만두만두

[pwnable.kr] unlink writeup [summary] heap unlink, no classic main epilogueDaddy! how can I exploit unlink corruption? ​ ssh unlink@pwnable.kr -p2222 (pw: guest)memory corruption 문제이다. unlink 얘기가 나오는걸 보니 heap 문제인듯unlink.c문제 파일은 다음과 같다.#include #include #include typedef struct tagOBJ{ struct tagOBJ* fd; struct tagOBJ* bk; char buf[8]; }OBJ; ​ void shell(){ system("/bin/sh"); } ​ void unlink(OBJ* ..

[pwnable.kr] horcruxes writeup [summary] ROPVoldemort concealed his splitted soul inside 7 horcruxes. Find all horcruxes, and ROP it! author: jiwon choi ​ ssh horcruxes@pwnable.kr -p2222 (pw:guest)뭔지는 모르겠는데 ROP 문제인 것 같다.horcruxes@ubuntu:~$ cat readme connect to port 9032 (nc 0 9032). the 'horcruxes' binary will be executed under horcruxes_pwn privilege. rop it to read the flag.localhost 9032에 돌아..

[pwnable.kr] blukat writeup [summary] group permissionSometimes, pwnable is strange... hint: if this challenge is hard, you are a skilled player. ​ ssh blukat@pwnable.kr -p2222 (pw: guest)소스 코드는 다음과 같다.#include #include #include #include char flag[100]; char password[100]; char* key = "3\rG[S/%\x1c\x1d#0?\rIS\x0f\x1c\x1d\x18;,4\x1b\x00\x1bp;5\x0b\x1b\x08\x45+"; void calc_flag(char* s){ int i; fo..

Suninatas level 23keyword : blind sql injection 이전 문제랑 거의 비슷한데, 막 쿼리 제한있고(30자) admin도 filtering 되어있고 뭐 그래서 좀 힘들었따. 특히 Mssql이라서 mid()도 없고, 30자 제한 때문에 left나 right 만으로 다 못해서, 결국 쪼개서 진행했다... ㅠ우선, 패스워드의 길이를 알아내었고, 글자 수 제한때문에 첫 번째 글자까지만 알 수 있다. v라는 걸 알 수 있다.http://suninatas.com/Part_one/web23/web23.asp?id=adm'%2B'in' and len(pw)=12--&pw=1234 http://suninatas.com/Part_one/web23/web23.asp?id=adm'%2B'in'..

Suninatas level 22keyword : blind injection Blind SQLinjection 문제이다.이것저것 시도해본 결과, 일단 특수문자는 대부분 안되는 것을 확인했다. 다행히 '는 되서 escape이 가능하다. white space가 필터링 대상이라 고민이 좀 됐는데, 다행히 %0a로 우회할 수 있었다.(찾아보니 괄호()로 감싸도 됨!) Part_one/web22/web22.asp?id=guest'and%0asubstring(pw,1,1)='g'--&pw=1234 Part_one/web22/web22.asp?id=admin'and(len(pw)=10)--&pw=1234 Part_one/web22/web22.asp?id=admin'and%0asubstring(pw,1,1)='a'-..

Suninatas level 8keyword : brute force brute force 문제인 것 같다. id와 pw를 입력했을 때의 fiddler로 잡아본 결과 id와 pw는 body에 들어가고 POST 요청으로 나가는 것을 확인할 수 있었다.적당히 다음과 같은 코드를 짜서 돌리면 된다.import urllib.request ​ target = 'http://suninatas.com/Part_one/web08/web08.asp' r = urllib.request.Request(target) r.add_header("Cookie","ASPSESSIONIDCSAARTSC=KELNKLFBEBIHLHILKGKJNOBN") for i in range(0, 9999): data = urllib.request...

Suninatas level 7keyword : faster!, IU귀여운 아이유가 나온다. 아이유 카와이이이ㅣㅣ 근데 사진이 너무 큰 거 같다. 여러 의미로 심쿵할뻔     br로 도배해놨다. ㅎㄷㄷ Hint를 봐서나 아래의 web07_1.asp를 봤을 때, 이 문제의 아이디어는 web07.asp를 요청한 뒤 빠르게 yes 버튼을 눌러 web07_1.asp를 요청하는 게 핵심인 것 같다. alert("Wrong way!"); document.location.href='./web07.asp'; alert("Fail..Your too slow"); location.href="web07.asp"; 막 새로고침해서 빠르게 하는 거는 다음의 코드로 인해 불가능하다. function noEv..

Suninatas level 6keyword : sql injection, cookie 요런 게시판이 존재한다. 코드 상 봐도 숨겨진 데이터는 없었다. 각 각의 게시물들을 살펴보면 다음과 같다. 세 번째 게시물인 README는 잠겨있고, 나머지 두 게시물은 봐도 뭔소리인지 잘 모르겠다. Hint를 보아하니 password를 찾아내던 우회하던 하여 README를 읽는 게 문제해결의 시작인 것 같다."select szPwd from T_Web13 where nIdx = '3' and szPwd = '"&pwd&"'"를 보아하니 Password로 입력한 값이 저 pwd에 위치하게 되는 것 같다. sql injection 문제이다. 다만 ' or 1=1 --이 안되서 조금 헤맸는데, =이 아닌 다른 연산자를 사..

Suninatas level 5keyword : packing eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('g l=m o(\'0\',\'1\',\'2\',\'3\',\'4\',\'5\',\'6\',\'7\',\'8\',\'9\',\'a\',\'b\',\'c\',\'d\',\'e\',\'f\..

Suninatas level 4keyword : user-agent Point ... Plus를 누를 때마다 Point 값인 value가 증가한다. 힌트를 보아하니 일단 Point를 50으로 증가시켜야 할 것 같다. 뒤에 있는 'SuNiNaTaS'는 뭘 뜻하는지 잘 모르겠다.Plus를 눌렀을 때 요청을 살펴보면 다음과 같다.2번째와 4번째는 인증서파일과 css파일이므로 무시하고, 1번과 3번을 보면, 먼저 /Part_one/web04/web04_ck.asp를 요청하는데, response를 보면 그냥 /Part_one/web04/web04.asp로 리다이렉트한다. 이 후 web04.asp를 요청하면 response로 기존 html 파일에서 value가 1 증가한 html 파일을 보내준다. 일단 Plus를 ..