[🥉 Bronze 3] 반환 주소 대신 "열 파일 이름"을 덮는다 — DreamHack bof 풀이

풀이 흐름은 짧다.

1. 보호기법과 심볼을 보고 — 카나리 없음, 그런데 win 함수도 없음.
2. main 과 read_cat 을 디스어셈블해서, 버퍼(rbp-0x90)와 파일명(rbp-0x10) 이 같은 프레임에 있는 걸 확인한다.
3. 둘 사이 거리 0x80 을 채운 뒤 "flag" 를 붙여 파일명을 덮는다.
4. gdb 로 실제로 파일명이 flag 로 바뀌는지 확인하고, 원격에 그대로 던져 플래그를 받는다.

🧩 배경 — 파일 이름을 인자로 받는 read_cat

문제 바이너리가 하는 일은 단순하다. 고양이 ASCII 아트가 든 cat 파일을 열어서 출력해 주는 것. 그 출력 함수가 read_cat(char *name) 이고, 하는 일은 open(name) → read → puts 다. 이름 그대로 파일을 하나 읽어 뿌린다.

여기서 중요한 건 배포 설정이다. Dockerfile 을 보면 flag 와 cat 이 같은 권한으로 깔린다.

flag 는 440, 소유자 root / 그룹 bof. 그런데 프로세스는 USER bof 로 돈다. bof 는 그룹 멤버이므로 그룹 읽기 권한으로 flag 를 읽을 수 있다. 즉 프로그램이 flag 를 열기만 하면 내용이 나온다. 문제는 "프로그램이 여는 파일 이름을 cat 에서 flag 로 바꿀 수 있느냐" 하나로 좁혀진다.

WORKDIR 이 /home/bof 라서 상대경로 flag 만으로 /home/bof/flag 를 가리킨다. 경로를 길게 쓸 필요도 없다.

🔬 정찰 — 보호기법·심볼·문자열

먼저 바이너리 기본 정보와 심볼, 그리고 .rodata 문자열을 본다.

64비트 ELF, not stripped. 함수는 main, read_cat, init 세 개뿐이다. .rodata 에 눈에 띄는 문자열이 %144s — 나중에 scanf 의 포맷 문자열로 쓰인다. 144바이트까지 읽는다는 뜻이다. meow?, meow, %s :) 는 프로그램 출력 문구.

보호기법은 checksec 으로 확인한다.

• No canary: 스택 오버플로를 걸러 낼 카나리가 없다. 버퍼를 넘쳐도 검사에 안 걸린다.
• NX enabled: 스택은 실행 불가. 셸코드를 스택에 올려 뛰는 건 막혀 있다.
• No PIE (0x400000): 코드가 고정 주소에 로드된다. 주소를 그대로 하드코딩할 수 있다.

카나리가 없으니 오버플로는 자유롭다. NX 때문에 셸코드는 못 올리지만, 애초에 이 문제는 셸을 딸 필요가 없다.

🐛 삽질 — 반환 주소부터 노렸다

🔬 코드 정찰 — main 과 read_cat

main 을 디스어셈블한다. 주석은 sed 로 붙였다.

흐름을 정리하면 이렇다.

• mov DWORD PTR [rax],0x61632f2e / mov WORD PTR [rax+0x4],0x74 — rbp-0x10 자리에 바이트를 직접 박아 "./cat" 문자열을 만든다. (2e 2f 63 61 = ./ca, 그다음 74 = t)
• scanf("%144s", rbp-0x90) — 입력을 rbp-0x90 버퍼에 최대 144바이트 받는다. 이게 오버플로 지점.
• read_cat(rbp-0x10) — 방금 만든 "./cat" 파일명을 넘겨 호출한다.

버퍼는 rbp-0x90, 파일명은 rbp-0x10. 둘이 같은 스택 프레임에 있고, 파일명이 버퍼보다 높은 주소(아래쪽) 다. scanf 가 144바이트까지 쓸 수 있으니 버퍼를 넘어 파일명까지 닿는다.

이제 read_cat 을 본다.

read_cat 은 인자로 받은 파일명(rdi, [rbp-0x98] 에 저장)을 그대로 open(name, O_RDONLY) 한다. 열기에 성공하면 read(fd, buf, 0x80) 로 128바이트를 읽어 puts 로 출력한다. 여는 파일 이름을 검증하지 않는다. main 이 넘긴 게 "./cat" 이면 cat 을, "flag" 면 flag 를 연다.

💣 핵심 — buf 와 파일명 사이 0x80

노릴 곳은 정해졌다. read_cat 이 여는 파일명(rbp-0x10)을 "flag" 로 덮는 것. 버퍼(rbp-0x90)에서 파일명까지 거리는:

scanf("%144s") 는 144바이트까지 받으니 0x80(128)을 넘겨 파일명 자리를 덮을 여유가 충분하다. 게다가 %s 변환은 읽은 문자열 끝에 널 바이트를 붙여 주므로, "flag" 뒤에 자동으로 \0 이 들어가 파일명이 딱 "flag" 로 끝난다.

패딩 128 + "flag" 4 = 132바이트. 반환 주소(rbp+0x8, 버퍼 시작 기준 0x98)는 건드리지 않으니 read_cat 이 flag 를 출력한 뒤 프로그램이 정상적으로 끝난다. 크래시도 없다.

🧪 런타임 검증 — gdb 로 확인

정적 분석으로 "거리 0x80, %s 가 널 종단" 까지 잡았지만, 실제로 그 자리가 덮이는지 gdb 로 확인한다. 로컬에서 flag 파일을 더미로 하나 만들어 두고, 'A'*0x80 + 'flag' 를 입력으로 넣어 두 지점에 브레이크포인트를 건다.

• main+0x62(0x4013f3, read_cat 호출 직전) — 버퍼·파일명 주소와 거리
• read_cat+0x4a(0x401280, open 호출 직전) — rdi 가 실제로 여는 파일명

정적 분석과 정확히 일치한다.

• offset(name-buf) = 0x80 — 거리 확인.
• name string now = "flag" — 오버플로가 파일명을 flag 로 바꿨다.
• read_cat open() rdi = "flag" — open() 이 실제로 flag 를 연다.

로컬이라 더미 flag(DH{LOCAL_DUMMY__...})가 찍혔다. 실제 플래그는 원격에서 받는다.

🎯 익스플로잇

로컬 검증이 끝났으니 원격에 그대로 던진다. 페이로드는 한 줄이면 된다.

scanf 는 공백/개행을 만나면 입력을 끝내므로, sendline 이 붙이는 개행이 입력 종료 역할을 한다. 받은 응답에서 DH{...} 를 뽑으면 끝.

🚀 Full Exploit

meow? 다음에 flag 파일 내용이 그대로 찍히고, 이어서 meow, AAAA...flag :) 로 원래 출력 문구가 따라온다. 반환 주소를 안 건드렸으니 프로그램이 크래시 없이 정상 종료한다.

📝 결론

버퍼 오버플로의 표적이 항상 반환 주소인 건 아니다.

이 문제는 카나리도 없고 No PIE 라 반사적으로 ret2win 을 떠올리게 해 놓고, 정작 셸 딸 함수는 빼 버렸다. 진짜 표적은 같은 프레임에 놓인 지역 변수 — read_cat 이 열 파일 이름이었다. 인접 변수를 덮어 프로그램의 동작(여는 파일)을 바꾸는, 오버플로의 또 다른 결이다.

입력 길이는 버퍼 크기에 맞춰야 한다.

버퍼는 0x80 인데 scanf 포맷이 %144s 였다. 널 종단까지 치면 145바이트를 쓸 수 있으니 버퍼가 감당할 수 없다. %s 에 최대 폭을 주더라도 그 폭이 버퍼 크기보다 크면 오버플로는 그대로 열려 있다. 폭 지정만 믿으면 안 되고, 버퍼 크기와 맞물려 계산해야 안전하다.

파일 이름을 외부 입력으로 정하지 마라.

read_cat 이 넘겨받은 이름을 검증 없이 open 한 게 마지막 문이었다. 열 파일이 정해져 있다면 이름을 상수로 박고, 사용자 입력이 경로에 섞여야 한다면 허용 목록·정규화·경로 탈출(..) 검사를 반드시 건다. 여기서는 애초에 파일명이 스택 변수가 아니라 읽기 전용 상수였다면 오버플로로도 못 바꿨을 것이다.