Ret2win - arm64
Ret2win - arm64
Encontre uma introdução ao arm64 em:
Introduction to ARM64v8Código
Compile sem pie e canário:
Encontrando o offset
Opção de padrão
Este exemplo foi criado usando GEF:
Inicie o gdb com gef, crie um padrão e use-o:
arm64 tentará retornar ao endereço no registrador x30 (que foi comprometido), podemos usar isso para encontrar o deslocamento do padrão:
O deslocamento é 72 (9x48).
Opção de deslocamento da pilha
Comece obtendo o endereço da pilha onde o registrador pc está armazenado:
Agora defina um ponto de interrupção após o read()
e continue até que o read()
seja executado e defina um padrão como 13371337:
Encontre onde este padrão está armazenado na memória:
Então: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72
Sem PIE
Regular
Obtenha o endereço da função win
:
Exploit:
Off-by-1
Na verdade, isso vai ser mais como um off-by-2 no PC armazenado na pilha. Em vez de sobrescrever todo o endereço de retorno, vamos sobrescrever apenas os últimos 2 bytes com 0x06c4
.
Você pode encontrar outro exemplo de off-by-one em ARM64 em https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, que é um verdadeiro off-by-one em uma vulnerabilidade fictícia.
Com PIE
Compile o binário sem o argumento -no-pie
Off-by-2
Sem um leak, não sabemos o endereço exato da função vencedora, mas podemos saber o deslocamento da função em relação ao binário e, sabendo que o endereço de retorno que estamos sobrescrevendo já está apontando para um endereço próximo, é possível vazar o deslocamento para a função win (0x7d4) neste caso e apenas usar esse deslocamento:
```python from pwn import *
Configuration
binary_name = './ret2win' p = process(binary_name)
Prepare the payload
offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr
Send the payload
p.send(payload)
Check response
print(p.recvline()) p.close()
Last updated