ASLR
Naučite i vežbajte hakovanje AWS-a:HackTricks Obuka AWS Crveni Tim Stručnjak (ARTE)
Naučite i vežbajte hakovanje GCP-a:
HackTricks Obuka GCP Crveni Tim Stručnjak (GRTE)
Osnovne informacije
Randomizacija rasporeda adresnog prostora (ASLR) je sigurnosna tehnika koja se koristi u operativnim sistemima da randomizuje memorijske adrese koje koriste sistemski i aplikativni procesi. Na taj način, značajno otežava napadaču da predvidi lokaciju određenih procesa i podataka, kao što su stek, hip i biblioteke, čime se umanjuje određene vrste eksploatacija, posebno prelivanje bafera.
Provera statusa ASLR-a
Da biste proverili status ASLR-a na Linux sistemu, možete pročitati vrednost iz datoteke /proc/sys/kernel/randomize_va_space
. Vrednost koja se čuva u ovoj datoteci određuje vrstu primenjenog ASLR-a:
0: Bez randomizacije. Sve je statično.
1: Konzervativna randomizacija. Deljenje biblioteka, stek, mmap(), VDSO stranica su randomizovani.
2: Potpuna randomizacija. Pored elemenata randomizovanih konzervativnom randomizacijom, memorija upravljana putem
brk()
je randomizovana.
Možete proveriti status ASLR-a pomoću sledeće komande:
Onemogućavanje ASLR-a
Da biste onemogućili ASLR, postavite vrednost /proc/sys/kernel/randomize_va_space
na 0. Onemogućavanje ASLR-a obično se ne preporučuje osim u testnim ili debagirajućim scenarijima. Evo kako to možete onemogućiti:
Takođe možete onemogućiti ASLR za izvršavanje sa:
Omogućavanje ASLR-a
Za omogućavanje ASLR-a, možete upisati vrednost 2 u datoteku /proc/sys/kernel/randomize_va_space
. Obično je potrebno imati privilegije root korisnika. Potpuna randomizacija se može postići sledećom komandom:
Upornost preko ponovnog pokretanja
Promene napravljene pomoću echo
komandi su privremene i biće resetovane prilikom ponovnog pokretanja. Da biste napravili promenu postojanom, morate urediti datoteku /etc/sysctl.conf
i dodati ili izmeniti sledeću liniju:
Nakon uređivanja /etc/sysctl.conf
, primenite promene sa:
Ovo će osigurati da vaše ASLR postavke ostanu iste nakon ponovnog pokretanja.
Bypasses
Brute-forcing za 32 bita
PaX deli prostor adresa procesa u 3 grupe:
Kod i podaci (inicijalizovani i neinicijalizovani):
.text
,.data
, i.bss
—> 16 bitova entropije u promenljivojdelta_exec
. Ova promenljiva se nasumično inicijalizuje sa svakim procesom i dodaje se početnim adresama.Memorija alocirana pomoću
mmap()
i deljeni biblioteke —> 16 bitova, nazvanodelta_mmap
.Stek —> 24 bita, nazvan
delta_stack
. Međutim, efektivno koristi 11 bitova (od 10. do 20. bajta uključujući), poravnato na 16 bajtova —> Ovo rezultira u 524,288 mogućih stvarnih adresa steka.
Prethodni podaci su za 32-bitne sisteme i smanjena konačna entropija omogućava zaobilaženje ASLR-a pokušavanjem izvršenja iznova i iznova dok eksploatacija ne uspe.
Ideje za brute-force:
Ako imate dovoljno veliko preplavljivanje da biste mogli da smestite veliki NOP sled pre shell koda, možete jednostavno brute-force adrese na steku dok tok preskoči neki deo NOP sleda.
Druga opcija za ovo u slučaju da preplavljivanje nije toliko veliko i eksploatacija može da se pokrene lokalno je moguće dodati NOP sled i shell kod u promenljivu okruženja.
Ako je eksploatacija lokalna, možete pokušati da brute-forceujete baznu adresu libc-a (korisno za 32-bitne sisteme):
Ako napadate udaljeni server, možete pokušati bruteforce-ovati adresu
libc
funkcijeusleep
, prosleđujući kao argument 10 (na primer). Ako server u nekom trenutku dodatno odgovori za 10s, pronašli ste adresu ove funkcije.
Na 64-bitnim sistemima entropija je mnogo veća i ovo ne bi trebalo da bude moguće.
Brute-forceovanje steka na 64 bita
Moguće je zauzeti veliki deo steka sa env promenljivama i zatim pokušati zloupotrebiti binarni fajl stotine/hiljade puta lokalno kako biste ga iskoristili. Sledeći kod pokazuje kako je moguće samo izabrati adresu na steku i svakih nekoliko stotina izvršavanja ta adresa će sadržati NOP instrukciju:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-40d15d70ea7cd2aca50e1cd328bb478b5d5684ae%252Fimage%2520%281214%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c1d31dd3&sv=1)
Lokalne informacije (/proc/[pid]/stat
)
/proc/[pid]/stat
)Datoteka /proc/[pid]/stat
procesa uvek je čitljiva za sve i sadrži zanimljive informacije kao što su:
startcode & endcode: Adrese iznad i ispod sa TEXT delom binarnog fajla
startstack: Adresa početka steka
start_data & end_data: Adrese iznad i ispod gde je BSS
kstkesp & kstkeip: Trenutne adrese ESP i EIP
arg_start & arg_end: Adrese iznad i ispod gde su CLI argumenti
env_start & env_end: Adrese iznad i ispod gde su okružne promenljive
Stoga, ako je napadač na istom računaru kao binarni fajl koji se eksploatiše i taj binarni fajl ne očekuje prekoračenje iz sirovih argumenata, već iz drugog ulaza koji može biti oblikovan nakon čitanja ove datoteke. Moguće je za napadača da dobije neke adrese iz ove datoteke i konstruiše ofsete iz njih za eksploataciju.
Za više informacija o ovoj datoteci pogledajte https://man7.org/linux/man-pages/man5/proc.5.html pretražujući /proc/pid/stat
Imajući curenje
Izazov je dati curenje
Ako vam je dato curenje (jednostavni CTF izazovi), možete izračunati ofsete iz njega (pretpostavljajući na primer da znate tačnu verziju libc-a koja se koristi u sistemu koji eksploatišete). Ovaj primer eksploatacije je izvučen iz primera sa ovog mesta (proverite tu stranicu za više detalja):
ret2plt
Zloupotrebom prelivanja bafera bilo bi moguće iskoristiti ret2plt za eksfiltraciju adrese funkcije iz libc-a. Proverite:
Ret2pltProizvoljno čitanje formatiranih stringova
Baš kao i u ret2plt, ako imate proizvoljno čitanje putem ranjivosti formatiranih stringova, moguće je eksfiltrirati adresu libc funkcije iz GOT-a. Sledeći primer je odavde:
Možete pronaći više informacija o proizvoljnom čitanju formatnih stringova u:
Format StringsRet2ret & Ret2pop
Pokušajte zaobići ASLR zloupotrebom adresa unutar steka:
Ret2ret & Reo2popvsyscall
Mehanizam vsyscall
služi za poboljšanje performansi omogućavajući određenim sistemskim pozivima da se izvrše u korisničkom prostoru, iako su oni suštinski deo jezgra. Ključna prednost vsyscall leži u njihovim fiksnim adresama, koje nisu podložne ASLR (Randomizacija rasporeda prostora adresa). Ova fiksna priroda znači da napadači ne zahtevaju ranjivost curenja informacija da bi odredili njihove adrese i koristili ih u eksploataciji.
Međutim, ovde neće biti pronađeni super interesantni gedžeti (iako je na primer moguće dobiti ekvivalent ret;
)
(Sledeći primer i kod su iz ovog izveštaja)
Na primer, napadač može koristiti adresu 0xffffffffff600800
unutar eksploata. Dok pokušaj skoka direktno na ret
instrukciju može dovesti do nestabilnosti ili rušenja nakon izvršavanja nekoliko gedžeta, skakanje na početak syscall
koji pruža odeljak vsyscall može biti uspešno. Pažljivim postavljanjem ROP gedžeta koji vodi izvršenje ka ovoj adresi vsyscall, napadač može postići izvršenje koda bez potrebe za zaobilaženjem ASLR za ovaj deo eksploata.
vDSO
Zapamtite stoga kako bi bilo moguće zaobići ASLR zloupotrebom vdso-a ako je kernel kompajliran sa CONFIG_COMPAT_VDSO jer adresa vdso-a neće biti randomizovana. Za više informacija pogledajte:
Ret2vDSOLast updated