House of Roman
Last updated
Last updated
AWSハッキングの学習と練習:HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングの学習と練習: HackTricks Training GCP Red Team Expert (GRTE)
これは、フェイクなfastbins、unsorted_bin攻撃、および相対的な上書きを介してリークなしでRCEを可能にする非常に興味深いテクニックでした。ただし、これはパッチされています。
相対ポインタを悪用してRCEを達成する
fastbinとunsorted binのポインタを編集する
12ビットのランダム性をブルートフォースする必要がある（0.02%の確率で動作）
複数のチャンクを作成します：
fastbin_victim（0x60、オフセット0）：後でヒープポインタを編集してLibCの値を指すようにするUAFチャンク
chunk2（0x80、オフセット0x70）：適切なアライメントのため
main_arena_use（0x80、オフセット0x100）
relative_offset_heap（0x60、オフセット0x190）：'main_arena_use'チャンク上の相対オフセット
次に、free(main_arena_use)を実行して、このチャンクをunsortedリストに配置し、fdとbkポインタの両方でmain_arena + 0x68へのポインタを取得します。
次に、fdとbkにmain_arena + 0x68へのポインタを含む新しいチャンクfake_libc_chunk(0x60)が割り当てられます。
その後、relative_offset_heapとfastbin_victimを解放します。
fastbin_victimはrelative_offset_heapを指すfdを持っています。
relative_offset_heapはfake_libc_chunkからの距離オフセットであり、main_arena + 0x68を指すポインタを含んでいます。
fastbin_victim.fdの最後のバイトを変更するだけで、fastbin_victimをmain_arena + 0x68を指すようにすることが可能です。
前述のアクションを行うためには、攻撃者はfastbin_victimのfdポインタを変更できる必要があります。
その後、main_arena + 0x68はあまり興味深くないので、ポインタが**__malloc_hook**を指すように変更します。
__memalign_hookは通常0x7fで始まり、その前にゼロが続くため、0x70ファストビンの値として偽装することが可能です。アドレスの最後の4ビットはランダムであるため、興味のある場所を指す値として終わる可能性が2^4=16あります。したがって、ここではBF攻撃が実行され、チャンクが次のように終了するようにします：0x70: fastbin_victim -> fake_libc_chunk -> (__malloc_hook - 0x23)。
(残りのバイトに関する詳細は、how2heapの説明を参照してください。BFが機能しない場合、プログラムはクラッシュします（機能するまで再試行してください）。
その後、最初の2つのファストビンチャンクを削除するために2つのmallocが実行され、3番目のmallocが実行されて、**__malloc_hook:**内のチャンクを取得します。
詳細については、以下をチェックしてください:
Unsorted Bin Attack基本的には、chunk->bk で指定された場所に main_arena + 0x68 を書き込むことができます。そして、攻撃では __malloc_hook を選択します。その後、それを上書きして one_gadget を指す相対的な上書きを使用します。
これには、チャンクを取得してそれを unsorted bin に入れることから始めます:
UAFを使用して、unsorted_bin_ptr->bkを__malloc_hookのアドレスにポイントするようにします（以前にこれをブルートフォースしました）。
この攻撃はunsorted binを破壊します（したがってsmallとlargeも）。そのため、今後はfast binからの割り当てのみを使用できます（より複雑なプログラムは他の割り当てを行い、クラッシュする可能性があります）、そしてこれをトリガーするには同じサイズを割り当てる必要があります。さもないとプログラムはクラッシュします。
したがって、__malloc_hookにmain_arena + 0x68を書き込むトリガーとして、単に**malloc(0x80)**を実行する必要があります。
ステップ1では、__malloc_hookを含むチャンクを制御することができました（変数malloc_hook_chunkに）。ステップ2では、ここにmain_arena + 0x68を書き込むことに成功しました。
今、malloc_hook_chunkでの部分的な上書きを悪用して、そこに書き込んだlibcアドレス（main_arena + 0x68）を使用して**one_gadgetアドレスを指す**ことができます。
ここで、12ビットのランダム性をブルートフォースする必要があります（詳細はhow2heapの例にあります）。
最後に、正しいアドレスが上書きされたら、mallocを呼び出してone_gadgetをトリガーします。
AWSハッキングの学習と練習：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングの学習と練習：HackTricks Training GCP Red Team Expert (GRTE)
