Ret2plt
Aprende y practica Hacking en AWS: HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Información Básica
El objetivo de esta técnica sería filtrar una dirección de una función del PLT para poder evadir ASLR. Esto se debe a que si, por ejemplo, filtras la dirección de la función puts
de la libc, entonces puedes calcular dónde está la base de libc
y calcular desplazamientos para acceder a otras funciones como system
.
Esto se puede hacer con un payload de pwntools
como (desde aquí):
Observa cómo se llama a puts
(usando la dirección del PLT) con la dirección de puts
ubicada en la GOT (Tabla de Desplazamiento Global). Esto se debe a que cuando puts
imprime la entrada GOT de puts, esta entrada contendrá la dirección exacta de puts
en memoria.
También observa cómo se utiliza la dirección de main
en el exploit para que cuando puts
finalice su ejecución, el binario llame a main
nuevamente en lugar de salir (por lo que la dirección filtrada seguirá siendo válida).
Observa cómo para que esto funcione, el binario no puede estar compilado con PIE o debes haber encontrado una filtración para evitar PIE para conocer la dirección del PLT, GOT y main. De lo contrario, primero debes evitar PIE.
Puedes encontrar un ejemplo completo de este bypass aquí. Este fue el exploit final de ese ejemplo:
Otros ejemplos y Referencias
64 bits, ASLR habilitado pero sin PIE, el primer paso es llenar un desbordamiento hasta el byte 0x00 del canary para luego llamar a puts y filtrarlo. Con el canary se crea un gadget ROP para llamar a puts y filtrar la dirección de puts desde el GOT y luego un gadget ROP para llamar a
system('/bin/sh')
.64 bits, ASLR habilitado, sin canary, desbordamiento de pila en main desde una función secundaria. Gadget ROP para llamar a puts y filtrar la dirección de puts desde el GOT y luego llamar a un gadget one.
Last updated