pwntools와 pwndbg를 사용하며 공부하는 내용을 계속 업데이트 할 예정입니다
Reference : Dreamhack - [Tool: pwntools]

# pwntools

🔎 pwntools란?

: 시스템 해킹을 수행하며 자주 사용하는 함수들을 구현 해놓은 파이썬 모듈

🔧 pwntools 설치 & import

  
# pwntools 설치
pip3 install pwntools # python 3.X
pip install pwntools  # python 2.X

  
# pwntools import
>>> from pwn import *

⚡ 사용법

1. process & remote

process : 로컬 바이너리를 대상으로 익스플로잇 할 때 사용하는 함수(local)
remote : 원격 서버를 대상으로 익스플로잇 할 때 사용하는 함수(nc)

  
# 'test' 로컬 바이너리를 대상으로 익스플로잇 수행
p = process('./test')

# 'test.com'의 123포트에서 실행 중인 프로세스를 대상으로 익스플로잇 수행
p = remote('test.com', 123)

2. send

send : 데이터를 프로세스에 전송하기 위해 사용

  
# 프로세스 p에 'A'를 입력
p.send('A')

# 프로세스 p에 'A'+'\n'을 입력
p.sendline('A')

# 프로세스 p가 'hello'를 출력하면, 'A'를 입력
p.sendafter('hello', 'A')

# 프로세스 p가 'hello'를 출력하면, 'A'+'\n'을 입력
p.sendlineafter('A')

3. recv

recv : 프로세스에서 데이터를 받기 위해 사용

  
# 프로세스 p가 출력하는 데이터를 최대 8바이트까지 받아서 data에 저장
data = p.recv(8)

# 프로세스 p가 출력하는 데이터를 개행문자를 만날 때까지 받아서 data에 저장
data = p.recvline()

# 프로세스 p가 출력하는 데이터를 8바이트만 받아서 data에 저장. 해당 바이트만큼의 데이터를 받지 못하면 계속 기다림
data = p.recvn(8)

# 프로세스 p가 출력하는 데이터가 'hello'를 출력할 때까지 받아서 data에 저장
data = p.recvuntill('hello')

# 프로세스 p가 출력하는 데이터를 프로세스가 종료될 때까지 받아서 data에 저장
data = p.recvall()

4. packing & unpacking

packing : little-endian의 바이트 배열로 변경하는 함수
p32 : 32bit 패킹
p64 : 64bit 패킹
unpacking : little-endian의 바이트 배열을 unpack하는 함수
u32 : 32bit 언패킹
u64 : 64bit 언패킹

  
# packing
>>> str32 = 0x41424344
>>> str64 = 0x4142434445464748
>>>
>>> print(p32(str32))
b'DCBA'
>>> print(p64(str64))
b'HGFEDCBA'
>>>
>>> # unpacking
>>> str32 = "ABCD"
>>> str64 = "ABCDEFGH"
>>>
>>> print(hex(u32(str32)))
0x44434241
>>> print(hex(u64(str64)))
0x4847464544434241

5. interactive

interactive() : remote 또는 process로 연결 후 셸을 획득하거나, 익스플로잇의 특정 상황에 직접 입력을 주면서 출력을 확인하고 싶을 때 사용하는 함수

  
p.interactive()

6. ELF

: ELF 헤더에 기록되어 있는 각종 정보를 참조하는 함수

  
e = ELF('./test')

# ./test에서 puts()의 PLT 주소를 찾아 저장
puts_plt = e.plt['puts']

# ./test에서 read()의 GOT 주소를 찾아 저장
read_got = e.got['read']

7. context.log

: 익스플로잇을 디버깅할 때 디버그의 편의를 돕는 로깅 기능의 함수.

  
# 에러만 출력
context.log_level = 'error'

# 프로세스와 익스플로잇 간에 오가는 모든 데이터를 화면에 출력
context.log_level = 'debug'

# 비교적 중요한 정보들만 출력
context.log_level = 'info'

8. context.arch

: pwntools는 셸코드 생성, 어셈블, 디스어셈블 등의 기능이 대상의 아키텍처에 영향을 받는데, 이 아키텍처 정보를 프로그래머가 지정할 수 있게 하는 함수

  
# x86-64 아키텍처
context.arch = "amd64"

# x86 아키텍처
context.arch = "i386"

# arm 아키텍처
context.arch = "arm"

9. shellcraft

: 공격에 필요한 셸코드를 쉽게 꺼내쓸 수 있는 기능

pwnlib.shellcraft 공식 문서에서 아키텍처별 함수를 확인할 수 있음

10. asm

asm() : 어셈블 기능으로, 미리 아키텍처 지정 필요

11. slog

: 주소 값과 같은 hex 값을 출력할 때 함수를 정의하여 사용.

  
def slog(n, m): return success(": ".join([n, hex(m)]))

n : 문자열
m : int형 hex 값

# pwndbg

사용법

gdb file : 디버깅 시작
readelf file : ELF 확인
- Entry point address(진입점, EP) : ELF 실행 시 진입점의 값부터 프로그램 실행
start : 진입점부터 프로그램 분석
gdb 명령어 축약
- b : break
- c : continue
- r : run
- si : step into (서브루틴의 내부로 들어감)
- ni : next instruction (서브루틴의 내부로 들어가지 않음)
- i : info
- k : kill
- pd : pdisas
disassemble func : 해당 함수가 반환될 때까지 디스어셈블하여 보여줌
- u /nearpc : 가독성 있게 보여줌
finish : step into로 들어간 함수 내부에서 함수의 끝까지 한 번에 실행
x : 메모리 주소 검사(특정 주소에서 원하는 길이만큼의 데이터를 원하는 형식으로 인코딩하여 볼 수 있음)
- Format letters
  - o : 8진법
  - x : 16진법
  - z : 16진법, 왼쪽에 0으로 패딩
  - d : 10진법
  - u : unsigned 10진법
  - t : 2진법
  - f : float
  - a : 주소
  - i : 명령어
  - c : ASCII 바이트
  - s : 문자열
- Size letters
  - b : 1byte
  - h : 2byte(halfword)
  - w : 4byte(word)
  - g : 8byte(giant)
tele : 메모리 덤프 기능
vmap : 가상 메모리의 레이아웃을 보여줌
catch : 특정 이벤트가 발생했을 때, 프로세스를 중지시킴
e.g.) pwndbg> catch syscall arch_prctl
watch : 특정 주소에 저장된 값이 변경되면 프로세스를 중단시킴
e.g.) pwndbg> watch *(0x7ffff7d7f740+0x28)
b : breakpoint 설정
e.g.) pwndbg> b*main : main 함수에 중단점 설정
bt : 스택 프레임의 백트레이스 출력

[pwnable] pwntools & pwndbg