書籍「詳解セキュリティコンテスト」のPwnableのシェルコードを読んだ

前回 から、詳解セキュリティコンテスト: CTFで学ぶ脆弱性攻略の技術 Compass Booksシリーズ という書籍を読み進めています。前回は Reversing の全ての章を読みました。

今回から、Pwnable を読んでいきます。Pwnable は難易度が高く、何回かに分けて読んでいきたいと思います。今回は、30章の Pwnable への導入と 31章のシェルコードの内容を進めたいと思います。

それでは、やっていきます。

• 参考文献
• はじめに
• 30章：Pwnableへの導入
• 31章：シェルコード
  • 31.1：シェルコードとは
  • 31.2：システムコール
  • 31.3：緩和機構
  • 31.4：緩和機構の回避
• おわりに

参考文献

今回、題材にさせて頂いた「詳解セキュリティコンテスト」です。

はじめに

「セキュリティ」の記事一覧です。良かったら参考にしてください。

以下は「詳解セキュリティコンテスト: CTFで学ぶ脆弱性攻略の技術 Compass Booksシリーズ」のサポートサイトです。問題ファイルをダウンロードすることが出来ます。

book.mynavi.jp

では、書籍の章を参考に書き進めていきます。

30章：Pwnableへの導入

30章では、15ページぐらいの分量で、Pwnable として扱われる問題の全体像と、様々な出題パターンの解説と、Pwnable で使うツールについて、説明されています。

Pwnable の解説については読み物なので、ここでは割愛します。Pwnable でよく使うツールについては、簡単に紹介したいと思います。

まずは、gdb を拡張するツールがいくつか紹介されています。

現在、私は、pwndbg を使用しています。以前は gdb-peda を使っていましたが、ヒープ領域の状況を可視化するツールが必要になったため、別のツールに乗り換える必要がありました。上の peda 以外のツールは、いずれもヒープ領域の可視化に対応していると思います。peda 以外の 3つのツールは、いずれも高機能です。そのうち、pwndbg を選んだ理由は、TeraTerm（v5以降）で文字化けしなかったことです。gef と pwngdb も、v5以降の TeraTerm なら文字化けしないかもしれないのですが、試せてないです。

それ以外のツールとして、nasm、pwntools、checksec が紹介されています。いずれも以前の記事で取り扱っています。あと、ROPガジェットを列挙するツールとして、ROPgadget と rp++ が紹介されています。私は rp++ を使っているのですが、rp++ は x86 と x86-64 にしか使えず、ROPgadget の場合は、ARＭ などの他のアーキテクチャにも対応しているそうです。これは、初めて知りました。どこかで ROPgadget に乗り換える必要があるかもしれません。

あとは、Seccomp Tools と OneGadget について紹介されています。いずれも後ろの章で説明があるそうです。私はどちらも使ったことがありません。最後に、libc6-dbg が簡単に紹介されていました。

30章は以上です。

31章：シェルコード

31章は、24ページぐらいの分量です。

31.1：シェルコードとは

シェルコードの概要と、NULL文字、改行文字などを含まないようにする説明と、どのようなアセンブラを書けば、それらの特定文字を含まないように実装できるかの解説があります。

シェルコードについては、以下の以前の記事で実装しています。今回の機会に、この記事を更新しています。

1つ目の更新は、この記事で実装したシェルコードは、NULL文字を含んでいるのですが、なぜか scanf関数で正しく動作していました。その理由は、scanf関数に指定していたのが、"%[^\n]" となっていたためで、改行文字以外は NULL文字であっても入力として認識してくれるようになっていたということです。

2つ目の更新は、NULL文字を含んでいたシェルコードを変更して、特定文字を含まないように改良しました。

daisuke20240310.hatenablog.com

31.2：システムコール

システムコールについての概要と、実際にシステムコールを使って、open、read、writeするアセンブラを書いて、動作確認まで行っています。

31.3：緩和機構

緩和機構とは、セキュリティ機構のことであり、ここでは、checksec などで見られる NX（No eXecute）のことについて解説されていｒます。これは、データ領域のコードを実行できないようにする機能で、Intel CPU ではハードウェアとしてこの機能をサポートしているそうです。

その後、seccomp（SECure COMPuting mode）について解説がされています。seccomp とは、対象のプロセスにおいて、システムコールの発行を制限することが出来る機能です。seccomp については、現状はすぐに必要ないと思われるので、CTF をやっていて、必要になったときに、ここに追記したいと思います。

31.4：緩和機構の回避

seccomp によるシステムコールの発行が制限されていた場合に、それを回避する手法について解説されています。こちらについても、必要になったときに、ここに追記したいと思います。

31.5 は、実践問題で、こちらも seccomp に関する内容のようですので、割愛します。

以上で、31章のシェルコードは終わりです。途中から、あんまり、シェルコードは関係ない内容だったように思います。

おわりに

今回は、詳解セキュリティコンテスト: CTFで学ぶ脆弱性攻略の技術 Compass Booksシリーズ の Pwnable の シェルコード の章を読みました。内容について、実際に実装などは、「セキュリティコンテストチャレンジブックの「付録」を読んでx86とx64のシェルコードを作った - 土日の勉強ノート」の記事を更新したため、この書籍の内容の簡単な説明だけになってしまいました。次回は、32章のスタックベースエクスプロイトを読み進めたいと思います。

最後になりましたが、エンジニアグループのランキングに参加中です。

ランキング参加中

エンジニアグループ

気楽にポチッとよろしくお願いいたします🙇

今回は以上です！

最後までお読みいただき、ありがとうございました。