Basic Binary Exploitation Methodology
ELF Basiese Inligting
Voordat jy enigiets begin uitbuit, is dit interessant om 'n deel van die struktuur van 'n ELF-binêre lêer te verstaan:
pageELF Basic InformationUitbuitingshulpmiddels
pageExploiting ToolsStaprofloop Metodologie
Met so baie tegnieke is dit goed om 'n skema te hê wanneer elke tegniek nuttig sal wees. Let daarop dat dieselfde beskermings verskillende tegnieke sal beïnvloed. Jy kan maniere vind om die beskermings in elke beskermingsafdeling te omseil, maar nie in hierdie metodologie nie.
Beheer van die Vloei
Daar is verskillende maniere waarop jy die vloei van 'n program kan beheer:
Stapeloorvloeiings deur die terugkeerpunt van die stapel of die EBP -> ESP -> EIP te oorskryf.
Mag dalk 'n Heeltaloorvloeiings moet misbruik om die oorvloei te veroorsaak
Of via Willekeurige Skrywe + Skryf Wat Waar na Uitvoering
Formaatreekse: Misbruik
printf
om willekeurige inhoud na willekeurige adresse te skryf.Reeksindeksering: Misbruik 'n swak ontwerpte indeksering om sekere reekse te beheer en 'n willekeurige skrywe te kry.
Mag dalk 'n Heeltaloorvloeiings moet misbruik om die oorvloei te veroorsaak
bof na WWW via ROP: Misbruik 'n bufferoorvloei om 'n ROP te bou en in staat te wees om 'n WWW te kry.
Jy kan die Skryf Wat Waar na Uitvoering tegnieke vind in:
pageWrite What Where 2 ExecEwige Lusse
Iets om in ag te neem is dat gewoonlik net een uitbuiting van 'n kwesbaarheid dalk nie genoeg wees om 'n suksesvolle uitbuiting uit te voer nie, veral as sekere beskermings omseil moet word. Daarom is dit interessant om oor sommige opsies te bespreek om 'n enkele kwesbaarheid verskeie kere uitbuitbaar te maak in dieselfde uitvoering van die binêre lêer:
Skryf in 'n ROP-ketting die adres van die
main
-funksie of na die adres waar die kwesbaarheid plaasvind.Deur 'n behoorlike ROP-ketting te beheer, kan jy al die aksies in daardie ketting uitvoer
Skryf die
exit
-adres in GOT (of enige ander funksie wat deur die binêre lêer gebruik word voordat dit eindig) die adres om terug te keer na die kwesbaarheidSoos verduidelik in .fini_array, stoor 2 funksies hier, een om die kwesbaarheid weer te roep en 'n ander om**
__libc_csu_fini
** te roep wat weer die funksie van.fini_array
sal roep.
Uitbuitingsdoelwitte
Doel: Roep 'n Bestaande funksie aan
ret2win: Daar is 'n funksie in die kode wat jy moet aanroep (miskien met sekere spesifieke parameters) om die vlag te kry.
In 'n bof met PIE, sal jy dit moet omseil
In 'n bof met kanarie, sal jy dit moet omseil
As jy verskeie parameters moet instel om die ret2win-funksie korrek aan te roep, kan jy gebruik maak van:
'n ROP ketting as daar genoeg gadgets is om al die parameters voor te berei
SROP (indien jy hierdie syscall kan aanroep) om 'n groot aantal register te beheer
Deur 'n Skryf Wat Waar te gebruik, kan jy ander kwesbaarhede (nie bof nie) misbruik om die
win
-funksie aan te roep.Aanwysers wat omleiding gee: In geval die stapel aanwysers bevat na 'n funksie wat aangeroep gaan word of na 'n string wat deur 'n interessante funksie gebruik gaan word (stelsel of printf), is dit moontlik om daardie adres te oorskryf.
Ongeïnisialiseerde veranderlikes: Jy weet nooit.
Doel: RCE
Via skelkode, as nx gedeaktiveer is of skelkode met ROP gemeng word:
(Stapel) Skelkode: Dit is nuttig om 'n skelkode in die stapel te stoor voor of nadat die terugkeerpunt oorskryf is en dan daarnaar te spring om dit uit te voer:
In enige geval, as daar 'n kanarie** is, in 'n gewone bof sal jy dit moet omseil (leak)**
Met ASLR sal jy tegnieke soos ret2esp/ret2reg nodig hê om daarna te spring
Dit sal skelkode met 'n ROP-ketting meng.
Via syscalls
Ret2syscall: Nuttig om
execve
te roep om willekeurige bevele uit te voer. Jy moet in staat wees om die gadgets te vind om die spesifieke syscall met die parameters te roep.SROP kan nuttig wees om die ret2execve voor te berei.
Via libc
Ret2lib: Nuttig om 'n funksie van 'n biblioteek (gewoonlik van
libc
) soossystem
te roep met voorbereide argumente (bv.'/bin/sh'
). Jy het die binêre nodig om die biblioteek te laai met die funksie wat jy wil roep (gewoonlik libc).As staties saamgestel en geen PIE, sal die adres van
system
en/bin/sh
nie verander nie, so dit is moontlik om hulle staties te gebruik.Sondef ASLR en met kennis van die gelaaide libc weergawe, sal die adres van
system
en/bin/sh
nie verander nie, so dit is moontlik om hulle staties te gebruik.Gebruik
ret2dlresolve
om die adres vansystem
op te los en dit te roepOorbrug ASLR en bereken die adres van
system
en'/bin/sh'
in die geheue.Bypass PIE
Vind die
libc
weergawe wat gebruik word (leak 'n paar funksie adresse)Kontroleer die vorige scenarios met ASLR om voort te gaan.
Via EBP/RBP
Stack Pivoting / EBP2Ret / EBP Chaining: Beheer die ESP om RET te beheer deur die gestoorde EBP in die stapel.
Nuttig vir af-een-stapel oorvloei
Nuttig as 'n alternatiewe manier om EIP te beheer terwyl EIP misbruik word om die lading in die geheue te konstrueer en dan daarna te spring deur EBP
Misc
Pointers Redirecting: In geval die stapel verwysings na 'n funksie bevat wat geroep gaan word of na 'n string wat deur 'n interessante funksie gebruik gaan word (system of printf), is dit moontlik om daardie adres te oorskryf.
Ongeïnisialiseerde veranderlikes: Jy weet nooit
Last updated