신입분들 들어오신 기념으로(?) ㅋㅋ 간단한 ptrace 강좌를 시작하겠습니다. ptrace는 리눅스, 유닉스 환경에서 프로세스 디버깅에 사용되는 함수입니다. lib.so에서 ptrace를 export하고 있고요 실제로는 ptrace라는 이름의 커널 시스템콜이 내부적으로 사용됩니다. 지금 보니 26번 시스템콜을 사용하고 있네요 # cat /usr/include/asm/unistd.h | grep ptrace #define __NR_ptrace 26 # 리눅스에서 ptrace의 기능은 실로 막강합니다. 무적 디버깅 도구인 gdb가 내부적으로는 ptrace를 사용하고 있죠. ptrace의 특징은, 다양한 기능들을 함수 인자로 처리한다는 점입니다. ptrace(PTRACE_ATTACH, ... ); // 이렇게 하면 process를 attach하겠다는 것이고요 ptrace(PTRACE_GETREGS, ... ); // 이건 대상 process의 레지스터 목록을 받아오라는 거죠 ptrace(PTRACE_PEEKDATA, ... ); // 이처럼 데이터를 쓰거나 ptrace(PTRACE_POPEDATA, ... ); // 가져올 수 있습니다. 그 외 man ptrace를 해보면, PTRACE_TRACEME PTRACE_PEEKTEXT, PTRACE_PEEKDATA PTRACE_PEEKUSR PTRACE_POKETEXT, PTRACE_POKEDATA PTRACE_POKEUSR PTRACE_SYSCALL, PTRACE_SINGLESTEP PTRACE_GETREGS, PTRACE_GETFPREGS PTRACE_GETSIGINFO (since Linux 2.3.99-pre6) PTRACE_SETREGS, PTRACE_SETFPREGS PTRACE_SETSIGINFO (since Linux 2.3.99-pre6) PTRACE_SETOPTIONS (since Linux 2.4.6; see BUGS for caveats) PTRACE_GETEVENTMSG (since Linux 2.5.46) PTRACE_CONT PTRACE_SYSEMU, PTRACE_SYSEMU_SINGLESTEP (since Linux 2.6.14) PTRACE_KILL PTRACE_ATTACH PTRACE_DETACH 위 목록을 볼 수 있습니다. 우선 PTRACE_ATTACH 인자를 이용하여 대상 프로세스를 attach 해보겠습니다. 디버깅 대상 프로그램의 소스코드는 다음과 같습니다. int main() { while(1){ printf("mung mung!\n"); sleep(1); } } 1초단위로 멍멍~ 하고 짓는게 전부죠.. 터미널 하나를 열어 이를 실행해 놓습니다. [root@hackerschool ptrace]# gcc -o a a.c a.c: In function 'main': a.c:4: warning: incompatible implicit declaration of built-in function 'printf' [root@hackerschool ptrace]# ./a mung mung! mung mung! mung mung! mung mung! mung mung! mung mung! 그리고 다른 터미널에선 다음과 같이 코딩을 합니다. #include #include int main(int argc, char *argv[]) { struct user_regs_struct regs; int ret, pid, i; pid = atoi(argv[1]); ret = ptrace(PTRACE_ATTACH, pid, 0, 0); printf("return : %d\n", ret); ptrace(PTRACE_DETACH, pid, 0, 0); } [root@hackerschool matphone]# gcc -o ptrace ptrace.c [root@hackerschool matphone]# !ps -aux | grep ./a Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ root 12388 0.0 0.0 1608 304 pts/0 S+ 12:58 0:00 ./a root 14274 0.0 0.0 5136 788 pts/2 S+ 13:00 0:00 grep ./a [root@hackerschool matphone]# ./ptrace 12388 return : 0 [root@hackerschool matphone]# 리턴 값이 0이면 제대로 되어가고 있는 겁니다. ㅎㅎ 코드에 보이다시피 프로세스를 attach하기 위해선 첫 번재 인자로 PTRACE_ATTACH, 그리고 두 번째 인자로 PID가 들어갑니다. 그리고 여기서 기본적으로 알고있어야하는 점은 ATTACH 당한 프로세스가 STOP 상태로 들어간다는 점입니다. 위 예제에선 ATTACH하자마자 DETACH하기 때문에 STOP도 바로 풀려버리게되죠 하지만 다음처럼 sleep을 넣고 한번 확인해 보시면 mung mung 문자열 출력이 멈추는 것을 확인할 수 있습니다 ... ret = ptrace(PTRACE_ATTACH, pid, 0, 0); sleep(10); ... mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung ... 멈춤상태 ... 이 멈춤 상태를 풀어주려면 PTRACE_DETACH 인자를 넣어주면 됩니다. 이제 다음으로 해당 프로세스의 레지스터 값들을 한번 가져와 볼까요? #include struct user_regs_struct { long ebx, ecx, edx, esi, edi, ebp, eax; unsigned short ds, __ds, es, __es; unsigned short fs, __fs, gs, __gs; long orig_eax, eip; unsigned short cs, __cs; long eflags, esp; unsigned short ss, __ss; }; int main(int argc, char *argv[]) { struct user_regs_struct regs; int ret, pid; pid = atoi(argv[1]); ret = ptrace(PTRACE_ATTACH, pid, 0, 0); printf("return : %d\n", ret); ptrace(PTRACE_GETREGS, pid, 0, ®s); // 스택 주소 출력 printf("stack = %p\n", regs.esp); ptrace(PTRACE_DETACH, pid, 0, 0); } [root@hackerschool matphone]# ./ptrace 12388 return : 0 stack = 0xbfdf276c [root@hackerschool matphone]# 레지스터를 싸악 가져온 후 그중에 스택 주소만 출력해 보았습니다. 같은 방식으로 범용 레지스터들과 세그먼트 레지스터들을 가져올 수 있겠죠. 위의 struct user_regs_struct { ... } 이 부분은 /usr/include/linux/user.h에서 가져온 것입니다. 그럼 user.h를 include 시키면 저 부분은 불필요해지겠죠. #include #include int main(int argc, char *argv[]) { struct user_regs_struct regs; int ret, pid; pid = atoi(argv[1]); ret = ptrace(PTRACE_ATTACH, pid, 0, 0); printf("return : %d\n", ret); ptrace(PTRACE_GETREGS, pid, 0, ®s); printf("stack = %p\n", regs.esp); ptrace(PTRACE_DETACH, pid, 0, 0); } 그럼 이제 저 스택에 저장된 값들을 한번 가져와 봅시다 ㅎㅎ 이 때 사용되는 옵션은 PTRACE_PEEKDATA입니다. (PEEKTEXT도 같은 옵션입니다) 데이터를 쏙~ 뽑아오겠단 의지가 보이는 옵션이죠. 깔끔하게 200바이트만 읽어보도록 하죠.. include #include int main(int argc, char *argv[]) { struct user_regs_struct regs; int ret, pid, i; pid = atoi(argv[1]); ret = ptrace(PTRACE_ATTACH, pid, 0, 0); printf("return : %d\n", ret); ptrace(PTRACE_GETREGS, pid, 0, ®s); printf("stack = %p\n", regs.esp); unsigned int data; for(i=0; i<50; i++) { data = ptrace(PTRACE_PEEKDATA, pid, regs.esp+i*4, 0); printf("%08x\n", data); } ptrace(PTRACE_DETACH, pid, 0, 0); } [root@hackerschool matphone]# ./ptrace 31526 return : 0 stack = 0xbfbe3d4c bfbe3f18 009c7ff4 bfbe3f04 00904be0 00904a2f bfbe3f04 bfbe3f04 00000000 bfbe3e04 bfbe3e84 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 00000000 0086b658 00000000 00000100 b7fe26c0 0086b94c 0086b644 00000000 00010000 00000000 0086b940 0000000f 00000000 00000000 00000000 00000000 00000000 00000000 00000000 bfbe3d58 bfbe3e04 bfbe3e84 0089c1a9 00000000 00000000 00000000 00000000 00000000 00000000 [root@hackerschool matphone]# 요 굿~~ PTRACE_PEEKDATA의 특징은 한번에 4바이트 단위로 값을 가져온다는 점입니다. 그래서 200바이트를 가져오기 위해 for문에 50을 넣었습니다. (64비트에선 어떻게 바뀌는지 모르겠네요.) 이제 뭔가 write해보고 싶은 충동이 생깁니다.. ㅎㅎ 이 때 사용되는 옵션은 PTRACE_POKEDATA이고요, 이번엔 반대로 뭔가 쿡~~ 찔러 넣어주는 느낌이 나죠 음.. 근데 지금 마땅히 write 할만한게 안 보이죠?? 그래서 대상 프로그램의 소스를 다음과 같이 바꾸기로 했습니다. int main() { char str[20] = "mung mung"; while(1){ printf("%s\n", str); sleep(1); } } 눈치 채셨죠? ㅎㅎ 바로 스택값을 바꿔보도록 하겠습니다. "mung mung" 문자열을 찾기 위해 %02x를 %c로 바꿔주고요 isprint() 함수로 출력 가능한 것만 추려보겠습니다. #include #include int main(int argc, char *argv[]) { struct user_regs_struct regs; int ret, pid, i, j; pid = atoi(argv[1]); ret = ptrace(PTRACE_ATTACH, pid, 0, 0); printf("return : %d\n", ret); ptrace(PTRACE_GETREGS, pid, 0, ®s); printf("stack = %p\n", regs.esp); unsigned int data; unsigned char data2[4]; for(i=0; i<300; i++) { data = ptrace(PTRACE_PEEKDATA, pid, regs.esp+i*4, 0); memcpy(&data2, &data, 4); for(j=0; j<4; j++){ if(isprint(data2[j])) printf("%c ", data2[j]); else printf(". "); } } ptrace(PTRACE_DETACH, pid, 0, 0); } 참, 가져오는 바이트의 수도 300*4=1200으로 늘렸습니다. [root@hackerschool matphone]# ./ptrace 31526 return : 0 stack = 0xbfbe3d4c . ? . . . . . . . ? . . . K . . / J . . . ? . . . ? . . . . . . . > . . . > . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . X . . . . . . . . . . . . & . . L . . . D . . . . . . . . . . . . . . . @ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . X = . . . > . . . > . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . > . . . ! . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . > . . X . . . . . . . . . . . . . . P . { . ' . . \ . . > . . . . . . . . . . . [ . . . . . . . ] . . . . . . . . . . . . . . . . . . . . . . . > . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . H ? . . . . . . . . . . . b . . X ? . . I . . . m u n g m u n g . . . . . . . @ . . . ` ? . . . ? . . . . . . . . . . 0 . . . . ? . . . . . . . . . . . ? . . . ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ? . . . # . < . . , . . . . . . . . . . . . . P $ . . . . . . . . . . . . . . . . . . . . . . ! . . . . . . . . . . . . ? . . 0 . . . . . . @ . . . . ? . . . _ . . . . . . > L . . . . . . B L . . \ L . . g L . . w L . . . L . . . L . . . L . . . L . . . L . . . N . . . N . . $ O . . 9 O . . J O . . [ O . . c O . . n O . . { O . . . O . . . O . . . O . . . O . . . . . . . . . . . . . ! . . . . . . . . . . . . . . . . . . . . . . . . . . . d . . . . . . . 4 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . @ . . . . . . . . . . . . . i 6 8 6 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . [root@hackerschool matphone]# 어허헛 일단 죠~~~ 죠기에 mung mung이 보이는 걸 확인했고요 이제 주소를 출력해야겠네요 ... for(i=0; i<300; i++) { data = ptrace(PTRACE_PEEKDATA, pid, regs.esp+i*4, 0); memcpy(&data2, &data, 4); printf("%08x : ", regs.esp+i*4); for(j=0; j<4; j++){ if(isprint(data2[j])) printf("%c ", data2[j]); else printf(". "); } printf("\n"); } ... [root@hackerschool matphone]# ./ptrace 31526 return : 0 stack = 0xbfbe3d4c bfbe3d4c : . ? . . bfbe3d50 : . . . . bfbe3d54 : . ? . . bfbe3d58 : . K . . bfbe3d5c : / J . . bfbe3d60 : . ? . . bfbe3d64 : . ? . . bfbe3d68 : . . . . bfbe3d6c : . > . . bfbe3d70 : . > . . bfbe3d74 : . . . . bfbe3d78 : . . . . bfbe3d7c : . . . . bfbe3d80 : . . . . bfbe3d84 : . . . . bfbe3d88 : . . . . bfbe3d8c : . . . . bfbe3d90 : . . . . bfbe3d94 : . . . . bfbe3d98 : . . . . bfbe3d9c : . . . . bfbe3da0 : . . . . bfbe3da4 : X . . . bfbe3da8 : . . . . bfbe3dac : . . . . bfbe3db0 : . & . . bfbe3db4 : L . . . bfbe3db8 : D . . . bfbe3dbc : . . . . bfbe3dc0 : . . . . bfbe3dc4 : . . . . bfbe3dc8 : @ . . . bfbe3dcc : . . . . bfbe3dd0 : . . . . bfbe3dd4 : . . . . bfbe3dd8 : . . . . bfbe3ddc : . . . . bfbe3de0 : . . . . bfbe3de4 : . . . . bfbe3de8 : . . . . bfbe3dec : X = . . bfbe3df0 : . > . . bfbe3df4 : . > . . bfbe3df8 : . . . . bfbe3dfc : . . . . bfbe3e00 : . . . . bfbe3e04 : . . . . bfbe3e08 : . . . . bfbe3e0c : . . . . bfbe3e10 : . . . . bfbe3e14 : . > . . bfbe3e18 : . ! . . bfbe3e1c : . . . . bfbe3e20 : . . . . bfbe3e24 : . . . . bfbe3e28 : . . . . bfbe3e2c : . . . . bfbe3e30 : . . . . bfbe3e34 : . . . . bfbe3e38 : . > . . bfbe3e3c : X . . . bfbe3e40 : . . . . bfbe3e44 : . . . . bfbe3e48 : . . . P bfbe3e4c : . { . ' bfbe3e50 : . . \ . bfbe3e54 : . > . . bfbe3e58 : . . . . bfbe3e5c : . . . . bfbe3e60 : . [ . . bfbe3e64 : . . . . bfbe3e68 : . ] . . bfbe3e6c : . . . . bfbe3e70 : . . . . bfbe3e74 : . . . . bfbe3e78 : . . . . bfbe3e7c : . . . . bfbe3e80 : . > . . bfbe3e84 : . . . . bfbe3e88 : . . . . bfbe3e8c : . . . . bfbe3e90 : . . . . bfbe3e94 : . . . . bfbe3e98 : . . . . bfbe3e9c : . . . . bfbe3ea0 : . . . . bfbe3ea4 : . . . . bfbe3ea8 : . . . . bfbe3eac : . . . . bfbe3eb0 : . . . . bfbe3eb4 : . . . . bfbe3eb8 : . . . . bfbe3ebc : . . . . bfbe3ec0 : . . . . bfbe3ec4 : . . . . bfbe3ec8 : . . . . bfbe3ecc : . . . . bfbe3ed0 : . . . . bfbe3ed4 : . . . . bfbe3ed8 : . . . . bfbe3edc : . . . . bfbe3ee0 : . . . . bfbe3ee4 : . . . . bfbe3ee8 : . . . . bfbe3eec : . . . . bfbe3ef0 : . . . . bfbe3ef4 : . . . . bfbe3ef8 : . . . . bfbe3efc : . . . . bfbe3f00 : . . . . bfbe3f04 : . . . . bfbe3f08 : _ } . . bfbe3f0c : . . . . bfbe3f10 : . . . . bfbe3f14 : . . . . bfbe3f18 : H ? . . bfbe3f1c : . . . . bfbe3f20 : . . . . bfbe3f24 : . b . . bfbe3f28 : X ? . . bfbe3f2c : I . . . bfbe3f30 : m u n g bfbe3f34 : m u n bfbe3f38 : g . . . bfbe3f3c : . . . . bfbe3f40 : @ . . . bfbe3f44 : ` ? . . bfbe3f48 : . ? . . bfbe3f4c : . . . . bfbe3f50 : . . . . bfbe3f54 : 0 . . . bfbe3f58 : . ? . . bfbe3f5c : . . . . bfbe3f60 : . . . . bfbe3f64 : . ? . . bfbe3f68 : . ? . . bfbe3f6c : . . . . bfbe3f70 : . . . . bfbe3f74 : . . . . bfbe3f78 : . . . . bfbe3f7c : . . . . bfbe3f80 : . . . . bfbe3f84 : . . . . bfbe3f88 : . . . . bfbe3f8c : . ? . . bfbe3f90 : . # . < bfbe3f94 : . . , . bfbe3f98 : . . . . bfbe3f9c : . . . . bfbe3fa0 : . . . . bfbe3fa4 : P $ . . bfbe3fa8 : . . . . bfbe3fac : . . . . bfbe3fb0 : . . . . bfbe3fb4 : . . . . bfbe3fb8 : . . . . bfbe3fbc : ! . . . bfbe3fc0 : . . . . bfbe3fc4 : . . . . bfbe3fc8 : . ? . . bfbe3fcc : 0 . . . bfbe3fd0 : . . . bfbe3fd4 : @ . . . bfbe3fd8 : . ? . . bfbe3fdc : . _ . . bfbe3fe0 : . . . . bfbe3fe4 : > L . . bfbe3fe8 : . . . . bfbe3fec : B L . . bfbe3ff0 : \ L . . bfbe3ff4 : g L . . bfbe3ff8 : w L . . bfbe3ffc : . L . . bfbe4000 : . L . . bfbe4004 : . L . . bfbe4008 : . L . . bfbe400c : . L . . bfbe4010 : . N . . bfbe4014 : . N . . bfbe4018 : $ O . . bfbe401c : 9 O . . bfbe4020 : J O . . bfbe4024 : [ O . . bfbe4028 : c O . . bfbe402c : n O . . bfbe4030 : { O . . bfbe4034 : . O . . bfbe4038 : . O . . bfbe403c : . O . . bfbe4040 : . O . . bfbe4044 : . . . . bfbe4048 : . . . bfbe404c : . . . . bfbe4050 : ! . . . bfbe4054 : . . . . bfbe4058 : . . . . bfbe405c : . . . . bfbe4060 : . . . . bfbe4064 : . . . . bfbe4068 : . . . . bfbe406c : d . . . bfbe4070 : . . . . bfbe4074 : 4 . . . bfbe4078 : . . . . bfbe407c : . . . bfbe4080 : . . . . bfbe4084 : . . . . bfbe4088 : . . . . bfbe408c : . . . . bfbe4090 : . . . . bfbe4094 : . . . . bfbe4098 : . . . . bfbe409c : . . . . bfbe40a0 : . . . . bfbe40a4 : . . . . bfbe40a8 : . . . . bfbe40ac : . . . . bfbe40b0 : . . . . bfbe40b4 : . . . . bfbe40b8 : . . . . bfbe40bc : . . . . bfbe40c0 : . . . . bfbe40c4 : . . . . bfbe40c8 : . . . . bfbe40cc : . @ . . bfbe40d0 : . . . . bfbe40d4 : . . . . bfbe40d8 : . . . i bfbe40dc : 6 8 6 . bfbe40e0 : . . . . bfbe40e4 : . . . . bfbe40e8 : . . . . bfbe40ec : . . . . bfbe40f0 : . . . . bfbe40f4 : . . . . bfbe40f8 : . . . . bfbe40fc : . . . . bfbe4100 : . . . . bfbe4104 : . . . . bfbe4108 : . . . . bfbe410c : . . . . bfbe4110 : . . . . bfbe4114 : . . . . bfbe4118 : . . . . bfbe411c : . . . . bfbe4120 : . . . . bfbe4124 : . . . . bfbe4128 : . . . . bfbe412c : . . . . bfbe4130 : . . . . bfbe4134 : . . . . bfbe4138 : . . . . bfbe413c : . . . . bfbe4140 : . . . . bfbe4144 : . . . . bfbe4148 : . . . . bfbe414c : . . . . bfbe4150 : . . . . bfbe4154 : . . . . bfbe4158 : . . . . bfbe415c : . . . . bfbe4160 : . . . . bfbe4164 : . . . . bfbe4168 : . . . . bfbe416c : . . . . bfbe4170 : . . . . bfbe4174 : . . . . bfbe4178 : . . . . bfbe417c : . . . . bfbe4180 : . . . . bfbe4184 : . . . . bfbe4188 : . . . . bfbe418c : . . . . bfbe4190 : . . . . bfbe4194 : . . . . bfbe4198 : . . . . bfbe419c : . . . . bfbe41a0 : . . . . bfbe41a4 : . . . . bfbe41a8 : . . . . bfbe41ac : . . . . bfbe41b0 : . . . . bfbe41b4 : . . . . bfbe41b8 : . . . . bfbe41bc : . . . . bfbe41c0 : . . . . bfbe41c4 : . . . . bfbe41c8 : . . . . bfbe41cc : . . . . bfbe41d0 : . . . . bfbe41d4 : . . . . bfbe41d8 : . . . . bfbe41dc : . . . . bfbe41e0 : . . . . bfbe41e4 : . . . . bfbe41e8 : . . . . bfbe41ec : . . . . bfbe41f0 : . . . . bfbe41f4 : . . . . bfbe41f8 : . . . . [root@hackerschool matphone]# bfbe3f30에 위치하고 있네요! 이제 이 값을 바꿉시다~ ptrace(PTRACE_POKEDATA, pid, 0xbfe60ad0, 0x41414141); 참 간단하죠 전체 소스는.. #include #include int main(int argc, char *argv[]) { struct user_regs_struct regs; int ret, pid, i, j; pid = atoi(argv[1]); ret = ptrace(PTRACE_ATTACH, pid, 0, 0); printf("return : %d\n", ret); ptrace(PTRACE_GETREGS, pid, 0, ®s); printf("stack = %p\n", regs.esp); unsigned int data; unsigned char data2[4]; for(i=0; i<300; i++) { data = ptrace(PTRACE_PEEKDATA, pid, regs.esp+i*4, 0); memcpy(&data2, &data, 4); printf("%08x : ", regs.esp+i*4); for(j=0; j<4; j++){ if(isprint(data2[j])) printf("%c ", data2[j]); else printf(". "); } printf("\n"); } ptrace(PTRACE_POKEDATA, pid, 0xbfe60ad0, 0x41414141); ptrace(PTRACE_DETACH, pid, 0, 0); } 이제 이 코드를 실행한 후 터미널1을 보면.. ... mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung mung AAAA mung AAAA mung AAAA mung mung이 AAAA로 바뀌었네요!! 이렇게해서 ptrace의 기본 기능을 알아보았습니다. ptrace를 잘 활용하면 gdb와 같은 디버거를 직접 만들거나, 혹은 shellcode를 다른 프로세스를 injection 할 수도 있겠죠~ 과거에 이 ptrace를 이용한 로컬권한획득 취약점도 유행했었고요 이건 다음에 기회가 되면..~~ 다뤄보도록 하죠 이상으로 마치겠습니다.. ㅎㅎ