Ret2lib
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Суть Ret2Libc полягає в перенаправленні потоку виконання вразливої програми на функцію в загальній бібліотеці (наприклад, system, execve, strcpy) замість виконання shellcode, наданого атакуючим, в стеку. Атакуючий створює payload, який модифікує адресу повернення в стеці, щоб вказати на потрібну функцію бібліотеки, одночасно забезпечуючи правильну настройку будь-яких необхідних аргументів відповідно до конвенції виклику.
Отримати адресу функції для виклику (наприклад, system) та команду для виклику (наприклад, /bin/sh)
Згенерувати ROP-ланцюг для передачі першого аргументу, що вказує на рядок команди, та потоку виконання до функції
Припустимо, що libc, яка використовується, є тією, що з поточної машини, ви можете знайти, де вона буде завантажена в пам'ять за допомогою:
Якщо ви хочете перевірити, чи змінює ASLR адресу libc, ви можете зробити:
Знаючи використовувану libc, також можливо знайти зсув до функції system за допомогою:
Знаючи використовувану libc, також можливо знайти зсув до рядка /bin/sh функції за допомогою:
Знаючи використовувану libc, також можливо використовувати Peda або GEF для отримання адреси функції system, функції exit та рядка /bin/sh :
Якщо процес створює дочірні процеси щоразу, коли ви з ним спілкуєтеся (мережевий сервер), спробуйте прочитати цей файл (можливо, вам знадобиться бути root).
Тут ви можете знайти точно, де завантажено libc всередині процесу і де воно буде завантажено для кожного дочірнього процесу.
У цьому випадку воно завантажено в 0xb75dc000 (Це буде базова адреса libc)
Можливо, ви не знаєте, яку libc завантажує бінарник (оскільки вона може бути розташована на сервері, до якого у вас немає доступу). У такому випадку ви можете зловживати вразливістю, щоб витягнути деякі адреси та дізнатися, яка бібліотека libc використовується:
Leaking libc address with ROPІ ви можете знайти шаблон pwntools для цього в:
Leaking libc - templateПеревірте сторінку https://libc.blukat.me/ і використовуйте декілька адрес функцій всередині libc, щоб дізнатися використовувану версію.
Ці атаки методом перебору є корисними лише для 32-бітних систем.
Якщо експлойт локальний, ви можете спробувати методом перебору знайти базову адресу libc (корисно для 32-бітних систем):
Якщо ви атакуєте віддалений сервер, ви можете спробувати вгадати адресу функції usleep з libc, передаючи в якості аргументу 10 (наприклад). Якщо в якийсь момент сервер відповідає на 10 секунд пізніше, ви знайшли адресу цієї функції.
Виконайте оболонку, просто стрибнувши на одну конкретну адресу в libc:
One GadgetУ цьому прикладі брутфорс ASLR інтегровано в код, а вразливий бінарний файл розташований на віддаленому сервері:
Перевірте приклад з:
ROP - Return Oriented ProgramingУ випадку ARM64, інструкція ret переходить до того, на що вказує реєстр x30, а не до того, на що вказує стековий реєстр. Тому це трохи складніше.
Також в ARM64 інструкція виконує те, що вона робить (неможливо перейти в середині інструкцій і перетворити їх на нові).
Перевірте приклад з:
Ret2lib + Printf leak - arm64Це дозволяє витікати інформацію з процесу шляхом виклику printf/puts з деякими специфічними даними, розміщеними як аргумент. Наприклад, якщо помістити адресу puts в GOT у виконання puts, це викриє адресу puts в пам'яті.
Це в основному означає зловживання Ret2lib, щоб перетворити його на вразливість форматних рядків printf за допомогою ret2lib, щоб викликати printf з значеннями для експлуатації (звучить безглуздо, але можливо):
Ret2lib, наданий витік адреси функції в libc, використовуючи один гаджет
64 біти, ASLR увімкнено, але без PIE, перший крок - заповнити переповнення до байта 0x00 канарки, щоб потім викликати puts і витікати його. З канаркою створюється ROP гаджет для виклику puts, щоб витікати адресу puts з GOT, а потім ROP гаджет для виклику system('/bin/sh')
64 біти, ASLR увімкнено, без канарки, переповнення стека в main з дочірньої функції. ROP гаджет для виклику puts, щоб витікати адресу puts з GOT, а потім виклик одного гаджета.
64 біти, без pie, без канарки, без relro, nx. Використовує функцію write, щоб витікати адресу write (libc) і викликає один гаджет.
Використовує форматний рядок, щоб витікати канарку зі стека і переповнення буфера, щоб викликати system (вона в GOT) з адресою /bin/sh.
32 біти, без relro, без канарки, nx, pie. Зловживає поганим індексуванням, щоб витікати адреси libc і heap зі стека. Зловживає переповненням буфера, щоб зробити ret2lib, викликаючи system('/bin/sh') (адреса heap потрібна для обходу перевірки).
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
