Ret2csu
https://www.scs.stanford.edu/brop/bittau-brop.pdfOsnovne informacije
ret2csu je tehnika hakovanja koja se koristi kada pokušavate da preuzmete kontrolu nad programom, ali ne možete pronaći gadgets koje obično koristite za manipulaciju ponašanjem programa.
Kada program koristi određene biblioteke (kao što je libc), ima neke ugrađene funkcije za upravljanje načinom na koji različiti delovi programa komuniciraju jedni s drugima. Među tim funkcijama su neki skriveni dragulji koji mogu delovati kao naši nedostajući gadgets, posebno jedan nazvan __libc_csu_init
.
Magični Gadgets u __libc_csu_init
U __libc_csu_init
, postoje dve sekvence instrukcija (gadgets) koje treba istaknuti:
Prva sekvenca nam omogućava da postavimo vrednosti u nekoliko registara (rbx, rbp, r12, r13, r14, r15). Ovo su kao mesta gde možemo da čuvamo brojeve ili adrese koje želimo da koristimo kasnije.
Ovaj uređaj nam omogućava da kontrolišemo ove registre tako što izvlačimo vrednosti sa steka u njih.
Druga sekvenca koristi vrednosti koje smo postavili da uradi nekoliko stvari:
Premesti specifične vrednosti u druge registre, pripremajući ih za korišćenje kao parametre u funkcijama.
Izvrši poziv na lokaciju određenu sabiranjem vrednosti u r15 i rbx, a zatim množenjem rbx sa 8.
Možda ne znate nijednu adresu na koju biste mogli da pišete i potrebna vam je
ret
instrukcija. Imajte na umu da će drugi gadget takođe završiti saret
, ali ćete morati da ispunite neke uslove da biste do njega došli:
Uslovi će biti:
[r12 + rbx*8]
mora da pokazuje na adresu koja čuva pozivnu funkciju (ako nemate ideju i nema pie, možete jednostavno koristiti funkciju_init
):Ako je _init na
0x400560
, koristite GEF da pretražite pokazivač u memoriji ka njoj i postavite[r12 + rbx*8]
na adresu sa pokazivačem ka _init:
rbp
irbx
moraju imati istu vrednost da bi se izbegao skokPostoje neki izostavljeni pops koje treba uzeti u obzir
RDI i RSI
Još jedan način da kontrolišete rdi
i rsi
iz ret2csu gadgeta je pristupanje specifičnim ofsetima:
Proverite ovu stranicu za više informacija:
BROP - Blind Return Oriented ProgrammingPrimer
Koristeći poziv
Zamislite da želite da izvršite syscall ili pozovete funkciju kao što je write()
, ali su vam potrebne specifične vrednosti u registrima rdx
i rsi
kao parametri. Obično biste tražili gadgete koji direktno postavljaju te registre, ali ne možete pronaći nijedan.
Evo gde ret2csu dolazi do izražaja:
Postavite Registre: Koristite prvi magični gadget da izvučete vrednosti sa steka i smestite ih u rbx, rbp, r12 (edi), r13 (rsi), r14 (rdx) i r15.
Koristite Drugi Gadget: Kada su ti registri postavljeni, koristite drugi gadget. Ovo vam omogućava da premestite izabrane vrednosti u
rdx
irsi
(iz r14 i r13, redom), pripremajući parametre za poziv funkcije. Štaviše, kontrolišućir15
irbx
, možete naterati program da pozove funkciju smeštenu na adresi koju izračunate i stavite u[r15 + rbx*8]
.
Imate primer koji koristi ovu tehniku i objašnjava je ovde, a ovo je konačni exploit koji je korišćen:
Napomena da prethodni exploit nije namenjen za RCE
, već samo da pozove funkciju pod nazivom win
(uzimajući adresu win
iz stdin pozivajući gets u ROP lancu i čuvajući je u r15) sa trećim argumentom sa vrednošću 0xdeadbeefcafed00d
.
Zaobilaženje poziva i dolazak do ret
Sledeći exploit je izvučen sa ove stranice gde se koristi ret2csu, ali umesto korišćenja poziva, zaobilazi poređenja i dolazi do ret
nakon poziva:
Zašto ne koristiti libc direktno?
Obično su ovi slučajevi takođe ranjivi na ret2plt + ret2lib, ali ponekad je potrebno kontrolisati više parametara nego što se lako može kontrolisati sa gadgetima koje direktno pronađete u libc. Na primer, write()
funkcija zahteva tri parametra, i pronaći gadgete za postavljanje svih ovih direktno možda neće biti moguće.
Last updated