🤔 나 다시 돌아갈래~!

해킹 알려줄게

24화: Return Address Overwrite

안녕하세요 해킹 알려줄게입니다~! 😆

오늘 해킹 알려줄게에서 가져온 주제는 Return Address Overwrite입니다! 시스템 해킹의 가장 기본적인 기술로, 말 그대로 Return Address를 덮어쓰는 기법이에요.

하지만 아직 Return Address도 뭔지 모르겠고...왜 덮어쓰는지도 모르겠고... 감이 잘 안 오시죠? 😣

쉬운 예시를 들어보면, Return Address를 간단히 돌아갈 주소라고 생각하면 됩니다. 여러분이 매일 학교 또는 직장에서 할 일을 하다가 결국에는 어디로 돌아갈까요?

맞아요, 우리의 Home Sweet Home에 가서 푹 쉬어야 하겠죠! 🏠 그러면 돌아가야 할 Return Address는 집이 되겠네요. 하지만 여기서 누군가(나쁜 사람...) 돌아갈 곳을 집이 아닌 학교나 직장, 또는 어디론가(..?)로 바꿔버린 것이죠. 😱

Return Address(RET)가 정확히 뭔가요?

Return Address Overwrite이전에 우선 Return Address에 대해서 얘기해보도록 할게요. Return Address를 이해하려면 프로그램이 메모리상에서 어떻게 작동하는지에 대한 지식이 필요한데요. 어렵지 않게 간단한 지식부터 설명해보겠습니다! 😄

사용자가 프로그램을 실행하게 되면 컴퓨터에서는 프로그램을 작동시키기 위해 프로그램이 사용할 메모리를 할당시켜줍니다. 이 메모리는 효율적으로 사용되기 위해 각 사용 목적에 맞게 구역을 나누어 사용하는데요. 이 중에서 스택 영역과 프로그램 흐름을 위주로 살펴볼게요.

메모리 레이아웃과 스택, 스택 프레임에 대한 설명은 해키피디아를 꼭 봐주세요! 😉

[해키피디아] Linux Memory Layout

[해키피디아] Stack Frame

자, 그럼 해키피디아를 봤거나 해당 내용을 아신다는 것을 전제로 한번 설명하도록 하겠습니다. 여러분은 회사나 학교에 있다가 점심시간이 되면 어떻게 하나요? 하던 일이나 공부를 멈추고 점심을 먹은 뒤 다시 자리에 돌아와 일을 마칠 거에요.

이처럼 프로그램에서도 필요한 특정 기능 혹은 동작을 수행하기 위해서 함수(서브 루틴)를 호출하게 되는데요. 이때 프로그램은 원래 실행하던 메모리의 명령어 대신 호출된 함수의 명령어가 저장된 메모리로 이동하고 해당 함수에 할당받은 스택 프레임을 사용해 동작하게 됩니다. 그리고 함수의 작동이 끝나면 다시 원래 호출 전 명령어로 돌아가게 됩니다. 잠깐! “그래서 어떻게 돌아가는 거야?”라고 생각이 드시지 않나요? 맞아요. 이 부분에서 Return Address가 사용되는 것이죠. 현재 함수의 스택 프레임에 저장된 Return Address를 참조해 다시 원래 실행하던 명령어로 돌아가게 됩니다.

그래서 Overwrite는 어떻게 할 수 있나요?

Return Address가 무엇이고 어떻게 사용되는지 알았으니 이제 Return Address Overwrite가 무엇인지 짐작이 가죠. 😆

바로 Return Address를 덮어씌우는 것이죠. 그렇다면, 어떻게 덮어씌우는 걸까요? 이전 해킹 알려줄게에서 다루었던 Stack Buffer Overflow를 기억하시나요? 이 Buffer Overflow를(BOF) 이용해 스택에 위치한 Return Address를 조작해 주는 것입니다. 이해하기 쉽게 예시 문제를 그림과 함께 Return Address가 BOF로 인해 덮어 씌워지는 과정을 살펴볼게요.

want_to_go() 함수에서 집에 가고 싶냐고 물어보고 scanf(”%s”, answ);로 입력을 받습니다. 하지만 어떤 답을 입력하든 이후 printf("Nope, You can't go \\n");가 실행되어 갈 수 없는 대답만 돌아옵니다. 😓

그렇다면 집에 갈 수 없는 것일까요...? 다행히 위에 run()함수에서 “Ok, Bye”라는 대답이 나오는 함수가 있네요! 어떻게 해야 run() 함수를 실행시킬 수 있을까요?

자세히 살펴보니, want_to_go() 함수에서 Buffer Overflow 취약점이 존재하네요! 이를 이용해서 Return Address Overwrite로 집에 가보자고요! 😂

현재 위의 그림은 메인 함수에서 want_to_go() 함수를 호출했을 때 스택 영역의 메모리 상태입니다. scanf()는 공백을 포함하지 않는 문자열 한 줄을 입력받지만 이때 문자열 길이에 대해 제한하지 않기 때문에 BOF가 일어날 수 있습니다. 이 점을 이용하면 answ 배열의 크기가 0x10 이기 때문에 공백을 포함하지 않는 0x10개 이상의 문자를 입력해준다면 충분히 want_to_go() 함수가 종료된 이후 돌아갈 메모리 주소(want_to_go() 함수 호출 이후 실행될 main() 함수 내의 명령어 주소)가 담긴 RET 부분에 우리가 원하는 값을 덮어쓸 수 있겠죠!

그렇다면 우리는 대답을 입력할 때 answ 배열의 시작 주소부터 현재 스택 프레임의 RET 시작 부분까지의 거리를 계산해 아무 문자열로 채우고(“A”문자로 채워볼게요!) RET 부분에 run() 함수의 주소를 입력해주면 되겠네요. 😲 성공했으니 얼른 도망치자고요! 🏃

잠깐! 스택은 높은 주소에서 낮은 주소로 자라지 않나요. 어떻게 문자열로 더 높은 주소를 덮어쓸 수 있죠? 😕

맞아요. 분명 설명했는데 자라는 방향이랑 입력한 문자열이 메모리에 써지는 방향이랑 반대죠. 하!지!만! “스택 영역이 자란다”라는 것에 의미는 “스택 영역이 확장된다”라는 의미입니다. 입력한 문자열 데이터가 써지는 것은 이미 확장된 스택 안에서 배열에 해당하는 메모리 내의 이야기이기 때문에 낮은 주소에서 높은 주소로 데이터가 써지는 것이 맞습니다. 영역이 확장되는 것과 데이터가 써지는 것은 다른 개념이니 헷갈리지 않도록 주의해야 해요! 😃

BOF를 이용한 쉬운 해킹 기법 Return Address Overwrite! 재밌게 보셨나요? 다음 주에는 더욱 알차고 재밌는 주제로 돌아오겠습니다. 모두 다음 시간에 봐요. 안녕~ 👋

✏️ 해킹짹짹 뉴스레터에서 다루는 기술들은 오로지 교육적인 목적으로 사용되며, 이를 악용하여 발생하는 모든 책임은 본인에게 있습니다.

by poosic

해킹짹짹 뉴스레터 후원하기(카카오페이)

지속해서 더 좋은 뉴스레터를 제공하기 위한 것으로 긍정적으로 생각해주시면 감사하겠습니다!

카카오뱅크 3333-22-3886590 ㅊㅎㅅ

오늘 전해드린 내용이 마음에 드셨나요?

주위 친구들에게 뉴스레터를 추천해주세요!

다음주에도 알찬 내용으로 돌아오겠습니다. 😙