Ret2win
Informações Básicas
Os desafios Ret2win são uma categoria popular em competições de Capture The Flag (CTF), especialmente em tarefas que envolvem exploração binária. O objetivo é explorar uma vulnerabilidade em um binário fornecido para executar uma função específica e não solicitada dentro do binário, geralmente chamada de win
, flag
, etc. Essa função, quando executada, geralmente imprime uma bandeira ou uma mensagem de sucesso. O desafio geralmente envolve sobrescrever o endereço de retorno na pilha para desviar o fluxo de execução para a função desejada. Aqui está uma explicação mais detalhada com exemplos:
Exemplo em C
Considere um programa C simples com uma vulnerabilidade e uma função win
que pretendemos chamar:
Para compilar este programa sem proteções de pilha e com ASLR desativado, você pode usar o seguinte comando:
-m32
: Compila o programa como um binário de 32 bits (isso é opcional, mas comum em desafios CTF).-fno-stack-protector
: Desativa proteções contra estouro de pilha.-z execstack
: Permite a execução de código na pilha.-no-pie
: Desativa o Executável Independente de Posição para garantir que o endereço da funçãowin
não mude.-o vulnerable
: Nomeia o arquivo de saída comovulnerable
.
Exploração em Python usando Pwntools
Para a exploração, usaremos o pwntools, um poderoso framework CTF para escrever exploits. O script de exploit criará um payload para sobrecarregar o buffer e sobrescrever o endereço de retorno com o endereço da função win
.
Para encontrar o endereço da função win
, você pode usar gdb, objdump, ou qualquer outra ferramenta que permita inspecionar arquivos binários. Por exemplo, com objdump
, você poderia usar:
Este comando mostrará o assembly da função win
, incluindo o seu endereço de início.
O script Python envia uma mensagem cuidadosamente elaborada que, ao ser processada pela vulnerable_function
, causa um estouro de buffer e sobrescreve o endereço de retorno na pilha com o endereço de win
. Quando a vulnerable_function
retorna, em vez de retornar para main
ou sair, ela salta para win
e a mensagem é impressa.
Proteções
PIE deve ser desativado para que o endereço seja confiável em diferentes execuções, caso contrário, o endereço onde a função será armazenada não será sempre o mesmo e seria necessário algum vazamento para descobrir onde a função
win
está carregada. Em alguns casos, quando a função que causa o estouro éread
ou similar, você pode fazer uma Sobrescrita Parcial de 1 ou 2 bytes para alterar o endereço de retorno para ser a funçãowin
. Devido ao funcionamento do ASLR, os últimos três nibbles hexadecimais não são randomizados, então há uma chance de 1/16 (1 nibble) de obter o endereço de retorno correto.Canários de Pilha também devem ser desativados, caso contrário, o endereço de retorno comprometido do EIP nunca será seguido.
Outros exemplos e Referências
32 bits, sem ASLR
64 bits com ASLR, com um vazamento do endereço binário
64 bits, sem ASLR
32 bits, sem ASLR, duplo estouro pequeno, primeiro para estourar a pilha e aumentar o tamanho do segundo estouro
32 bits, relro, sem canário, nx, sem pie, string de formato para sobrescrever o endereço
fflush
com a funçãowin
(ret2win)32 bits, nx, nada mais, sobrescrita parcial do EIP (1Byte) para chamar a função
win
32 bits, nx, nada mais, sobrescrita parcial do EIP (1Byte) para chamar a função
win
O programa está validando apenas o último byte de um número para verificar o tamanho da entrada, portanto é possível adicionar qualquer tamanho, desde que o último byte esteja dentro da faixa permitida. Em seguida, a entrada cria um estouro de buffer explorado com um ret2win.
64 bits, relro, sem canário, nx, pie. Sobrescrita parcial para chamar a função
win
(ret2win)arm64, PIE, fornece um vazamento de PIE, a função
win
na verdade são 2 funções, então o gadget ROP que chama 2 funçõesARM64, off-by-one para chamar uma função
win
Exemplo ARM64
pageRet2win - arm64Last updated