WWW2Exec - atexit()
Last updated
Last updated
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
Hoje em dia é muito estranho explorar isso!
atexit() é uma função à qual outras funções são passadas como parâmetros. Essas funções serão executadas ao executar um exit() ou o retorno do main.
Se você puder modificar o endereço de qualquer uma dessas funções para apontar para um shellcode, por exemplo, você ganhará controle do processo, mas isso atualmente é mais complicado.
Atualmente, os endereços das funções a serem executadas estão ocultos atrás de várias estruturas e, finalmente, o endereço para o qual apontam não são os endereços das funções, mas estão criptografados com XOR e deslocamentos com uma chave aleatória. Portanto, atualmente, esse vetor de ataque não é muito útil, pelo menos em x86 e x64_86.
A função de criptografia é PTR_MANGLE. Outras arquiteturas como m68k, mips32, mips64, aarch64, arm, hppa... não implementam a função de criptografia porque retornam o mesmo que receberam como entrada. Portanto, essas arquiteturas seriam atacáveis por esse vetor.
Você pode encontrar uma explicação detalhada sobre como isso funciona em https://m101.github.io/binholic/2017/05/20/notes-on-abusing-exit-handlers.html
Como explicado neste post, se o programa sair usando return ou exit(), ele executará __run_exit_handlers(), que chamará os destrutores registrados.
Se o programa sair pela função _exit(), ele chamará a syscall exit e os manipuladores de saída não serão executados. Portanto, para confirmar que __run_exit_handlers() é executado, você pode definir um ponto de interrupção nele.
O código importante é (source):
Note como map -> l_addr + fini_array -> d_un.d_ptr é usado para calcular a posição do array de funções a serem chamadas.
Existem algumas opções:
Sobrescrever o valor de map->l_addr para fazê-lo apontar para um falso fini_array com instruções para executar código arbitrário
Sobrescrever as entradas l_info[DT_FINI_ARRAY] e l_info[DT_FINI_ARRAYSZ] (que são mais ou menos consecutivas na memória), para fazê-las apontar para uma estrutura Elf64_Dyn forjada que fará novamente array apontar para uma zona de memória controlada pelo atacante.
Este writeup sobrescreve l_info[DT_FINI_ARRAY] com o endereço de uma memória controlada em .bss contendo um falso fini_array. Este array falso contém primeiro um one gadget endereço que será executado e então a diferença entre o endereço deste array falso e o valor de map->l_addr para que *array aponte para o array falso.
De acordo com o post principal desta técnica e este writeup, ld.so deixa um ponteiro na pilha que aponta para o link_map binário em ld.so. Com uma escrita arbitrária, é possível sobrescrevê-lo e fazê-lo apontar para um falso fini_array controlado pelo atacante com o endereço de um one gadget, por exemplo.
Seguindo o código anterior, você pode encontrar outra seção interessante com o código:
Neste caso, seria possível sobrescrever o valor de map->l_info[DT_FINI] apontando para uma estrutura ElfW(Dyn) forjada. Encontre mais informações aqui.
__run_exit_handlersComo explicado aqui, se um programa sair via return ou exit(), ele executará __run_exit_handlers(), que chamará qualquer função de destrutor registrada.
Código de _run_exit_handlers():
Código de __call_tls_dtors():
Para cada função registrada em tls_dtor_list, ele irá desmanglar o ponteiro de cur->func e chamá-lo com o argumento cur->obj.
Usando a função tls deste fork do GEF, é possível ver que na verdade a dtor_list está muito perto do stack canary e do PTR_MANGLE cookie. Assim, com um overflow nela, seria possível sobrescrever o cookie e o stack canary.
Sobrescrevendo o PTR_MANGLE cookie, seria possível burlar a função PTR_DEMANLE configurando-o para 0x00, o que significa que o xor usado para obter o endereço real é apenas o endereço configurado. Então, ao escrever na dtor_list, é possível encadear várias funções com o endereço da função e seu argumento.
Finalmente, note que o ponteiro armazenado não será apenas xorado com o cookie, mas também rotacionado 17 bits:
Então você precisa levar isso em consideração antes de adicionar um novo endereço.
Encontre um exemplo na postagem original.
__run_exit_handlersEsta técnica é explicada aqui e depende novamente do programa sair chamando return ou exit() para que __run_exit_handlers() seja chamado.
Vamos verificar mais código desta função:
A variável f aponta para a estrutura initial e, dependendo do valor de f->flavor, diferentes funções serão chamadas.
Dependendo do valor, o endereço da função a ser chamada estará em um lugar diferente, mas sempre estará demangled.
Além disso, nas opções ef_on e ef_cxa, também é possível controlar um argumento.
É possível verificar a estrutura initial em uma sessão de depuração com GEF executando gef> p initial.
Para abusar disso, você precisa vazar ou apagar o PTR_MANGLEcookie e então sobrescrever uma entrada cxa em initial com system('/bin/sh').
Você pode encontrar um exemplo disso no post original do blog sobre a técnica.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
