Basic Stack Binary Exploitation Methodology

Leer & oefen AWS-hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP-hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Controleer die inskrywingsplanne!

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacktruuks deur PR's in te dien by die HackTricks en HackTricks Cloud github-opslag.

ELF Basiese Inligting

Voordat jy enigiets begin uitbuit, is dit interessant om 'n deel van die struktuur van 'n ELF-binêre lêer te verstaan:

ELF Basic Information

Uitbuitingshulpmiddels

Exploiting Tools

Staprofloop Metodologie

Met so baie tegnieke is dit goed om 'n skema te hê wanneer elke tegniek nuttig sal wees. Let daarop dat dieselfde beskermings verskillende tegnieke sal beïnvloed. Jy kan maniere vind om die beskermings in elke beskermingsafdeling te omseil, maar nie in hierdie metodologie nie.

Beheer van die Vloei

Daar is verskillende maniere waarop jy die vloei van 'n program kan beheer:

• Stapeloorvloeiings wat die terugkeerpunt van die stapel of die EBP -> ESP -> EIP oorskryf.

• Mag dalk 'n Heeltaloorvloeiings moet misbruik om die oorvloei te veroorsaak

• Of via Willekeurige Skrywes + Skryf Wat Waar na Uitvoering

• Formaatreekse: Misbruik printf om willekeurige inhoud in willekeurige adresse te skryf.

• Reeksindeksering: Misbruik 'n swak ontwerpte indeksering om sekere rye te kan beheer en 'n willekeurige skryf te kry.

• Mag dalk 'n Heeltaloorvloeiings moet misbruik om die oorvloei te veroorsaak

• bof na WWW via ROP: Misbruik 'n bufferoorvloei om 'n ROP te bou en 'n WWW te kan kry.

Jy kan die Skryf Wat Waar na Uitvoering tegnieke vind in:

Write What Where 2 Exec

Ewige Lusse

Iets om in ag te neem is dat gewoonlik net een uitbuiting van 'n kwesbaarheid dalk nie genoeg wees om 'n suksesvolle uitbuiting uit te voer nie, veral as sekere beskermings omseil moet word. Daarom is dit interessant om oor sommige opsies te bespreek om 'n enkele kwesbaarheid verskeie kere uitbuitbaar te maak in dieselfde uitvoering van die binêre lêer:

• Skryf in 'n ROP-ketting die adres van die main-funksie of na die adres waar die kwesbaarheid plaasvind.

• Deur 'n behoorlike ROP-ketting te beheer, kan jy dalk al die aksies in daardie ketting uitvoer

• Skryf die exit-adres in GOT (of enige ander funksie wat deur die binêre lêer gebruik word voordat dit eindig) die adres om terug te keer na die kwesbaarheid

• Soos verduidelik in .fini_array, stoor 2 funksies hier, een om die kwesbaarheid weer te roep en 'n ander om**__libc_csu_fini** te roep wat weer die funksie van .fini_array sal roep.

Uitbuitingsdoelwitte

Doel: Roep 'n Bestaande funksie aan

• ret2win: Daar is 'n funksie in die kode wat jy moet roep (miskien met sekere spesifieke parameters) om die vlag te kry.

• In 'n gewone bof sonder PIE en kanarie hoef jy net die adres in die terugkeeradres wat in die stapel gestoor is, te skryf.

• In 'n bof met PIE, sal jy dit moet omseil

• In 'n bof met kanarie, sal jy dit moet omseil

• As jy verskeie parameters moet instel om die ret2win-funksie korrek te roep, kan jy gebruik maak van:

• 'n ROP ketting as daar genoeg gadgets is om al die parameters voor te berei

• SROP (indien jy hierdie syscall kan roep) om 'n groot aantal registers te beheer

• Gadgets van ret2csu en ret2vdso om verskeie registers te beheer

• Deur 'n Skryf Wat Waar te gebruik, kan jy ander kwesbaarhede (nie bof nie) misbruik om die wen-funksie te roep.

• Aanwysers wat omleiding gee: In geval die stapel aanwysers bevat na 'n funksie wat geroep gaan word of na 'n string wat deur 'n interessante funksie gebruik gaan word (stelsel of printf), is dit moontlik om daardie adres te oorskryf.

• ASLR of PIE mag die adresse beïnvloed.

• Ongeïnisialiseerde veranderlikes: Jy weet nooit.

Doel: RCE

Via skelkode, indien nx gedeaktiveer of skelkode met ROP gemeng:

• (Stapel) Skelkode: Dit is nuttig om 'n skelkode in die stapel te stoor voor of na die oorskrywing van die terugkeerpunt en dan daarnaar te spring om dit uit te voer:

• In enige geval, as daar 'n kanarie** is, in 'n gewone bof sal jy dit moet omseil (leak)**

• Sonder ASLR en nx is dit moontlik om na die adres van die stapel te spring aangesien dit nooit sal verander nie

• Met ASLR sal jy tegnieke soos ret2esp/ret2reg moet gebruik om daarheen te spring

• Met nx, sal jy 'n paar ROP moet gebruik om memprotect te roep en 'n paar bladsye rwx te maak, sodat jy dan die skelkode daar kan stoor (deur byvoorbeeld lees te roep) en dan daarheen te spring.

• Dit sal skelkode met 'n ROP-ketting meng.

Via syscalls

• Ret2syscall: Nuttig om execve te roep om willekeurige bevele uit te voer. Jy moet in staat wees om die gadgets te vind om die spesifieke syscall met die parameters te roep.

• As ASLR of PIE geaktiveer is, sal jy hulle moet oorwin om ROP gadgets te gebruik van die binêre of biblioteke.

• SROP kan nuttig wees om die ret2execve voor te berei.

• Gadgets van ret2csu en ret2vdso om verskeie registers te beheer

Via libc

• Ret2lib: Nuttig om 'n funksie van 'n biblioteek (gewoonlik van libc) te roep soos system met voorbereide argumente (bv. '/bin/sh'). Jy het die binêre nodig om die biblioteek te laai met die funksie wat jy wil roep (gewoonlik libc).

• As staties saamgestel en geen PIE, sal die adres van system en /bin/sh nie verander nie, dus is dit moontlik om hulle staties te gebruik.

• Sondef ASLR en met kennis van die gelaaide libc weergawe, sal die adres van system en /bin/sh nie verander nie, dus is dit moontlik om hulle staties te gebruik.

• Met ASLR maar geen PIE, met kennis van die libc en met die binêre wat die system funksie gebruik, is dit moontlik om ret na die adres van system in die GOT te spring met die adres van '/bin/sh' in die parameter (jy sal dit moet uitfigure).

• Met ASLR maar geen PIE, met kennis van die libc en sonder die binêre wat die system gebruik:

• Gebruik ret2dlresolve om die adres van system op te los en dit te roep

• Oorbrug ASLR en bereken die adres van system en '/bin/sh' in die geheue.

• Met ASLR en PIE en sonder kennis van die libc: Jy moet:

• Bypass PIE

• Vind die libc weergawe wat gebruik word (leak 'n paar funksie-adresse)

• Kontroleer die vorige scenarios met ASLR om voort te gaan.

Via EBP/RBP

• Stack Pivoting / EBP2Ret / EBP Chaining: Beheer die ESP om RET te beheer deur die gestoorde EBP in die stapel.

• Nuttig vir een-vir-een stapel oorvloei

• Nuttig as 'n alternatiewe manier om EIP te beheer terwyl EIP misbruik word om die lading in die geheue te konstrueer en dan daarna te spring via EBP

Misc

• Pointers Redirecting: In geval die stapel aanwysers bevat na 'n funksie wat geroep gaan word of na 'n string wat deur 'n interessante funksie gebruik gaan word (system of printf), is dit moontlik om daardie adres te oorskryf.

• ASLR of PIE mag die adresse affekteer.

• Ongeïnisialiseerde veranderlikes: Jy weet nooit