KiRist's Blog

AST injection (1) - What is AST?

KiRist — Tue, 21 Sep 2021 16:30:43 +0900

이 글은 https://blog.p6.is/AST-Injection/ 글의 번역글 입니다. 해당 사진 및 자료는 이 블로그에서 가져왔습니다.
번역 오류 및 수정 요청은 비밀댓글로 적어주시면 감사하겠습니다.
질문이 있으시다면, 댓글 또는 Discord DM(KiRist#0119)으로 질문해주시면 감사하겠습니다.
답변이 힘든 경우도 있으니, 조금 양해해주셨으면 합니다.

양이 너무 많아 읽기 힘드실 것 같기도 하며, 필요한 내용만 보고 싶으신 분들을 위해,
AST injection에 대해 3부작으로 나누어 제작하게 되었습니다.
참고해주세요.

What is AST?

AST는 Abstract syntax tree의 약자입니다.
구문 해석기라 불리며, 컴파일러 개발시에 가장 꼭 필요한 요소입니다.
https://talkingaboutme.tistory.com/entry/Study-Abstract-Syntax-Tree-AST

[Study] Abstract Syntax Tree (AST)

이전 포스트 중에서 Left Recursive와 Right Recursive를 설명하면서 Parse Tree 라는 것을 잠깐 언급한 적이 있다. 말 그대로 해당 구문을 분석한 것이다. 그때 어떤 방향으로 분석하는지에 따라서 결과가

talkingaboutme.tistory.com

https://en.wikipedia.org/wiki/Abstract_syntax_tree

Abstract syntax tree - Wikipedia

For the trees used in linguistics, see Parse tree. An abstract syntax tree for the following code for the Euclidean algorithm:while b ≠ 0 if a > b a := a − b else b := b − areturn a In computer science, an abstract syntax tree (AST), or just syntax

en.wikipedia.org

좋습니다. 그러면 AST injecition에 대해 알아봅시다.

AST Injection

AST Injection은 해당 컴파일러의 구문 해석 취약점을 이용하여 Injection하는 방식입니다.
특히, 인터프리터 컴파일러에서의 구문 해석 취약점을 노리며, 웹같은 경우, NodeJS로 구성된 웹에서 해커가 원하는 대로 스크립트를 삽입해 목적 외의 동작을 이끌어 낼 수 있습니다.

AST Injection in NodeJS

정상적인 AST 동작 과정

NodeJS에서, AST는 JS의 탬플릿 엔진 또는 typescript등등과 같은 곳에서 가장 자주 쓰입니다.
이러한 탬플릿 엔진을 위해 AST는 위 사진과 같은 구조를 가지고 있습니다.

AST injection이 된 경우

자 그렇다면,
만약 prototype단에서의 취약점이 JS 어플리케이션에서 존재한다면 어떻게 될까요?
어느 AST든 Parser 또는 Compiler 프로세스 진행 도중에 삽입될 수 있고, 실행 시킬 수 있습니다.
여기 위 사진처럼, 당신이 Lexer 또는 parser에 의해 검증되지도 않은 입력값의 필터링도 없는 곳에서 AST를 삽입할 수 있다 가정해봅시다.
그렇다면, 우리는 컴파일러에 의도치 않은 입력을 주어, 임의적인 코드 실행을 발생시킬 수 있습니다.

다음 글에서는 어떻게 AST injection가 handlebars 와 pug 모듈에서 임의의 코드를 실행시키기 위해 사용되는지에 대해 알아봅시다.

HTB 글 삭제 사건 이후 - 태도 변화

KiRist — Tue, 7 Sep 2021 00:11:34 +0900

저번 'htb 글 삭제 사건' 으로 부터 오랜 기간이 지났고 이제 말할떄가 온 것 같아 말하게 되었습니다.
아마 여러분들은 이런 궁금증이 있으셨을 것 같습니다.
"담당자에게 물어보고 다시 올리면 될걸 이렇게 잠수타고 안올린다 선언한다고?"
이제는 이 질문에 대해 답변해드리고자 다시 글을 써봅니다.

당시, 저는 htb규정을 모르고 있었고, 이전까지 작성된 write-up에서 큰 문제가 없었기에 htb에서도 따로 write-up에 대한 제약이 없다고 생각하였습니다. 그래서 뭣도 모르고 글을 게시하였고, 이것이 이제 외국인 친구에게 조언을 해주게 되었습니다.
이런 경우를 처음 당해봐서 놀랐습니다. 의욕이고 뭐고 다 싹 날아가는 느낌이 들었고, '왜?' 라는 질문이 들 정도로 이해도 안가고 당황해서 진짜 이분이 그런말로 전달한건지도 번역기 돌려가면서하다가 이해 또 안되서 그게 어떤 말인지도 다시 물어보는 그런 상황까지 발생했습니다. 그래서 급급하게 머리만 굴리다가 귀찮다 라는 결론을 내리고 급하게 무마시킨점도 없지않아 있었습니다.
이건 좀 죄송하다는 생각이 듭니다. 정말 죄송합니다.

해당 사진처럼 저렇게 팩트만 뚜둘겨 맞고 나서 제 생각을 고치게 되었습니다.
이제 앞으로 워게임 풀이 다시 올릴 겁니다. 다만, dreamhack은 이전 게시글에서 말했는지 모르겠지만 1단계 문제만,
그리고 hackthebox문제는 retired된 문제만 올릴 예정입니다.
(active된 문제와 dreamhack사이트 문제는 Notion에 복습용 또는 정리용으로 올릴거라 내리지는 않을 예정입니다. 다만, 이것 또한 문제가 발생한다면 개인 아카이브에 따로 보관을 할 생각입니다.)

말 한마디로 이 블로그 방문해주시는 여러분께 피해를 끼치게 한점과 걱정을 끼쳐드렸단 점 정말 죄송합니다

[공지] HTB 글 하나가 내려갔습니다.

KiRist — Tue, 17 Aug 2021 22:52:25 +0900

오늘 외국인 친구에게 DM을 받았었습니다.

영어 잘 못하는 길희

내용인 즉, 현재 활성화 중인 HacktheBox 문제는 wirteup 및 walkthrough 글 작성이 불가하다는 겁니다.

아무것도 모른 채 작성한 건 제 잘못이 맞는 듯 합니다. 죄송합니다.

그래서 당분간 HackTheBox쪽 워게임 글을 안 올릴까 합니다. 몇가지 두려운 점도 있고, 유저들끼리의 암묵적인 룰이 있는 것 같기도해, 어쩌면, 제가 파악할때까지만이라도 작성을 하지 않을까 합니다.

일단 해당 글을 본 방문객 모두에게 사과의 말씀을 드리며, 당분간 htb문제 write-up은 안 올라갈 예정입니다.

심심한 길희 - 4. ENG notice

KiRist — Tue, 13 Jul 2021 14:16:52 +0900

Hi! Welcome to my blog!

These days, I found that many foreign visitors come to my blog.

I'm so thankful to u guys. So, i decided to make a blog which is written by English.

Maybe it open at 7/20. (not sure, but I will try)

If there any question, comment at this post if u have a tistory account. Or send me discord DM

(my discord tag is KiRist#01119)

Thanks for reading this!

[pwnable.kr] BOF write-up

KiRist — Thu, 8 Jul 2021 23:40:59 +0900

1. Source Code

이번 문제로 더 이상의 소스코드는 없다. 다음 문제부터 binary file만 주어진다.

2. 필요 역량

1. netcat

2. python shell

3. binary file 리버싱

4. assembly 해석

3. Write-up

우선, 해당 바이너리 파일을 다운 받고, lldb를 사용해서 해당 바이너리의 Assembly 파일을 확인해보았다.

'dissassemble --name mian' 이란 명령어로 main 함수를 살펴보았다.

여기서 0x62c 의 주소에 있는 함수를 call하고 있다는 것을 알고 다음과 같이 명령어를 쳐 func함수의 어셈블리 코드를 보았다.

다음과 같이 나왔고, 이 코드가 위 소스코드의 func의 코드와 같다는 것을 파악했다.

그러면 Buffer Overflow라는 공격을 통해, 해당 Key변수의 값을 덮어 우리가 원하는데로 동작하게 해야한다.

우선 스택 메모리를 보자.

이렇게 다음과 같은 스택 메모리를 확인할 수 있다.

그러면 overflowme변수에 값을 넣어 func SFP와 func RET를 넘어 KEY까지 갈려면 얼마나 덮어써야한다는 것인지 확인해보자.

우선 overflow가 저장된 곳은 edp로 부터 -0x2c, KEY는 +0x8이다.

그러면 총 52byte를 넘겨야 KEY값에 도달할 수 있다는 것이다.

그러면 해당 값을 netcat으로 보내줄려면 파일형식으로 값을 묶어 전달해야하므로, 다음과 같이 shell을 작성후 넘겨주기만 하면 된다.

심심한 길희 3 - 블로그 통계 분석

KiRist — Fri, 25 Jun 2021 20:42:06 +0900

여기 블로그 통계를 항상 보면,
마크 플러그인 제작을 보고 이끌려온 사람이 많더군요
살짝 고민이 되었습니다.

코틀린으로 마크 플러그인 제작 튜토리얼을 더 써야할지 고민이 되었습니다.
만약 하트수가 20개 넘는다면 지금 현재 나와있는 튜토리얼을 이어, 댓글에 써진 간단한 플러그인을 제작하는 튜토리얼 글을 써보겠습니다.

거대하고 웅장한 그런건 하지 않을 생각입니다.
오히려, 제 주 개발인 코인개발 및 워게임 풀이에 영향을 미칠 것 같기 때문입니다.

감사합니다

[pwnable.kr] collision write-up

KiRist — Thu, 20 May 2021 09:48:43 +0900

1. 소스 코드

#include <stdio.h>
#include <string.h>
unsigned long hashcode = 0x21DD09EC;
unsigned long check_password(const char* p){
	int* ip = (int*)p;
	int i;
	int res=0;
	for(i=0; i<5; i++){
		res += ip[i];
	}
	return res;
}

int main(int argc, char* argv[]){
	if(argc<2){
		printf("usage : %s [passcode]\n", argv[0]);
		return 0;
	}
	if(strlen(argv[1]) != 20){
		printf("passcode length should be 20 bytes\n");
		return 0;
	}

	if(hashcode == check_password( argv[1] )){
		system("/bin/cat flag");
		return 0;
	}
	else
		printf("wrong passcode.\n");
	return 0;
}

2. 문제에서 요구되는 것

코드 해석
argv[]에 값을 전달할 수 있는 능력
형변환 시, 값의 변화와 크기의 변화
데이터 정렬 방식(리틀 엔디안, 빅 엔디안)

3. 풀이

소스코드 해석

main함수에서 명령어 창에서 argv[]를 받는다. 여기서 argv의 길이가 20바이트여야한다는 제한이 걸린다.

그리고 check_password에 argv[]를 넘긴다.

check_password함수에서는 인자로 받은 argv[]를 int형으로 변환한다. 여기서 형변환 시, 1 바이트의 크기를 갖던 char가 4바이트의 크기를 갖는 int로 바뀌면서 20바이트의 char를 4바이트씩 끊어 갖는다.

이렇게 5개의 int배열로 바뀌고 이를 다 더해서 hashcode와 같으면 패스워드를 출력하는 코드이다.

해결

4바이트씩 5개를 더하는 것이므로 hashcode의 값을 우선 5로 나눠본다.

나눠보았을떄, 0x6C5CEC8라는 값이 나온다. 그런데 여기서 hashcode를 10진수로 바꿔서 다시 5로 나눠보면, 소수점자리까지 나온다는 것을 확인 할 수 있다. 이말은 나머지가 남는다는 것이다. 그렇다면, 0x6C5CEC8를 4번 곱했을떄와 hashcode의 차이를 확인하고 더해주면 된다. 차이는 계산해보니 0x6C5CECC가 나온다.

여기서 또 하나 확인해야하는 건 '데이터 정렬 방식'이다. 빅 엔디안과 리틀 엔디안으로 나뉠 수 있는데, 간단히 말하자면, 빅 엔디안은 큰 주소에서 작은 주소로 정렬하는 방식이고, 리틀 엔디안은 작은 주소에서 큰 주소로 정렬하는 방식이다.

우리는 보통 작은 주소에서 큰 주소로 데이터를 정렬하므로, 리틀 엔디안 방식을 따라야한다.

그러나 우리가 계산기에서 두드린 값들은 빅 엔디안으로 정렬되어 있으므로 거꾸로 적어줘야한다.

그러므로 입력해야할 값은 다음과 같다.

./col `python -c 'print "\xC8\xCE\xC5\x06" * 4 + "\xcc\xce\xc5\x06"'`

안드로이드 개발 중 에러 - 프로젝트의 빌드 버전 호완

KiRist — Thu, 1 Apr 2021 23:14:31 +0900

가끔가다 깃허브에서 팀작업을 하거나, 오픈소스에 기여할때, 버전 호완 에러가 나는 경우가 종종 있다.

여기서 가장 뒷목 잡히고 빌드조차 안되는 에러가 하나 있다.

'빌드 버전 호완 에러'

이는 임포트파일부터 짜여진 코드 파일 모두 에러줄로 가득하게 만들어 버린다.

이거는 빌드를 해봐야할지 아니면 코드를 직접 자기가 다 호환버전에 맞는 코드로 바꾸어야하는지 의문이 들때가 있다.

그러자니 이 에러는 그렇게 줄에서 에러가 나면서 정작 모든 줄의 에러 원인인 임포트파일에 에러가 나는데도

명확한 에러메세지가 없어 답답할 뿐이다.

해결방법은

1. 우선 빌드해본다.

2. 빌드 에러 메세지를 읽는다.

3. 에러 메세지에 뜬 호환 가능한 버전을 찾아 다운로드해준다.

4. 빌드 구성을 다시 설정하고 빌드한다.

로 요약할 수 있겠다.

1. 빌드 에러 메세지 읽은 후

우선, 빌드해본 후 에러 메세지를 읽었다는 가정 아래에 진행하겠다.

왜냐면 사람마다 겪는 버전 호환 에러는 다 다를거고, 영어를 간단히 읽어봐도 답은 나오기 때문에 넘어가겠다.

필자는 29, 28 버전이 없어 겪게 되어서 29, 28 버전을 다운 받아주었다.

버전 체크 및 다운

2. build configuration 설정

상단에 위치한 위 그림과 일치한 버튼을 찾아 눌러주면 된다.

그러면 해당 창이 나타나게 되는데 필자처럼 compile SDK version, build Tools Version을 지원하는 버전으로 수정해서 넣어주면 된다.

그리고 다시 빌드해보자. 이제 코드가 임포트 파일이 정상적으로 잡히게 되며 대부분의 에러줄이 사라지게 될 것이다.

그러면 행복한 코딩이 되길 바란다.

[Walking Feedback] 2. 전처리

KiRist — Tue, 23 Mar 2021 20:18:12 +0900

이전 그래프가 잘못 되었다는 지적이 있었다.

잘못 된 이유는

1. 테스트용으로 사인곡선을 그리게끔 자이로를 움직였지만, 곡선이 아니었던 점

2. y축의 눈금이 보이지 않는다는 점

이 2가지의 이유로 그래프가 잘못 되었다는 점이다.

생각해봐도 이 y축 부터 이상하다는 점이다.

그런데, 찾아보니 예상치 못한 곳에서 실수를 저질렀던 점이다.

https://pythonq.com/so/python/360927

y값으로 들어가는 모든 값이 string 타입이였다.

matplotlib는 float을 기반으로 그래프를 그리지 못해 y축의 눈금이 이상할정도로 안보인 것이다.

그래서 모든 데이터의 값을 실수형으로 바꾸어 주었다.

이렇게 모든 값들을 float으로 바꾸어 주었고, 그래프를 다시 그려보았다.

성공이다. 약간의 탈선은 있지만 그럭저럭 어느 정도 봐줄 수준이다.

이 다음엔 실제 값을 받아와 다시 분석을 하고 인공지능 모듈을 이용해 볼까 한다.

1. Firebase Realtime db접근 & 자료 추출하기

KiRist — Sat, 13 Mar 2021 16:08:49 +0900

다리에 부착된 아두이노로부터 값을 받아와 Firebase에 저장되어 있었다.

이 값을 받아올려면 firebase의 저장소에 접근하기 위한 인증서파일이 필요하다. [프로젝트 설정] -> [서비스 계정] 으로 들어가주었다.

이렇게 위에 예시코드와 [새 비공개 키 생성]이란 버튼이 있는데 비공개 키로 데이터베이스를 접근하기 위해 버튼을 눌러 비공개키 json을 받아준다.

그리고 colab을 이용해 파일을 불러 인증코드를 짜고 그다음에 아래와 같은 코드로 데이터베이스를 불러왔다.

처음엔 이게 list인줄 알았지만, type을 확인해보니 str였다.

여기서 우리가 원하는 데이터를 뽑아내기 위해 정규식을 이용해주었다.

우선 넘어오면서 x,y값으로 안들어온 애들 걸러야하니 [+-]?[0-9]+[.]?[0-9]+,[+-]?[0-9]+[.]?[0-9]+ 이란 정규식을 이용해 값을 뽑아주자.

저 정규식으로 부호가 있는 실수 모두 뽑아낼 수 있다.

정규식 api파일을 부르고 정규식을 통해 x,y로 잘라내었다.

그리고, 다시 x,y로만 있는 값들을 위해 확인하기 위해 ,를 붙여주었으니 다시 잘라 x값에 y값에 넣어주었다.

이렇게 값들을 추출해내었다.

근데 저렇게 해놨더니

wtf

이지경이 되었다.

혹시나 싶어 프로젝트 담당자에게 물어보니

저 locX는 그냥 허벅지의 자이로 센서중 x값, locY는 무릎의 x값을 모아서 만든 좌표값이다.

즉, x값을 시간으로 놓아 시간에 따른 자이로 값으 변화를 나타내는 그래프였다.

그래서 몇부분 수정하고, 다시 그래프를 나타내보았다.

이렇게 그래프를 보니 자료의 간략화가 시급해보였다. 자료 간략화는 다음에 이어서 해봐야 할 것 같다.