Ret2csu
https://www.scs.stanford.edu/brop/bittau-brop.pdfΒασικές Πληροφορίες
ret2csu είναι μια τεχνική hacking που χρησιμοποιείται όταν προσπαθείτε να ελέγξετε ένα πρόγραμμα αλλά δεν μπορείτε να βρείτε τα gadgets που συνήθως χρησιμοποιείτε για να χειριστείτε τη συμπεριφορά του προγράμματος.
Όταν ένα πρόγραμμα χρησιμοποιεί ορισμένες βιβλιοθήκες (όπως η libc), έχει κάποιες ενσωματωμένες λειτουργίες για τη διαχείριση του πώς διαφορετικά κομμάτια του προγράμματος επικοινωνούν μεταξύ τους. Μεταξύ αυτών των λειτουργιών υπάρχουν μερικοί κρυμμένοι θησαυροί που μπορούν να λειτουργήσουν ως τα χαμένα μας gadgets, ειδικά ένα που ονομάζεται __libc_csu_init
.
Τα Μαγικά Gadgets στο __libc_csu_init
Στο __libc_csu_init
, υπάρχουν δύο ακολουθίες εντολών (gadgets) που πρέπει να επισημανθούν:
Η πρώτη ακολουθία μας επιτρέπει να ρυθμίσουμε τιμές σε αρκετούς καταχωρητές (rbx, rbp, r12, r13, r14, r15). Αυτοί είναι σαν θέσεις όπου μπορούμε να αποθηκεύσουμε αριθμούς ή διευθύνσεις που θέλουμε να χρησιμοποιήσουμε αργότερα.
Αυτή η συσκευή μας επιτρέπει να ελέγχουμε αυτούς τους καταχωρητές αφαιρώντας τιμές από τη στοίβα σε αυτούς.
Η δεύτερη ακολουθία χρησιμοποιεί τις τιμές που έχουμε ρυθμίσει για να κάνουμε μερικά πράγματα:
Μετακίνηση συγκεκριμένων τιμών σε άλλους καταχωρητές, προετοιμάζοντάς τους για να τους χρησιμοποιήσουμε ως παραμέτρους σε συναρτήσεις.
Εκτέλεση κλήσης σε μια τοποθεσία που καθορίζεται προσθέτοντας τις τιμές σε r15 και rbx, και στη συνέχεια πολλαπλασιάζοντας το rbx με 8.
Ίσως να μην γνωρίζετε καμία διεύθυνση για να γράψετε εκεί και χρειάζεστε μια εντολή
ret
. Σημειώστε ότι το δεύτερο gadget θα τελειώνει επίσης σεret
, αλλά θα χρειαστεί να πληροίτε κάποιες προϋποθέσεις για να το φτάσετε:
Οι συνθήκες θα είναι:
[r12 + rbx*8]
πρέπει να δείχνει σε μια διεύθυνση που αποθηκεύει μια κλήσιμη συνάρτηση (αν δεν υπάρχει ιδέα και δεν υπάρχει pie, μπορείτε απλά να χρησιμοποιήσετε τη συνάρτηση_init
):Αν η _init είναι στη διεύθυνση
0x400560
, χρησιμοποιήστε το GEF για να αναζητήσετε έναν δείκτη στη μνήμη προς αυτήν και κάντε το[r12 + rbx*8]
να είναι η διεύθυνση με τον δείκτη προς την _init:
rbp
καιrbx
πρέπει να έχουν την ίδια τιμή για να αποφευχθεί η εκτροπήΥπάρχουν μερικά παραλειπόμενα pops που πρέπει να λάβετε υπόψη
RDI και RSI
Ένας άλλος τρόπος για να ελέγξετε rdi
και rsi
από το gadget ret2csu είναι με την πρόσβαση σε συγκεκριμένες μετατοπίσεις:
Ελέγξτε αυτή τη σελίδα για περισσότερες πληροφορίες:
BROP - Blind Return Oriented ProgrammingΠαράδειγμα
Χρησιμοποιώντας την κλήση
Φανταστείτε ότι θέλετε να κάνετε μια syscall ή να καλέσετε μια συνάρτηση όπως το write()
, αλλά χρειάζεστε συγκεκριμένες τιμές στους καταχωρητές rdx
και rsi
ως παραμέτρους. Κανονικά, θα ψάχνατε για gadgets που ρυθμίζουν αυτούς τους καταχωρητές άμεσα, αλλά δεν μπορείτε να βρείτε κανένα.
Εδώ είναι που μπαίνει σε παιχνίδι το ret2csu:
Ρύθμιση των Καταχωρητών: Χρησιμοποιήστε το πρώτο μαγικό gadget για να βγάλετε τιμές από τη στοίβα και να τις τοποθετήσετε στους rbx, rbp, r12 (edi), r13 (rsi), r14 (rdx) και r15.
Χρησιμοποιήστε το Δεύτερο Gadget: Με αυτούς τους καταχωρητές ρυθμισμένους, χρησιμοποιείτε το δεύτερο gadget. Αυτό σας επιτρέπει να μεταφέρετε τις επιλεγμένες τιμές σας στους
rdx
καιrsi
(από r14 και r13, αντίστοιχα), προετοιμάζοντας παραμέτρους για μια κλήση συνάρτησης. Επιπλέον, ελέγχονταςr15
καιrbx
, μπορείτε να κάνετε το πρόγραμμα να καλέσει μια συνάρτηση που βρίσκεται στη διεύθυνση που υπολογίζετε και τοποθετείτε σε[r15 + rbx*8]
.
Έχετε ένα παράδειγμα που χρησιμοποιεί αυτή την τεχνική και το εξηγεί εδώ, και αυτό είναι το τελικό exploit που χρησιμοποίησε:
Σημειώστε ότι η προηγούμενη εκμετάλλευση δεν προορίζεται να κάνει RCE
, προορίζεται απλώς να καλέσει μια συνάρτηση που ονομάζεται win
(λαμβάνοντας τη διεύθυνση του win
από το stdin καλώντας gets στην αλυσίδα ROP και αποθηκεύοντάς την στο r15) με ένα τρίτο επιχείρημα με την τιμή 0xdeadbeefcafed00d
.
Παράκαμψη της κλήσης και προσέγγιση του ret
Η ακόλουθη εκμετάλλευση εξήχθη από αυτή τη σελίδα όπου χρησιμοποιείται το ret2csu αλλά αντί να χρησιμοποιεί την κλήση, παρακάμπτει τις συγκρίσεις και προσεγγίζει το ret
μετά την κλήση:
Γιατί να μην χρησιμοποιήσουμε απευθείας τη libc;
Συνήθως αυτές οι περιπτώσεις είναι επίσης ευάλωτες σε ret2plt + ret2lib, αλλά μερικές φορές χρειάζεται να ελέγξετε περισσότερες παραμέτρους από όσες μπορούν να ελεγχθούν εύκολα με τα gadgets που βρίσκετε απευθείας στη libc. Για παράδειγμα, η συνάρτηση write()
απαιτεί τρεις παραμέτρους, και η εύρεση gadgets για να ρυθμίσετε όλες αυτές απευθείας μπορεί να μην είναι δυνατή.
Last updated