18 April 2019 / POSTS

Vtable Overwrite

0x0b Vtable Overwirte

안녕하세요. Joel입니다.

오늘은 Vtable Overwrite에 대해 알아보도록 하겠습니다.

What is Virtual Method?

Vtable에 대한 이해를 하기 위해서는 먼저, 가상함수가 무엇인지부터 알아야 합니다.

여기서 상속, 다형성 등 모든 개념들을 다 살펴볼 수는 없습니다.

간단히 필요 부분만 살펴보고 넘어갈 텐데, 모르는 부분은 직접 찾아서 공부해보시기 바랍니다.

가상함수는 한마디로 다형성을 위해 씁니다.

예를 들어 다음과 같은 클래스가 있다고 칩시다.

#include <stdio.h>

class Unit {
public:
	void Sound()
	{
		printf("Unit!\n");
	}

};

class Marine : public Unit {
public:
	void Sound() {
		printf("You wanna piece of me, boy?\n");
	}

};

class Firebat : public Unit {
public:
	void Sound() {
		printf("Need a light?\n");
	}

};

int main() {

	Unit * unit = new Unit;
	Marine * marine = new Marine;
	Firebat * firebat = new Firebat;

	unit->Sound();

	unit = marine;
	unit->Sound();

	unit = firebat;
	unit->Sound();

}

위와 같이 코드를 짜고 실행시키면 마린과 파이어뱃은 각자의 대사를 말할 것 같지만, 다음과 같이 출력됩니다.

예상과는 다르죠?

이번에는 다음과 같이 virtual 키워드를 사용하여 가상함수로 코드를 수정했습니다.

#include <stdio.h>

class Unit {
public:
	virtual void Sound()
	{
		printf("Unit!\n");
	}

};

class Marine : public Unit {
public:
	virtual void Sound() {
		printf("You wanna piece of me, boy?\n");
	}

};

class Firebat : public Unit {
public:
	virtual void Sound() {
		printf("Need a light?\n");
	}

};

int main() {

	Unit * unit = new Unit;
	Marine * marine = new Marine;
	Firebat * firebat = new Firebat;

	unit->Sound();

	unit = marine;
	unit->Sound();

	unit = firebat;
	unit->Sound();

}

이 코드를 실행하면 다음과 같이 됩니다.

virtual만 붙였을 뿐인데 처음 예상했던 대로 동작이 되네요.

즉, 이 가상함수라는 것은 파생 클래스가 안전하게 재정의할 수 있는 것이라고 할 수 있습니다.

이를 우리가 동적 바인딩이라고도 하는데, 동적 바인딩은 실행할 함수의 주소가 컴파일 시에 결정되는 것이 아니라, 포인터로 호출할 때 그 주소가 결정됩니다.

좀 더 정확하게는 호출 시에 정해진다라기보다 컴파일 시에 미리 가상함수 테이블을 만들어두고 거기에 호출하고자 하는 함수를 넣어두는 형태입니다.

이 가상함수 테이블이 바로 vtable입니다.

그래서 실행이 되면 객체의 vtable을 찾아가서 호출할 함수의 번지를 찾아가는 로직이죠.

지금까지 설명한 내용을 도식화하면 다음과 같습니다.

이번엔 아래 코드를 가지고 vtable부터 overwrite를 살펴보도록 하겠습니다.

#include <stdio.h>
#include <cstring>
#include "windows.h"
#include <iostream>

#pragma warning (disable:4996)
#define _CRT_SECURE_NO_WARNINGS
using namespace std;

class Book {
private:
	char name[100];
	int page;
public:
	Book(const char * _name, int _page) {
		strcpy(name, _name);
		page = _page;
	}
	virtual void setName(char * input) {
		char * buf = (char *)malloc(20);
		strncpy(buf, input, 19);
		printName(buf);
		getName();
	}
	virtual char * getName() {
		return name;
	}
	virtual void printName(char * buf) {
		printf("%s\n", buf);
	}

};

int main(int argc, char * argv[]) {

	static char contents[1000] = { 0, };
	static Book mybook("Windows_Hacking", 1);
	printf("object addr : 0x%08x\n", &mybook);
	printf("object vtable addr : 0x%08p\n", mybook);
	printf("buf addr : %08x\n", &contents);

	FILE * f = fopen(argv[1], "r");
	fgets(contents, 1500, f);
	mybook.setName(contents);
	return 0;
}

디버거로 vtable을 따라가 보도록 하겠습니다.