ROP - Return Oriented Programing
Last updated
Last updated
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Return-Oriented Programming (ROP) ist eine fortgeschrittene Ausnutzungstechnik, die verwendet wird, um Sicherheitsmaßnahmen wie No-Execute (NX) oder Data Execution Prevention (DEP) zu umgehen. Anstatt Shellcode zu injizieren und auszuführen, nutzt ein Angreifer Teile von Code, die bereits im Binärformat oder in geladenen Bibliotheken vorhanden sind, bekannt als "Gadgets". Jedes Gadget endet typischerweise mit einer ret-Anweisung und führt eine kleine Operation aus, wie das Bewegen von Daten zwischen Registern oder das Durchführen arithmetischer Operationen. Durch das Verketten dieser Gadgets kann ein Angreifer eine Nutzlast konstruieren, um beliebige Operationen auszuführen und so effektiv NX/DEP-Schutzmaßnahmen zu umgehen.
Kontrollfluss-Hijacking: Zuerst muss ein Angreifer den Kontrollfluss eines Programms hijacken, typischerweise durch das Ausnutzen eines Buffer Overflows, um eine gespeicherte Rücksprungadresse auf dem Stack zu überschreiben.
Gadget-Verkettung: Der Angreifer wählt dann sorgfältig Gadgets aus und verknüpft sie, um die gewünschten Aktionen auszuführen. Dies könnte das Einrichten von Argumenten für einen Funktionsaufruf, das Aufrufen der Funktion (z.B. system("/bin/sh")) und das Handhaben notwendiger Aufräum- oder zusätzlicher Operationen umfassen.
Nutzlastausführung: Wenn die verwundbare Funktion zurückkehrt, beginnt sie anstelle der Rückkehr zu einem legitimen Ort, die Kette von Gadgets auszuführen.
Typischerweise können Gadgets mit ROPgadget, ropper oder direkt von pwntools (ROP) gefunden werden.
cdecl: Der Aufrufer bereinigt den Stack. Funktionsargumente werden in umgekehrter Reihenfolge (von rechts nach links) auf den Stack geschoben. Argumente werden von rechts nach links auf den Stack geschoben.
stdcall: Ähnlich wie cdecl, aber der Callee ist für die Bereinigung des Stacks verantwortlich.
Zuerst nehmen wir an, dass wir die notwendigen Gadgets innerhalb des Binärformats oder seiner geladenen Bibliotheken identifiziert haben. Die Gadgets, an denen wir interessiert sind, sind:
pop eax; ret: Dieses Gadget poppt den obersten Wert des Stacks in das EAX-Register und gibt dann zurück, wodurch wir EAX kontrollieren können.
pop ebx; ret: Ähnlich wie oben, aber für das EBX-Register, was die Kontrolle über EBX ermöglicht.
mov [ebx], eax; ret: Bewegt den Wert in EAX an die Speicheradresse, auf die EBX zeigt, und gibt dann zurück. Dies wird oft als write-what-where gadget bezeichnet.
Darüber hinaus haben wir die Adresse der system()-Funktion verfügbar.
Mit pwntools bereiten wir den Stack für die Ausführung der ROP-Kette wie folgt vor, um system('/bin/sh') auszuführen. Beachte, wie die Kette beginnt mit:
Einer ret-Anweisung zu Alignierungszwecken (optional)
Adresse der system-Funktion (vorausgesetzt, ASLR ist deaktiviert und libc ist bekannt, mehr Informationen in Ret2lib)
Platzhalter für die Rücksprungadresse von system()
Adresse des "/bin/sh"-Strings (Parameter für die Systemfunktion)
Verwendet die System V AMD64 ABI Aufrufkonvention auf Unix-ähnlichen Systemen, wo die ersten sechs ganzzahligen oder Zeigerargumente in den Registern RDI, RSI, RDX, RCX, R8 und R9 übergeben werden. Zusätzliche Argumente werden auf dem Stack übergeben. Der Rückgabewert wird in RAX platziert.
Die Windows x64 Aufrufkonvention verwendet RCX, RDX, R8 und R9 für die ersten vier ganzzahligen oder Zeigerargumente, wobei zusätzliche Argumente auf dem Stack übergeben werden. Der Rückgabewert wird in RAX platziert.
Register: 64-Bit-Register umfassen RAX, RBX, RCX, RDX, RSI, RDI, RBP, RSP und R8 bis R15.
Für unseren Zweck konzentrieren wir uns auf Gadgets, die es uns ermöglichen, das RDI-Register (um den "/bin/sh"-String als Argument an system() zu übergeben) zu setzen und dann die system()-Funktion aufzurufen. Wir nehmen an, dass wir die folgenden Gadgets identifiziert haben:
pop rdi; ret: Poppt den obersten Wert des Stacks in RDI und gibt dann zurück. Essentiell für das Setzen unseres Arguments für system().
ret: Ein einfacher Rückgabewert, nützlich für die Stack-Ausrichtung in einigen Szenarien.
Und wir kennen die Adresse der system()-Funktion.
Unten ist ein Beispiel, das pwntools verwendet, um eine ROP-Kette einzurichten und auszuführen, die darauf abzielt, system('/bin/sh') auf x64 auszuführen:
In diesem Beispiel:
Wir nutzen das pop rdi; ret Gadget, um RDI auf die Adresse von "/bin/sh" zu setzen.
Wir springen direkt zu system(), nachdem wir RDI gesetzt haben, mit der Adresse von system() in der Kette.
ret_gadget wird zur Ausrichtung verwendet, falls die Zielumgebung dies erfordert, was in x64 häufiger vorkommt, um eine ordnungsgemäße Stapelausrichtung vor dem Aufruf von Funktionen sicherzustellen.
Die x86-64 ABI stellt sicher, dass der Stack 16-Byte ausgerichtet ist, wenn eine call-Anweisung ausgeführt wird. LIBC verwendet zur Optimierung der Leistung SSE-Anweisungen (wie movaps), die diese Ausrichtung erfordern. Wenn der Stack nicht richtig ausgerichtet ist (was bedeutet, dass RSP kein Vielfaches von 16 ist), schlagen Aufrufe von Funktionen wie system in einer ROP-Kette fehl. Um dies zu beheben, fügen Sie einfach ein ret gadget hinzu, bevor Sie system in Ihrer ROP-Kette aufrufen.
Da x64 Register für die ersten paar Argumente verwendet, erfordert es oft weniger Gadgets als x86 für einfache Funktionsaufrufe, aber das Finden und Verketten der richtigen Gadgets kann aufgrund der erhöhten Anzahl von Registern und des größeren Adressraums komplexer sein. Die erhöhte Anzahl von Registern und der größere Adressraum in der x64-Architektur bieten sowohl Chancen als auch Herausforderungen für die Exploit-Entwicklung, insbesondere im Kontext von Return-Oriented Programming (ROP).
Überprüfen Sie die folgende Seite für diese Informationen:
Stack Canaries: Im Falle eines BOF ist es notwendig, die gespeicherten Stack-Canaries zu umgehen, um Rückgabepunkte zu überschreiben und eine ROP-Kette auszunutzen.
Mangel an Gadgets: Wenn nicht genügend Gadgets vorhanden sind, wird es nicht möglich sein, eine ROP-Kette zu generieren.
Beachten Sie, dass ROP nur eine Technik ist, um beliebigen Code auszuführen. Basierend auf ROP wurden viele Ret2XXX-Techniken entwickelt:
Ret2lib: Verwenden Sie ROP, um beliebige Funktionen aus einer geladenen Bibliothek mit beliebigen Parametern aufzurufen (normalerweise etwas wie system('/bin/sh').
Ret2Syscall: Verwenden Sie ROP, um einen Aufruf zu einem Syscall, z.B. execve, vorzubereiten und beliebige Befehle auszuführen.
EBP2Ret & EBP Chaining: Der erste wird EBP anstelle von EIP missbrauchen, um den Fluss zu steuern, und der zweite ist ähnlich wie Ret2lib, aber in diesem Fall wird der Fluss hauptsächlich mit EBP-Adressen gesteuert (obwohl es auch notwendig ist, EIP zu steuern).
64 Bit, Pie und nx aktiviert, kein Canary, überschreiben Sie RIP mit einer vsyscall-Adresse mit dem alleinigen Zweck, zur nächsten Adresse im Stack zurückzukehren, die eine partielle Überschreibung der Adresse sein wird, um den Teil der Funktion zu erhalten, der das Flag leakt.
arm64, kein ASLR, ROP-Gadget, um den Stack ausführbar zu machen und zu Shellcode im Stack zu springen.
Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
