~/bl4nk - tools

가상머신에 IDA MCP Server 구축하고 LLM 연결하기 (feat. Gemini CLI)

2025-12-10T00:00:00+00:00

0x00. Introduction

MCP는 Model Context Protocol으로 AI가 다른 시스템과 통신하기 위한 규약이다. 이 MCP를 이용하면 LLM이 PC나 데이터베이스와 같은 저장소, 검색 엔진이나 계산기같은 도구 등과 연결되어 복잡하고 가치있는 작업을 수행할 수 있다. 비유적으로는 AI를 위한 USB-C 포트라는 표현이 자주 쓰인다.

hex-rays 공식 플러그인도 있지만 star가 더 많은 github을 기준으로 작성했다. 또한 agent에게 작업을 맡겨두고, 나 또한 자유롭게 분석을 병행할 수 있도록 가상머신을 사용하여 MCP 서버를 구축하는 환경을 기준으로 작성했다.

0x01. Install

Guest

앞서 언급했듯이 MCP 서버를 가상머신 내에 구성할 것이다. IDA를 실행할 수 있는 OS (MacOS, Linux, Windows) 중 아무거나 환경을 구축하면 되는데, 나는 Windows 10 x64 환경을 구축했다.

Python

3.11 혹은 더 높은 버전이 필요하다. 보통 IDA를 설치할 때 python이 없으면 같이 설치되는데, 최신 기준으로는 모르겠으나 내 IDA 버전에서는 3.10을 설치한다. 어차피 가상머신 안에서 돌릴 것이기 때문에 미리 설치해두는게 훨씬 편하다.

개인적으로 C:\Python\Python[VER]에 설치하는 편인데, 주의할 것은 시스템 환경변수 PATH에 해당 경로가 추가되어 있어야 한다. 내 기준으로는 다음과 같다.

C:\Python\Python314\
C:\Python\Python314\Scripts\

IDA Pro

Github에서는 IDA Pro 8.3 버전이나 그 이상 혹은, 9 버전을 추천한다. 그리고 IDA Free는 지원되지 않는다고 되어있는데, 지인의 정보에 따르면 개인 플랜인 IDA Home에서도 지원된다고 한다.

설치 시 python 설치를 해제해야 이미 설치되어 있는 python을 찾기 때문에 꼭 해제해주어야 한다.

IDA MCP

자세한 MCP 서버 설치 방법은 github을 참고하면 된다.

pip uninstall ida-pro-mcp
pip install https://github.com/mrexodia/ida-pro-mcp/archive/refs/heads/main.zip

ida-pro-mcp --install

설치 후 IDA 메뉴에서 Edit -> Plugins -> MCP를 선택했을 때 Output에 다음과 같이 나오면 성공이다.

[MCP] Server started:
  Streamable HTTP: http://127.0.0.1:13337/mcp
  SSE: http://127.0.0.1:13337/sse
  Config: http://127.0.0.1:13337/config.html

127.0.0.1로 열리기 때문에 호스트와 통신을 위해서 포트 포워딩을 설정해도 되지만 그냥 다음 명령어를 실행해도 된다.

ida-pro-mcp --transport http://0.0.0.0:13337/sse

Host

사실 AI 어플리케이션도 게스트에 설치하면 간단하다. 하지만 호스트에서 어차피 어플리케이션을 자주 쓰기도 하고 이게 조금 더 빠른 것 같아 게스트와 호스트를 분리했다.

호스트는 Windows 11 + WSL이고, WSL에 설치하는 것을 기준으로 작성했다.

Gemini CLI

Github에서는 Claude Desktop을 기준으로 데모 영상이 제공되는데, 여러가지 이유로 Gemini를 구독 중이기 때문에 Gemini CLI를 설치해야 한다.

# npm install
curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.40.1/install.sh | bash

# Node.js install; require version > 20
nvm install node

# Gemini CLI install
npm install -g @google/gemini-cli

마찬가지로 게스트와 통신을 위해서 ~/.gemini/settings.json 파일에 MCP 서버의 정보를 추가해주어야 한다.

{
  "mcpServers": {
    "ida-vm": {
      "url": "http://xxx.xxx.xxx.xxx:13337/sse"
    }
  }
}

설치와 설정이 잘 되었다면 gemini 명령어를 실행했을 때 다음과 같이 Using: 1 MCP server라는 로그를 볼 수 있다.


   ░░░            ░░░░░░░░░  ░░░░░░░░░░ ░░░░░░   ░░░░░░ ░░░░░ ░░░░░░   ░░░░░ ░░░░░
     ░░░         ░░░     ░░░ ░░░        ░░░░░░   ░░░░░░  ░░░  ░░░░░░   ░░░░░  ░░░
       ░░░      ░░░          ░░░        ░░░ ░░░ ░░░ ░░░  ░░░  ░░░ ░░░  ░░░    ░░░
 ███     ░░░    █████████░░██████████ ██████ ░░██████░█████░██████ ░░█████ █████░
   ███ ░░░     ███░    ███░███░░      ██████  ░██████░░███░░██████  ░█████  ███░░
     ███      ███░░░     ░░███░░      ███░███ ███ ███░░███░░███░███  ███░░  ███░░
   ░░░ ███    ███ ░░░█████░██████░░░░░███░░█████  ███░░███░░███░░███ ███░░░ ███░░░
     ███      ███      ███ ███        ███   ███   ███  ███  ███   ██████    ███
   ███         ███     ███ ███        ███         ███  ███  ███    █████    ███
 ███            █████████  ██████████ ███         ███ █████ ███     █████  █████

Tips for getting started:
1. Ask questions, edit files, or run commands.
2. Be specific for the best results.
3. Create GEMINI.md files to customize your interactions with Gemini.
4. /help for more information.

 Using: 1 MCP server
╭──────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ >   Type your message or @path/to/file                                                               │
╰──────────────────────────────────────────────────────────────────────────────────────────────────────╯
 ~/mcp                          no sandbox (see /docs)                           Auto (Gemini 3) /model

또한 /mcp 명령어를 통해서 어떤 기능이 있는지 확인할 수 있다.

> /mcp

Configured MCP servers:

🟢 ida-vm - Ready (71 tools, 15 resources)
  Tools:
  - analyze_funcs
  - analyze_strings
  - apply_types
  ...
  Resources:
  - idb_metadata_resource (ida://idb/metadata) [application/json]
  - idb_segments_resource (ida://idb/segments) [application/json]
  - idb_entrypoints_resource (ida://idb/entrypoints) [application/json]
  ...

0x02. Prompt Engineering

CTF를 준비할 때에는 미처 확인하지 못한 부분인데, 당연하게도 더 나은 분석 결과를 위해 프롬프트가 권장된다. 기본적으로 제시된 프롬프트는 다음과 같다.

Your task is to analyze the open file in IDA Pro. You can use the MCP tools to retrieve information. In general use the following strategy:

- Inspect the decompilation and add comments with your findings
- Rename variables to more sensible names
- Change the variable and argument types if necessary (especially pointer and array types)
- Change function names to be more descriptive
- If more details are necessary, disassemble the function and add comments with your findings
- NEVER convert number bases yourself. Use the `int_convert` MCP tool if needed!
- Do not attempt brute forcing, derive any solutions purely from the disassembly and simple python scripts
- Create a report.md with your findings and steps taken at the end
- When you find a solution, prompt to user for feedback with the password you found

다른 유저 (@can1357)가 공유한 프롬프트는 다음과 같다.

Your task is to create a complete and comprehensive reverse engineering analysis. Reference AGENTS.md to understand the project goals and ensure the analysis serves our purposes.

Use the following systematic methodology:

1. **Decompilation Analysis**
   - Thoroughly inspect the decompiler output
   - Add detailed comments documenting your findings
   - Focus on understanding the actual functionality and purpose of each component (do not rely on old, incorrect comments)

2. **Improve Readability in the Database**
   - Rename variables to sensible, descriptive names
   - Correct variable and argument types where necessary (especially pointers and array types)
   - Update function names to be descriptive of their actual purpose

3. **Deep Dive When Needed**
   - If more details are necessary, examine the disassembly and add comments with findings
   - Document any low-level behaviors that aren't clear from the decompilation alone
   - Use sub-agents to perform detailed analysis

4. **Important Constraints**
   - NEVER convert number bases yourself - use the int_convert MCP tool if needed
   - Use MCP tools to retrieve information as necessary
   - Derive all conclusions from actual analysis, not assumptions

5. **Documentation**
   - Produce comprehensive RE/*.md files with your findings
   - Document the steps taken and methodology used
   - When asked by the user, ensure accuracy over previous analysis file
      - Organize findings in a way that serves the project goals outlined in AGENTS.md or CLAUDE.md

윈도우 커널 디버깅

2025-04-25T00:00:00+00:00

0x00. Introduction

Windows 커널을 분석하기 위한 환경을 구축하고 유용한 명령어를 정리한 포스트이다.

0x01. Setup

Host (Debugger)

예전에는 Windows SDK, Virtual KD 등 편의성을 위해 설치 과정이 복잡했었는데, 이제는 WinDbg가 정식 출시되며 많이 간단해졌다. Microsoft Store에 가서 WinDbg를 설치하고 실행하면 끝이다.

상단 메뉴의 File -> Start Debugging -> Attach to kernel에서 COM을 선택한 뒤 다음과 같이 설정한다.

설정을 완료하고 오른쪽 하단의 “OK“를 누르면 디버깅 대기 상태에 들어간다.

Guest (Debuggee)

디버깅 대상은 다양한 프로그램을 통해 구축할 수 있는데 이번 포스트에서는 VMware를 통해 구축한 경우 설정 방법에 대해 기술한다.

먼저 대상 vm을 켜고 powershell을 관리자 권한으로 실행한 후 다음 명령을 실행한다.

bcdedit /debug on
bcdedit /dbgsettings serial debugport:1 baudrate:115200

이후 vm을 종료하고 상단 메뉴에서 VM -> Settings -> Add를 선택해서 Serial Port를 추가한다.

추가된 Serial Port를 다음과 같이 설정한다. 참고로 “The other end is an application“이 아닌 “The other end is a virtual machine“을 선택해도 연결은 되는 것 같다.

마지막으로 대상 vm을 실행해주면 host와 연결된다.

0x02. Commands

Modules

`lm` (List Modules)

로드된 모듈을 출력하거나 특정 모듈의 정보를 확인할 수 있다.

kd> lm
kd> lm m fltmgr
kd> lm Dvm fltmgr

참고로 kernel mode 영역은 fffff800'00000000같이 높은 주소에 로드된다.

`x` (eXamine symbols)

심볼을 탐색하거나 특정 심볼을 찾는다.

kd> x win32k!
kd> x win32k!vStr*

Symbols

`!sym noisy` (Noisy symbol loading)

심볼 로딩 과정을 자세하게 출력한다. 로딩 관련 문제가 있을 때 디버깅하기 좋다.

kd> !sym noisy

`!sympath` (Set symbol path)

심볼 서버 또는 로컬에 심볼 파일들이 저장된 경로를 설정한다.

kd> !sympath SRV*C:\symbols*https://msdl.microsoft.com/download/symbols
kd> !sympath C:\symbols

`.reload` (Reload symbols)

심볼을 다시 로드한다. /f 옵션을 주면 강제로 심볼을 로드한다.

kd> .reload
kd> .reload /f CLFS

Memory

`db` `dw` `dd` `dq` (Display memory)

메모리를 각각 byte, word, double word, quad word 단위로 출력해준다. 뒤에 L[Length]를 입력해서 출력할 개수를 지정하거나, 출력할 마지막 주소를 입력해서 범위를 지정할 수 있다. 혹은 레지스터 이름을 입력해서 레지스터에 저장된 값을 읽어와 사용할 수도 있다.

kd> db [Address]
kd> dw [Address] L[Length]
kd> dd [Address] [Address]
kd> dq rsp

`ds` `du` `dc` (Display string)

메모리를 각각 ascii, unicode 문자열로 출력해준다. dc의 경우 hex 값과 문자열을 동시에 출력해준다.

kd> ds [Address]
kd> du [Address]

`dps` (Display Pointers and Symbols)

메모리에 저장된 포인터를 심볼 정볼르 기반으로 해석해서 출력해준다.

kd> dps [Address]

`u` `ub` `uf` (Unassemble)

메모리 안에 있는 명령어를 어셈블리로 해석해서 출력해준다. 기본적인 u를 어셈블리 코드를 입력한 주소의 역방향으로 출력해주는 ub와 같이 쓰면 앞뒤 instruction을 한번에 볼 수 있어서 편리하다.

uf는 함수 전체를 출력해주는데, 함수의 처음이 아니라 중간 아무 위치나 입력해도 된다. 단, 심볼이 잘 로딩되어 있어야 한다.

kd> u rip
kd> ub rip
kd> uf [Address]

Information

`analyze -v` (Analyze crash dump)

Crash가 발생했을 때 대략적인 원인과 레지스터들의 상태 등 다양한 정보를 출력해준다.

kd> !analyze -v

`k` `kv` (Stack trace)

현재 쓰레드의 call stack을 출력한다. kv 명령어의 경우 전달된 인자의 값을 함께 출력해준다.

kd> k
kd> kv

`!process` `!thread` (Process / Thread information)

프로세스의 정보를 출력해준다. !process 단독으로 사용했을 때 현재 프로세스의 정보를 자세하게 출력해주고, 뒤에 0 0을 추가하면 모든 프로세스의 정보를 간단하게 출력해준다. 특정 프로세스의 정보를 확인하고 싶을 때는 해당 프로세스의 주소를 입력해주면 된다.

!thread는 쓰레드의 정보를 출력해주는데, 단독으로 사용했을 때 현재 쓰레드의 정보를 출력해주고, 특정 쓰레드의 주소를 입력하면 해당 쓰레드의 정보를 출력해준다.

kd> !process
kd> !process 0 0
kd> !process [Address]
kd> !thread
kd> !thread [Address]

Debug

`bp` `ba` (Break Point)

지정한 주소나 심볼을 실행할 때 흐름을 멈추는 명령이다. ba 명령어를 이용하여 특정 메모리를 읽기 / 쓰기 / 실행할 때 멈추도록 할 수도 있다.

kd> bp 0x401000
kd> bp ntdll!NtCreateFile
kd> ba [r/w/x/rw][Length] [Address]

`p` `t` `pt` `g` `pc` (Flow control)

다음 명령어를 실행하는 p(ni), 다음 명령어를 실행하되 함수라면 내부로 진입하는 t(ni), 함수가 끝날 때까지 실행하는 pt, 다음 브레이크 포인트까지 실행하는 g, 특정 주소까지 실행하는 pc등 다양한 디버깅 흐름 제어 명령어들이 있다.

kd> p
kd> t
kd> pt
kd> g
kd> pc [Address]

pwnable 환경 설정하기

2025-01-15T00:00:00+00:00

0x00. Introduction

새 데스크탑을 구매하고 드라이버 이슈 등으로 자주 환경설정을 해보니 작성해두고 참고하면 좋을 것 같다는 생각이 들었다. 설치 환경은 Windows 11 + Ubuntu(WSL)이므로 다른 배포판을 사용하려면 변경이 필요하다.

또 있으면 좋을법한 설정이나 도구가 있으면 추가할 예정이다.

0x01. Windows

WSL

Turn Windows Features On or Off(Windows 기능 켜기/끄기)에서 다음 항목 체크

재시작 후 터미널에서 다음 명령어 실행

# WSL 설치
wsl --install

# 설치 가능한 패키지 및 버전 확인
wsl --list --online

# 특정 버전
wsl --install -d Ubuntu-[xx.xx]
# 가장 최신 버전
wsl --install -d Ubuntu

Visual Studio Code

테마 설정

원하는 테마 설치 후 ctrl + shift + p -> Preferences: Color Theme -> Browse Additional Color Themes...로 선택한다.

단축키 설정

ctrl + shift + p -> Preferences: Open Keyboard Shortcuts(JSON)에 다음 내용을 붙여넣는다. 에디터와 터미널을 왔다갔다 하기에 편한 설정이다.

[
    {
        "key":     "ctrl+`",
        "command": "workbench.action.terminal.focus"
    },
    {
        "key":     "ctrl+`",
        "command": "workbench.action.focusActiveEditorGroup",
        "when":    "terminalFocus"
    }    
]

만약 여러 창을 왔다갔다 해야한다면 이게 더 편하다.

[
    {
        "key": "ctrl+`",
        "command": "workbench.action.focusNextGroup"
    }
]

VMware

Broadcom 공식 홈페이지에서 Register를 해야한다. 이 때 생각없이 대학교 메일을 썼더니 인증 메일이 안와서 한참 고생한 경험이 있으니 무난하게 gmail.com을 쓰도록 하자.

Login 후 Software -> VMware Cloud Foundation -> My Downloads를 선택
VMware Workstation Pro를 찾아서 원하는 release를 선택
I agree to the Terms and Conditions를 체크해야 다운로드 버튼이 토글되므로 주의

이후 나타나는 주소 입력창을 채워주고 다시 다운로드 버튼을 누르면 진짜 설치 완료!

IDA Free

x86/x86-64 아키텍처만 지원하긴 하지만 IDA를 무료로 사용할 수 있게 되었다. hex-rays 공식 홈페이지에서 Products -> IDA Free 선택 후 이메일 인증을 통해 라이센스를 받으면 된다.

지금은 괜찮은 모양인데, 속도가 너무 느려 본사인 벨기에 vpn을 이용하니 훨씬 빨랐던 경험이 있다.

shell:sendto

win + r 실행 창에서 shell:sendto를 입력하면 파일을 우클릭했을 때 send to(보내기)에 보이는 프로그램 목록을 등록할 수 있다.

예시로 IDA 바로가기를 만들어서 해당 폴더에 올려둔 뒤, 바이너리를 우클릭해서 send to(보내기)의 IDA를 선택하면 바로 바이너리를 분석할 수 있다. Windows 11부터는 Show more options(추가 옵션 표시)를 눌러야 보여서 조금 불편하긴 하지만 꽤나 유용하다.

레지스트리를 편집하면 Windows 10 메뉴로 돌아갈 수 있는 것 같은데 새 컴퓨터 느낌이 안나서 생략!

0x02. Linux

Packages

# initialize
sudo apt update
sudo apt upgrade -y

# oh my zsh
sudo apt install zsh git -y
sh -c "$(wget https://raw.githubusercontent.com/ohmyzsh/ohmyzsh/master/tools/install.sh -O -)"

# zsh plugins
git clone https://github.com/zsh-users/zsh-autosuggestions ${ZSH_CUSTOM:-~/.oh-my-zsh/custom}/plugins/zsh-autosuggestions
git clone https://github.com/zsh-users/zsh-syntax-highlighting.git ${ZSH_CUSTOM:-~/.oh-my-zsh/custom}/plugins/zsh-syntax-highlighting
sed -i 's/^plugins=(git)$/plugins=(git zsh-autosuggestions zsh-syntax-highlighting)/' ~/.zshrc
source .zshrc

# python packages
sudo apt install python3-pwntools -y

# one gadget
sudo apt install ruby -y
sudo gem install one_gadget

# gef
bash -c "$(wget https://gef.blah.cat/sh -O -)"

jekyll

# 의존 패키지 설치
sudo apt install ruby-full build-essential zlib1g-dev -y

# 사용하는 shell에 맞게 파일을 변경할 것
echo '# Install Ruby Gems to ~/.gems' >> ~/.zshrc
echo 'export GEM_HOME="$HOME/.gems"' >> ~/.zshrc
echo 'export PATH="$HOME/.gems/bin:$PATH"' >> ~/.zshrc
source ~/.zshrc

# jekyll 설치
gem install jekyll bundler

# github.io 레포지토리 등 jekyll 디렉토리에서 실행
cd fitbl4nk.github.io
bundle install

zola

# 가장 최신 버전의 zola 다운로드(https://github.com/getzola/zola/releases)
wget https://github.com/getzola/zola/releases/download/v0.20.0/zola-v0.20.0-x86_64-unknown-linux-gnu.tar.gz
rm zola-v0.20.0-x86_64-unknown-linux-gnu.tar.gz
sudo mv zola /usr/local/bin

# github.io 레포지토리 등 zola 디렉토리에서 실행
cd bl4nk.kr
zola serve

Docker

# Uninstall old versions
for pkg in docker.io docker-doc docker-compose docker-compose-v2 podman-docker containerd runc; do sudo apt-get remove $pkg; done

# Add Docker's official GPG key:
sudo apt-get update
sudo apt-get install ca-certificates curl
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

# Add the repository to Apt sources:
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu \
  $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}") stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update

# Install the Docker packages
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin -y

Config

# zsh
echo "export WIN=\"/mnt/c/Users/bl4nk\"" >> ~/.zshrc
echo "alias cdd=\"cd \$WIN\"" >> ~/.zshrc
echo "mkdir -m 700 -p \${SHELL_SESSION_DIR:=\${ZDOTDIR:-\$HOME}/.zsh_sessions}" >> ~/.zshrc
echo "HISTFILE=\$SHELL_SESSION_DIR/\$TERM_SESSION_ID.history" >> ~/.zshrc
echo "source \$ZSH/oh-my-zsh.sh" >> ~/.zshrc
echo "unsetopt inc_append_history share_history" >> ~/.zshrc
echo "unset HISTFILE" >> ~/.zshrc

# tmux
echo "setw -g mouse on" > ~/.tmux.conf

# github
git config --global user.email "bl4nk@XXXX.YYY"
git config --global user.name "bl4nk"

Pwntools로 GDB 디버깅 자동화하기

2024-05-31T00:00:00+00:00

0x00. Introduction

pwnable 문제를 풀 때 스크립트 작성을 위해 pwntools를 주로 사용하고, 디버깅을 위해 gdb를 주로 사용하게 된다. 일반적으로 프로세스를 생성하고 다른 터미널에서 gdb를 붙이는데, pwntools와 tmux를 이용해서 스크립트 내에서 이 작업을 자동화할 수 있다.

0x01. Debugging with pwntools

Spawning Process

BINARY = ""
LIBRARY = ""

# for remote
s = remote(server, port)
# for local
s = process(BINARY, env={"LD_PRELOAD" : LIBRARY})

리모트 환경은 remote, 로컬 환경은 process를 통해서 프로세스를 실행하고 연결할 수 있다. 특히 remote는 실제 서버에 연결할 때 뿐만 아니라 로컬에 설정한 docker에 연결할 때도 사용된다.

Open Debugger

pwntools에서 제공하는 gdb 모듈의 attach 함수를 이용해서 실행중인 프로세스에 디버거를 연결할 수 있다.

bp = {
    'main' : 0x555555555249,
    'end_of_main' : 0x5555555552d3,
    'foo' : 0x55555555566f,
}

gs = f'''
b *{bp['main']}
continue
'''

gdb.attach(s, gs)

이 때 두번째 인자에 gdb script를 넣을 수 있어서 breakpoint를 잡고 continue하는 과정도 자동화할 수 있다.

한편 docker 내부의 프로세스에도 pid를 통해 디버거를 연결할 수 있는데, 다음 스크립트를 사용하면 편리하다.

CONTAINER = ""

pid = os.popen(f"sudo docker top {CONTAINER} -eo pid,comm | grep {BINARY} | awk '{{print $1}}'").read()
gdb.attach(int(pid), gs, exe=BINARY)

이를 통해 로컬 환경과 리모트 환경의 격차를 최소화할 수 있어서 굉장히 유용하게 사용할 수 있다. 하지만 가끔 컨테이너 내부 권한과 외부 권한이 맞지 않아 에러가 발생할 수 있으니 잘 신경써줘야 한다(Permission Error 참고).

Set Terminal

연결한 디버거를 어디에 표시할지 설정이 필요하다. 간단하게 context 모듈의 terminal 변수를 통해서 설정해줄 수 있는데, 마음에 드는 모양을 선택하면 된다.

context.terminal = ['tmux', 'splitw', '-h']     # 현재 창을 세로로 분리
context.terminal = ['tmux', 'splitw', '-v']     # 현재 창을 가로로 분리
context.terminal = ['tmux', 'splitw', '-hf']    # 전체 창을 세로로 분리
context.terminal = ['tmux', 'splitw', '-vf']    # 전체 창을 가로로 분리

tmux를 쓰는게 꽤 깔끔해서 채용중인데, 다만 주의할 것이 꼭 tmux 세션을 열고 스크립트를 실행해야 한다(Tmux Session Error 참고).

0x02. Conclusion

결과적으로 다음 스크립트를 exploit.py 포맷처럼 사용하고 있다.

from pwn import *
from pwnlib.util.packing import p32, p64, u32, u64
from time import sleep
from argparse import ArgumentParser

BINARY = ""
LIBRARY = ""
CONTAINER = ""
code_base = 0x555555554000
bp = {
    'main' : code_base + 0x16ae,
}

gs = f'''
b *{bp["main"]}
continue
'''
context.terminal = ['tmux', 'splitw', '-hf']

def main(server, port, debug):
    if(port):
        s = remote(server, port)
        if debug:
            pid = os.popen(f"sudo docker top {CONTAINER} -eo pid,comm | grep {BINARY} | awk '{{print $1}}'").read()
            gdb.attach(int(pid), gs, exe=BINARY)
    else:
        s = process(BINARY, env={"LD_PRELOAD" : LIBRARY})
        if debug:
            gdb.attach(s, gs)
    elf = ELF(BINARY)
    lib = ELF(LIBRARY)

    s.interactive()

if __name__=='__main__':
    parser = ArgumentParser()
    parser.add_argument('-s', '--server', type=str, default="0.0.0.0")
    parser.add_argument('-p', '--port', type=int)
    parser.add_argument('-d', '--debug', type=int, default=1)
    args = parser.parse_args()
    main(args.server, args.port, args.debug)

main에 세 개의 인자가 전달되는데, 먼저 -p 혹은 --port 인자가 있으면 remote를 이용해서 실행하고, 없으면 로컬에서 디버깅을 하게끔 구성했다.

➜  python3 exploit.py -p 7777
➜  python3 exploit.py --port 7777

그리고 디버깅이 더 이상 필요 없을 경우 -d 혹은 --debug 인자에 0을 전달해주면 디버깅 없이 실행하게 된다.

➜  python3 exploit.py -d 0
➜  python3 exploit.py --debug 0

마지막으로 실제 서버에 payload를 전송하기 위해서는 -s 혹은 --server 인자에 서버 도메인이나 IP를 전달해주면 되는데, 이 때 디버깅은 꺼주는게 좋다.

➜  python3 exploit.py -s server.com -d 0
➜  python3 exploit.py --server x.x.x.x --debug 0

참고로, from pwn import *을 해놓고 두 번째 줄에서 굳이 또 packing 함수들을 import 하는 이유는 vscode에서 이상하게 packing 함수들을 못찾아서 underline이 생기기 때문에 단순히 보기 좋으라고 추가한 것이다.

0x03. Troubleshooting

Permission Error

GEF for linux ready, type `gef' to start, `gef config' to configure
93 commands loaded and 5 functions added for GDB 12.1 in 0.00ms using Python engine 3.10
Reading symbols from challenge...
(No debugging symbols found in challenge)
Attaching to program: /home/user/challenge, process 165353
Could not attach to process.  If your uid matches the uid of the target
process, check the setting of /proc/sys/kernel/yama/ptrace_scope, or try
again as the root user.  For more details, see /etc/sysctl.d/10-ptrace.conf
ptrace: Operation not permitted.
/home/user/challenge/165353: No such file or directory.
/tmp/pwnlib-gdbscript-kd8sfrgq.gdb:4: Error in sourced command file:
The program is not being run.
gef➤

Docker 내부의 프로세스에 붙어서 디버깅을 할 때 위와 같은 에러가 발생할 때가 있다. 자세히 보면 권한 문제인데, 프로세스 목록을 출력해보면 다음과 같다.

➜  ~ ps -ef | grep challenge
root      165261  165241  0 16:01 ?        00:00:00 /bin/sh -c socat TCP-LISTEN:8794,reuseaddr,fork EXEC:/home/ctf/challenge
root      165284  165261  0 16:01 ?        00:00:00 socat TCP-LISTEN:8794,reuseaddr,fork EXEC:/home/ctf/challenge
root      165521  165284  0 16:05 ?        00:00:00 socat TCP-LISTEN:8794,reuseaddr,fork EXEC:/home/ctf/challenge
root      165524  165521  0 16:05 ?        00:00:00 /home/ctf/challenge
user      165545   66182  0 16:05 pts/9    00:00:00 /usr/bin/gdb -q challenge 165524 -x /tmp/pwnlib-gdbscript-webj6wb7.gdb

이렇게 python 스크립트로 열린 디버거는 user 권한으로 실행되는데, 타겟 프로세스인 challenge는 root 권한으로 실행되었다. 이 경우 디버거 연결에 실패하며, Dockerfile에서 다음 내용을 추가해줘야 한다.

RUN /usr/sbin/useradd -u 1000 ctf
USER ctf

이 때 주의할 것은 uid가 python 스크립트를 실행시키는 user와 같아야 한다는 것이다. 예를 들어 Ubuntu 24.04의 경우 기본적으로 ubuntu라는 계정이 uid 1000을 선점하고 있어 새로운 계정의 uid 값이 1001이 되어 에러를 유발할 수 있다.

Tmux Session Error

처음에 스크립트를 실행했을 때 발생한 오류이다.

➜  python3 exploit.py
[+] Starting local process './challenge': pid 3886107
[*] running in new terminal: ['/usr/bin/gdb', '-q', './challenge', '3886107', '-x', '/tmp/pwnjmmmxq9k.gdb']
Traceback (most recent call last):
  File "/home/user/exploit.py", line 133, in <module>
    main()
  File "/home/user/exploit.py", line 60, in main
    gdb.attach(s, gs)
  File "/home/user/.local/lib/python3.10/site-packages/pwnlib/context/__init__.py", line 1581, in setter
    return function(*a, **kw)
  File "/home/user/.local/lib/python3.10/site-packages/pwnlib/gdb.py", line 1100, in attach
    gdb_pid = misc.run_in_new_terminal(cmd, preexec_fn = preexec_fn)
  File "/home/user/.local/lib/python3.10/site-packages/pwnlib/util/misc.py", line 413, in run_in_new_terminal
    pid = int(out)
ValueError: invalid literal for int() with base 10: b''
[*] Stopped process './challenge' (pid 3886107)

gdb.attach(s, gs)에서 발생한 자료형 관련 에러라서 pid 데이터 타입이 안맞는건가 싶어서 한참을 헤맸는데 아예 다른 문제였다. 위 스크립트를 실행하면 tmux 세션에 터미널을 생성해서 스크립트를 실행하게 되는데 존재하는 tmux 세션이 없어서 발생하는 에러였다. 나는 알아서 세션 생성해서 연결할 줄 알았지…

➜  tmux
➜  python3 exploit.py

~/bl4nk - tools

가상머신에 IDA MCP Server 구축하고 LLM 연결하기 (feat. Gemini CLI)

0x00. Introduction

0x01. Install

Guest

Python

IDA Pro

IDA MCP

Host

Gemini CLI

0x02. Prompt Engineering

윈도우 커널 디버깅

0x00. Introduction

0x01. Setup

Host (Debugger)

Guest (Debuggee)

0x02. Commands

Modules

lm (List Modules)

x (eXamine symbols)

Symbols

!sym noisy (Noisy symbol loading)

!sympath (Set symbol path)

.reload (Reload symbols)

Memory

db dw dd dq (Display memory)

ds du dc (Display string)

dps (Display Pointers and Symbols)

u ub uf (Unassemble)

Information

analyze -v (Analyze crash dump)

k kv (Stack trace)

!process !thread (Process / Thread information)

Debug

bp ba (Break Point)

p t pt g pc (Flow control)

pwnable 환경 설정하기

0x00. Introduction

0x01. Windows

WSL

Visual Studio Code

테마 설정

단축키 설정

VMware

IDA Free

shell:sendto

0x02. Linux

Packages

jekyll

zola

Docker

Config

Pwntools로 GDB 디버깅 자동화하기

0x00. Introduction

0x01. Debugging with pwntools

Spawning Process

Open Debugger

Set Terminal

0x02. Conclusion

0x03. Troubleshooting

Permission Error

Tmux Session Error

`lm` (List Modules)

`x` (eXamine symbols)

`!sym noisy` (Noisy symbol loading)

`!sympath` (Set symbol path)

`.reload` (Reload symbols)

`db` `dw` `dd` `dq` (Display memory)

`ds` `du` `dc` (Display string)

`dps` (Display Pointers and Symbols)

`u` `ub` `uf` (Unassemble)

`analyze -v` (Analyze crash dump)

`k` `kv` (Stack trace)

`!process` `!thread` (Process / Thread information)

`bp` `ba` (Break Point)

`p` `t` `pt` `g` `pc` (Flow control)