, réécrire le registre EIP qui correspond à l’adresse de l’instruction actuelle. dans EIP nous avons “HAAd” qui correspond à l’offset 64 (j’ai ajouté un guillemet au début de la chaine accidentellement.) en se basant sur notre pattern, ce qui signifie que nous avons besoin d’écrire 64 caractères avant d’écraser le registre EIP. Analysons les adresses des plusieurs fonctions présentes dans ce code et vérifions si l’ASLR est désactivé.

Comme nous pouvons le voir, nous avons une fonction “gagne” qui interpelle, par déduction, on peut essayer d’appeler cette fonction en écrasant EIP avec l’adresse de “gagne” qui est ici de “0x080484ac”.

En relançant plusieurs fois level1, nous remarquons aussi que les adresses de ces fonctions ne changent pas, donc l’ASLR est désactivé sur ce binaire.

Exploitation

J’ai décidé de créer un programme en python2 pour exploiter notre binaire.

Précédemment nous avons vu que l’offset est de 64 caractères, l’adresse de “gagne” est “0x080484ac”, nous allons créer une chaine de caractères à partir de ce programme python2.

EIP est écrit de cette manière car nous devons convertir cette adresse en Little Endian, format utilisé par les binaires.

Exécutons notre exploit :

Nous avons exécuté notre exploit, normalement sur le serveur du CTF, il existe un fichier .passwd, que j’ai créé localement pour tester comme les conditions du CTF.

Nous avons réussi à exploiter le binaire, nous avons le contenu du fichier .passwd “Oteria c’est trop cool”

Applicatif 2

Nous avons également un binaire s’appellant “level2” sur le serveur distant, on récupère aussi ce fichier avec ssh level2@192.168.250.2 et pass “level2”.

Une fois fait, analysons le binaire en local comme précédemment.

Nous avons exécuté le binaire, on obtient un message qui nous demande d’utiliser la variable d’environnement OTERIA pour notre exploit.

Mais qu’est ce que c’est ?

Une variable d’environnement est une variable qui contient des informations sur l’environnement de l’utilisateur dans le système d’exploitation. Ces variables sont généralement utilisées par les systèmes d’exploitation et les programmes pour fournir des informations sur l’environnement de l’utilisateur, telles que le répertoire de travail actuel, le nom d’utilisateur, le chemin d’accès aux programmes, etc.

Par exemple pour afficher nos variables d’environnement sur notre machine Linux, nous pouvons taper la commande :

Ici sont une partie des variables d’environnement définies sur mon système Kali.

Nous essayons un buffer overflow depuis la variable OTERIA que nous allons définir :

Ici nous avons généré une chaine de caractère de 100 caractères avec python2, et nous l’avons stocké dans la variable d’environnement “OTERIA” que nous avons défini avec la commande ci dessus.

En exécutant le binaire “level2” directement et aussi depuis GDB PEDA (avec un autre payload qui m’avait induit en erreur), nous pouvons voir que nous avons affaire encore à un buffer overflow :

Petite parenthèse, quand vous voulez générer des payloads à utiliser dans des variables d’environnement, n’utilisez pas le générateur de PEDA car cette chaine possède des caractères spéciaux et ça peut créer des erreurs pour calculer les offsets.

Nous avons obtenu un “Segmentation Fault” car nous avons réécris EIP , en regardant la valeur contenue dans ce registre, mais ceci n’est pas la variable à modifier comme nous allons le voir par la suite, de plus nous avons une indication avec la sortie suivante “Try again, you got 0x41654141”

En voulant obtenir des informations sur les fonctions et leurs adresses, nous remarquons qu’il y à la fonction “getenv()” qui récupère la variable d’environnement “OTERIA” , “strcpy()” qui permet de copier une donnée dans un buffer, mais ne fait aucune vérification sur la taille de la donnée et de la taille disponible dans le buffer au moment d’écrire. Nous voyons également une fonction “execve()” qui permet de lancer des commandes systèmes.

Pour ce challenge j’ai aussi décidé d’utiliser IDA Freeware, un outil qui permet d’analyser du code assembleur sur des binaires. Ce programme possède une fonctionnalité qui permet de générer du pseudocode en fonction de l’assembleur.

Notre analyse était juste, et nous voyons que v6 est égale à 0, et si la valeur de v6 est “-889266486” qui donne en hexadécimale “0xcafedeca”, le programme va exécuter une commande système avec /bin/more et /home/level2/.passwd.

Notre but ici est de réécrire la variable v6 pour bypasser la condition if dans ce programme.

Trouvons l’offset de cette variable :

Ma méthode est un peu à l’arrache mais celle ci à fonctionné pour moi :

En tâtonnant un peu avec la taille du payload, nous finissons par trouver l’offset correct qui nous permet d’écraser la valeur de “v6”. L’offset est de 64 caractères, au dessus de cette limite, nous pouvons réécrire la valeur avec “0xcafedeca” encodé en Little Endian.

Précision :

0x42424242 en ASCII donne “BBBB”, ce qui correspond à la fin de notre payload.

Passons à l’action :

Ici, j’ai décidé de créer un programme bash qui va définir la variable d’environnement OTERIA comme nous l’avons défini précédemment.

Nous allons créer une chaine de caractère de 64 caractères , et nous allons concaténer au payload notre valeur qui est dans la condition if à savoir “0xcafedeca” (café déca 😃) , on va écraser la valeur de v6. Convertie en Little Endian cela correspond à “\xca\xde\xfe\xca”

Exploitation

Nous avons réussi à exploiter ce binaire avec succès.

PS: Si les instances en CTF sont à partager entre toutes les équipes, supprimez vos fichiers d’exploit et toutes vos traces pour éviter que les autres équipes concurrentes puissent valider un flag sans rien faire (Bravo à Saber qui à utilisé mon exploit pour valider ce flag 🤣).