Basic Stack Binary Exploitation Methodology
ELF Basiese Inligting
Voordat jy enigiets begin uitbuit, is dit interessant om 'n deel van die struktuur van 'n ELF-binêre lêer te verstaan:
ELF Basic InformationUitbuitingshulpmiddels
Exploiting ToolsStaprofloop Metodologie
Met so baie tegnieke is dit goed om 'n skema te hê wanneer elke tegniek nuttig sal wees. Let daarop dat dieselfde beskermings verskillende tegnieke sal beïnvloed. Jy kan maniere vind om die beskermings in elke beskermingsafdeling te omseil, maar nie in hierdie metodologie nie.
Beheer van die Vloei
Daar is verskillende maniere waarop jy die vloei van 'n program kan beheer:
Stapeloorvloeiings wat die terugkeerpunt van die stapel of die EBP -> ESP -> EIP oorskryf.
Mag dalk 'n Heeltaloorvloeiings moet misbruik om die oorvloei te veroorsaak
Of via Willekeurige Skrywes + Skryf Wat Waar na Uitvoering
Formaatreekse: Misbruik
printf
om willekeurige inhoud in willekeurige adresse te skryf.Reeksindeksering: Misbruik 'n swak ontwerpte indeksering om sekere rye te kan beheer en 'n willekeurige skryf te kry.
Mag dalk 'n Heeltaloorvloeiings moet misbruik om die oorvloei te veroorsaak
bof na WWW via ROP: Misbruik 'n bufferoorvloei om 'n ROP te bou en 'n WWW te kan kry.
Jy kan die Skryf Wat Waar na Uitvoering tegnieke vind in:
Write What Where 2 ExecEwige Lusse
Iets om in ag te neem is dat gewoonlik net een uitbuiting van 'n kwesbaarheid dalk nie genoeg wees om 'n suksesvolle uitbuiting uit te voer nie, veral as sekere beskermings omseil moet word. Daarom is dit interessant om oor sommige opsies te bespreek om 'n enkele kwesbaarheid verskeie kere uitbuitbaar te maak in dieselfde uitvoering van die binêre lêer:
Skryf in 'n ROP-ketting die adres van die
main
-funksie of na die adres waar die kwesbaarheid plaasvind.Deur 'n behoorlike ROP-ketting te beheer, kan jy dalk al die aksies in daardie ketting uitvoer
Skryf die
exit
-adres in GOT (of enige ander funksie wat deur die binêre lêer gebruik word voordat dit eindig) die adres om terug te keer na die kwesbaarheidSoos verduidelik in .fini_array, stoor 2 funksies hier, een om die kwesbaarheid weer te roep en 'n ander om**
__libc_csu_fini
** te roep wat weer die funksie van.fini_array
sal roep.
Uitbuitingsdoelwitte
Doel: Roep 'n Bestaande funksie aan
ret2win: Daar is 'n funksie in die kode wat jy moet roep (miskien met sekere spesifieke parameters) om die vlag te kry.
In 'n bof met PIE, sal jy dit moet omseil
In 'n bof met kanarie, sal jy dit moet omseil
As jy verskeie parameters moet instel om die ret2win-funksie korrek te roep, kan jy gebruik maak van:
'n ROP ketting as daar genoeg gadgets is om al die parameters voor te berei
SROP (indien jy hierdie syscall kan roep) om 'n groot aantal registers te beheer
Deur 'n Skryf Wat Waar te gebruik, kan jy ander kwesbaarhede (nie bof nie) misbruik om die
wen
-funksie te roep.Aanwysers wat omleiding gee: In geval die stapel aanwysers bevat na 'n funksie wat geroep gaan word of na 'n string wat deur 'n interessante funksie gebruik gaan word (stelsel of printf), is dit moontlik om daardie adres te oorskryf.
Ongeïnisialiseerde veranderlikes: Jy weet nooit.
Doel: RCE
Via skelkode, indien nx gedeaktiveer of skelkode met ROP gemeng:
(Stapel) Skelkode: Dit is nuttig om 'n skelkode in die stapel te stoor voor of na die oorskrywing van die terugkeerpunt en dan daarnaar te spring om dit uit te voer:
In enige geval, as daar 'n kanarie** is, in 'n gewone bof sal jy dit moet omseil (leak)**
Met ASLR sal jy tegnieke soos ret2esp/ret2reg moet gebruik om daarheen te spring
Dit sal skelkode met 'n ROP-ketting meng.
Via syscalls
Ret2syscall: Nuttig om
execve
te roep om willekeurige bevele uit te voer. Jy moet in staat wees om die gadgets te vind om die spesifieke syscall met die parameters te roep.SROP kan nuttig wees om die ret2execve voor te berei.
Via libc
Ret2lib: Nuttig om 'n funksie van 'n biblioteek (gewoonlik van
libc
) te roep soossystem
met voorbereide argumente (bv.'/bin/sh'
). Jy het die binêre nodig om die biblioteek te laai met die funksie wat jy wil roep (gewoonlik libc).As staties saamgestel en geen PIE, sal die adres van
system
en/bin/sh
nie verander nie, dus is dit moontlik om hulle staties te gebruik.Sondef ASLR en met kennis van die gelaaide libc weergawe, sal die adres van
system
en/bin/sh
nie verander nie, dus is dit moontlik om hulle staties te gebruik.Gebruik
ret2dlresolve
om die adres vansystem
op te los en dit te roepOorbrug ASLR en bereken die adres van
system
en'/bin/sh'
in die geheue.Bypass PIE
Vind die
libc
weergawe wat gebruik word (leak 'n paar funksie-adresse)Kontroleer die vorige scenarios met ASLR om voort te gaan.
Via EBP/RBP
Stack Pivoting / EBP2Ret / EBP Chaining: Beheer die ESP om RET te beheer deur die gestoorde EBP in die stapel.
Nuttig vir een-vir-een stapel oorvloei
Nuttig as 'n alternatiewe manier om EIP te beheer terwyl EIP misbruik word om die lading in die geheue te konstrueer en dan daarna te spring via EBP
Misc
Pointers Redirecting: In geval die stapel aanwysers bevat na 'n funksie wat geroep gaan word of na 'n string wat deur 'n interessante funksie gebruik gaan word (system of printf), is dit moontlik om daardie adres te oorskryf.
Ongeïnisialiseerde veranderlikes: Jy weet nooit
Last updated