Ret2win
Informazioni di Base
Le sfide Ret2win sono una categoria popolare nelle competizioni di Capture The Flag (CTF), in particolare nei compiti che coinvolgono exploit binari. L'obiettivo è sfruttare una vulnerabilità in un binario dato per eseguire una funzione specifica e non invocata all'interno del binario, spesso chiamata win
, flag
, ecc. Questa funzione, quando eseguita, di solito stampa una flag o un messaggio di successo. La sfida di solito coinvolge sovrascrivere l'indirizzo di ritorno nello stack per deviare il flusso di esecuzione alla funzione desiderata. Ecco una spiegazione più dettagliata con esempi:
Esempio in C
Considera un semplice programma in C con una vulnerabilità e una funzione win
che intendiamo chiamare:
Per compilare questo programma senza protezioni dello stack e con ASLR disabilitato, puoi utilizzare il seguente comando:
-m32
: Compila il programma come un binario a 32 bit (questo è facoltativo ma comune nelle sfide CTF).-fno-stack-protector
: Disabilita le protezioni contro gli stack overflow.-z execstack
: Consente l'esecuzione di codice nello stack.-no-pie
: Disabilita l'eseguibile a posizione indipendente per garantire che l'indirizzo della funzionewin
non cambi.-o vulnerable
: Nomina il file di outputvulnerable
.
Python Exploit usando Pwntools
Per l'exploit, useremo pwntools, un potente framework CTF per scrivere exploit. Lo script di exploit creerà un payload per sovrascrivere il buffer e sovrascrivere l'indirizzo di ritorno con l'indirizzo della funzione win
.
Per trovare l'indirizzo della funzione win
, puoi utilizzare gdb, objdump, o qualsiasi altro strumento che ti permetta di ispezionare file binari. Ad esempio, con objdump
, potresti utilizzare:
Questo comando mostrerà l'assembly della funzione win
, inclusivo del suo indirizzo di inizio.
Lo script Python invia un messaggio attentamente elaborato che, quando elaborato dalla vulnerable_function
, provoca un buffer overflow e sovrascrive l'indirizzo di ritorno nello stack con l'indirizzo di win
. Quando vulnerable_function
ritorna, anziché tornare a main
o uscire, salta a win
, e il messaggio viene stampato.
Protezioni
PIE dovrebbe essere disabilitato affinché l'indirizzo sia affidabile tra le esecuzioni o l'indirizzo in cui la funzione sarà memorizzata non sarà sempre lo stesso e avresti bisogno di qualche leak per capire dove è caricata la funzione win. In alcuni casi, quando la funzione che causa l'overflow è
read
o simile, puoi fare un sovrascrittura parziale di 1 o 2 byte per cambiare l'indirizzo di ritorno in modo che sia la funzione win. A causa di come funziona ASLR, gli ultimi tre nibble esadecimali non sono randomizzati, quindi c'è una possibilità su 16 (1 nibble) di ottenere l'indirizzo di ritorno corretto.Anche i Canary dello Stack dovrebbero essere disabilitati o l'indirizzo di ritorno EIP compromesso non verrà mai seguito.
Altri esempi e Riferimenti
32 bit, senza ASLR
64 bit con ASLR, con un leak dell'indirizzo binario
64 bit, senza ASLR
32 bit, senza ASLR, doppio piccolo overflow, prima per sovrascrivere lo stack e ingrandire la dimensione del secondo overflow
32 bit, relro, senza canary, nx, senza pie, stringa di formato per sovrascrivere l'indirizzo
fflush
con la funzione win (ret2win)32 bit, nx, nient'altro, sovrascrittura parziale di EIP (1Byte) per chiamare la funzione win
32 bit, nx, nient'altro, sovrascrittura parziale di EIP (1Byte) per chiamare la funzione win
Il programma sta solo convalidando l'ultimo byte di un numero per controllare la dimensione dell'input, quindi è possibile aggiungere qualsiasi dimensione purché l'ultimo byte sia all'interno dell'intervallo consentito. Quindi, l'input crea un buffer overflow sfruttato con un ret2win.
64 bit, relro, senza canary, nx, pie. Sovrascrittura parziale per chiamare la funzione win (ret2win)
arm64, PIE, fornisce un leak di PIE la funzione win è effettivamente composta da 2 funzioni quindi gadget ROP che chiama 2 funzioni
ARM64, off-by-one per chiamare una funzione win
Esempio ARM64
pageRet2win - arm64Last updated