지난 줄거리

첫 날부터 버나드 교관에게 엉뚱한 질문으로 고문관으로 자리매김한 모빈켈. 과연 버나드 교관의 무시무시한 훈련 과제를 해결 할 수 있을 것인가?

🤺 버퍼 오버 플로우 공격

모빈켈은 과제를 받고 집으로 돌아와서 고민에 빠졌다. 비밀번호를 대체 어떻게 깨면 좋단 말인가? 하지만 리더 보드에 랭킹이 실시간으로 이름과 군번이 보이는 독특한 훈련 방식 때문에 경쟁심이 불탄 모빈켈은 열심히 해서 A를 받도록 마음먹었다. 다시 한 번 압축 파일을 실행 시켜 봤다.

Stage 1
Password: _

프로그램은 Password를 입력받는 화면에서 하염없이 멈춰있었다. 이제 추측과 추론의 영역으로 들어갈 시간이다. 먼저 Password를 입력받으려면 대략 아래와 같은 코드를 썼을것이다. 모빈켈은 C로 예상 코드를 작성 해 봤다.

function stage1() {
  printf("Stage 1\n");

  char password[20];
  scanf(&password, %s);

  if (strcmp(password, "비밀번호") == 0)
      goto STAGE2;
  else
      return;
}

그래 뭐 대충 이런식이 아닐까? 실제 프로그램의 코드와는 다를 수 있겠지만 일단 scanf 함수를 사용해서 입력을 받고 있을 것이고 password를 입력 받을 공간이 필요 할 것이다. 그렇다면 프로그램이 저 부분을 실행 할 쯤에는 메모리 스택이 아래와 같이 구성 되어 있을 것이다.

처음 stage1 함수가 실행 되면 일단 함수를 위한 스택 공간을 할당하게 된다. 스택이 만들어지면 가장 위에는 ESP와 EBP가 있다.

다음은 password를 입력받기 위해 배열 공간을 할당 해 두었을것이고, 그 다음은 이 stage1이라는 함수가 실행을 마친 뒤에 return 할 곳의 address가 쑤셔져 있을 것이다.

stage1을 호출 하는 또 어떤 함수가 있는진 알 수 없지만 아무튼 return 할 곳을 저장 해 둘 것이다.

모빈켈은 스택 구조를 그림으로 그려보고 나서야 답을 알 것만 같았다. 비밀번호를 입력하라는 요구에 password 배열에 할당된 공간보다 더 많은 데이터를 쑤셔 넣으면 array 공간이 뻥 터져 버릴 것이고 데이터는 다음 스택 메모리 까지 덮어쓰게 될 것이다.

마치 이렇게 말이다. 그렇다면 나는 stage2로 이동하도록 아래의 데이터를 넣으면 될 것이다.

Stage 1
Password: ldlkasjdlalasdkaksd

입력을 이렇게 준 결과, Password를 받기 위한 Buffer Array는 Overflow 해 버렸고 공격은 성공했다.

첫 번째 문제를 해결한 모빈켈은 신나서 랭킹 페이지에 들어 가 봤다.

1위 : 김XX STAGE 2
2위 : 윤XX STAGE 2
3위 : 강XX STAGE 1
...
11위 : 모빈켈 STAGE 1

이럴 수가! 첫 문제를 풀었다고 좋아하고 있을 시간은 없었다. 벌써 3단계를 풀고 있는 훈련생들도 있다. 모빈켈은 부리나케 다시 gdb를 꺼내들고 Stage2로 진입했다. 과연 모빈켈의 운명은?