Ret2win - arm64
Ret2win - arm64
Encuentra una introducción a arm64 en:
Introduction to ARM64v8Código
Compilar sin pie y canario:
Encontrar el desplazamiento
Opción de patrón
Este ejemplo fue creado usando GEF:
Inicia gdb con gef, crea un patrón y úsalo:
arm64 intentará regresar a la dirección en el registro x30 (que fue comprometido), podemos usar eso para encontrar el desplazamiento del patrón:
El desplazamiento es 72 (9x48).
Opción de desplazamiento de pila
Comience obteniendo la dirección de la pila donde se almacena el registro pc:
Ahora establece un punto de interrupción después del read()
y continúa hasta que se ejecute el read()
y establece un patrón como 13371337:
Encuentra dónde se almacena este patrón en la memoria:
Luego: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72
No PIE
Regular
Obtén la dirección de la función win
:
Explotar:
Off-by-1
En realidad, esto va a ser más como un off-by-2 en el PC almacenado en la pila. En lugar de sobrescribir toda la dirección de retorno, vamos a sobrescribir solo los últimos 2 bytes con 0x06c4
.
Puedes encontrar otro ejemplo de off-by-one en ARM64 en https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, que es un verdadero off-by-one en una vulnerabilidad ficticia.
Con PIE
Compila el binario sin el argumento -no-pie
Off-by-2
Sin un leak no sabemos la dirección exacta de la función ganadora, pero podemos conocer el desplazamiento de la función desde el binario y sabiendo que la dirección de retorno que estamos sobrescribiendo ya apunta a una dirección cercana, es posible obtener el desplazamiento a la función ganadora (0x7d4) en este caso y simplemente usar ese desplazamiento:
```python from pwn import *
Configuration
binary_name = './ret2win' p = process(binary_name)
Prepare the payload
offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr
Send the payload
p.send(payload)
Check response
print(p.recvline()) p.close()
Last updated