HackCTF Offset Write Up

문제를 다운받고 실행해보자.

보호기법만 확인하고 IDA로 까자

NX덕분에 쉘코드를 사용할 수 없다.

PIE덕분에 주소까지 랜덤으로 변한다.

gets에서 bof가 가능해보인다.

select_func을 확인해보자

여기서 보면 v3에 two의 주소가 들어있다.

IDA를 통해보면 two의 함수주소는 6AD,

flag함수의 주소는 6D8이다.

앞부분을 꽉 채우고 \xD8이런식으로 넣어주면 풀릴 것 같다.

크기를 구해주자

select_func함수를 확인하면 dest와 src에 0x1F를 복사해준다.

0x1F는 31의 크기를 가지고 있다.

dest의 크기는 30이니 1바이트정도 bof할 수 있는 공간이 있다.

이제 익스를 짜보자