Unsorted Bin Attack
Jifunze & zoezi la Kuvamia AWS:Mafunzo ya HackTricks ya Mtaalam wa Timu Nyekundu ya AWS (ARTE)
Jifunze & zoezi la Kuvamia GCP:
Mafunzo ya HackTricks ya Mtaalam wa Timu Nyekundu ya GCP (GRTE)
Taarifa Msingi
Kwa habari zaidi kuhusu ni nini benki isiyopangwa angalia ukurasa huu:
Bins & Memory AllocationsOrodha zisizopangwa zinaweza kuandika anwani kwa unsorted_chunks (av)
kwenye anwani ya bk
ya kipande. Kwa hivyo, ikiwa mshambuliaji anaweza kurekebisha anwani ya kielekezi cha bk
katika kipande ndani ya benki isiyopangwa, anaweza kuwa na uwezo wa kuandika anwani hiyo katika anwani ya aina yoyote ambayo inaweza kusaidia kuvuja anwani za Glibc au kuepuka ulinzi fulani.
Kwa hivyo, kimsingi, shambulio hili linaruhusu kuweka nambari kubwa kwenye anwani ya aina yoyote. Nambari kubwa hii ni anwani, ambayo inaweza kuwa anwani ya rundo au anwani ya Glibc. Lengo la kawaida ni global_max_fast
kuruhusu kuunda benki za haraka zenye saizi kubwa (na kupita kutoka shambulio la benki isiyopangwa hadi shambulio la benki ya haraka).
Kwa kuangalia mfano uliotolewa katika https://ctf-wiki.mahaloz.re/pwn/linux/glibc-heap/unsorted_bin_attack/#principle na kutumia 0x4000 na 0x5000 badala ya 0x400 na 0x500 kama saizi za kipande (kuepuka Tcache) inawezekana kuona kwamba siku hizi kosa malloc(): unsorted double linked list corrupted
linasababishwa.
Kwa hivyo, shambulio la benki isiyopangwa sasa (miongoni mwa ukaguzi mwingine) pia inahitaji kuweza kurekebisha orodha iliyodoubli ili hii ipuuzwe victim->bk->fd == victim
au sio victim->fd == av (arena)
, ambayo inamaanisha kwamba anwani ambapo tunataka kuandika lazima iwe na anwani ya kipande bandia katika nafasi yake ya fd
na kwamba kipande bandia fd
inaelekeza kwenye uwanja.
Tafadhali elewa kwamba shambulio hili linaharibu benki isiyopangwa (hivyo ndogo na kubwa pia). Kwa hivyo tunaweza tumia vipande kutoka kwa benki ya haraka sasa (programu yenye utata zaidi inaweza kufanya alokesheni zingine na kugonga), na kuzindua hii lazima aloke kwa saizi ile ile au programu itaanguka.
Tafadhali elewa kwamba kubadilisha global_max_fast
kunaweza kusaidia katika kesi hii kwa kuamini kwamba benki ya haraka itaweza kushughulikia alokesheni zingine zote hadi shambulio linakamilika.
Msimbo kutoka guyinatuxedo unaelezea vizuri, ingawa ikiwa utabadilisha mallocs kuweka kumbukumbu kubwa ya kutosha ili isimalize kwenye Tcache unaweza kuona kosa lililotajwa hapo awali linalozuia mbinu hii: malloc(): unsorted double linked list corrupted
Shambulio la Unsorted Bin Infoleak
Hii ni dhana ya msingi sana. Vipande katika benki isiyopangwa vitakuwa na kielekezi. Kipande cha kwanza katika benki isiyopangwa kimsingi kitakuwa na viungo vya fd
na bk
vinavyoelekeza sehemu ya uwanja mkuu (Glibc).
Kwa hivyo, ikiwa unaweza kuweka kipande ndani ya benki isiyopangwa na kusoma (tumia baada ya kuachilia) au kualokesheni tena bila kubadilisha angalau 1 ya viungo kisha kusoma hiyo, unaweza kuwa na uvujaji wa habari za Glibc.
Shambulio linalotumiwa katika andiko hili, lilikuwa kutumia muundo wa vipande 4 (A, B, C na D - D ni kuzuia konsolidisheni na kipande cha juu) hivyo kuzidi kwa herufi sifuri katika B kulitumika kufanya C ionyeshe kuwa B haikutumiwa. Pia, katika B data ya prev_size
ilibadilishwa ili saizi badala ya kuwa saizi ya B iwe A+B.
Kisha C iliondolewa, na konsolidishwa na A+B (lakini B ilikuwa bado inatumika). Kipande kipya cha saizi ya A kilialokeshwa na kisha anwani zilizovuja za libc ziliandikwa kwenye B kutoka ambapo zilivuja.
Marejeo & Mifano Mingine
Lengo ni kubadilisha kigezo la jumla na thamani kubwa kuliko 4869 ili iwezekane kupata bendera na PIE haipo.
Inawezekana kuzalisha vipande vya saizi za aina yoyote na kuna kuzidi kwa rundo lenye saizi inayotakiwa.
Shambulio linaanza kwa kuunda vipande 3: kipande0 kutumia kuzidi, kipande1 kuwa na kuzidi na kipande2 ili kuzuia konsolidisheni na vipande vilivyotangulia.
Kisha, kipande1 kinaachiliwa na kipande0 kina kuzidi kwa kielekezi cha
bk
cha kipande1 kinaelekeza:bk = magic - 0x10
Kisha, kipande3 kinalokeshwa na saizi sawa na kipande1, ambacho kitazindua shambulio la benki isiyopangwa na kurekebisha thamani ya kigezo la jumla, kuruhusu kupata bendera.
Kazi ya kufunga ina mapungufu kwa sababu ikiwa viashiria vyote viwili vilivyopitishwa ni sawa itarealloc juu yake na kisha kuifuta lakini kurudisha kielekezi kwa eneo hilo lililofutwa ambalo linaweza kutumika.
Kwa hivyo, vipande 2 vinavyoundwa: kipande0 ambacho kitakusanywa na yenyewe na kipande1 kuzuia konsolidisheni na kipande cha juu. Kisha, kazi ya kufunga inaitwa na kipande0 mara mbili ambayo itasababisha matumizi baada ya kuachilia.
Kisha, kazi ya
view
inaitwa na index 2 (ambayo ni index ya kipande baada ya kutumia baada ya kuachilia), ambayo ita vujisha anwani ya libc.Kwa kuwa binary ina ulinzi wa tu malloc saizi kubwa kuliko
global_max_fast
hivyo hakuna fastbin inayotumiwa, shambulio la benki isiyopangwa litatumika kurekebisha kigezo cha jumlaglobal_max_fast
.Kisha, inawezekana kuita kazi ya hariri na index 2 (kielekezi baada ya kutumia baada ya kuachilia) na kurekebisha kielekezi cha
bk
ili kielekeze kwap64(global_max_fast-0x10)
. Kisha, kuunda kipande kipya kutatumia kielekezi kilichofutwa hapo awali (0x20) kutazindua shambulio la benki isiyopangwa kurekebishaglobal_max_fast
na thamani kubwa sana, kuruhusu sasa kuunda vipande katika benki za haraka.Sasa shambulio la benki ya haraka linatekelezwa:
Kwanza kabisa inagundulika kwamba inawezekana kufanya kazi na vipande vya haraka vya saizi 200 kwenye eneo la
__free_hook
:
$1 = (void (**)(void *, const void *)) 0x7ff1e9e607a8 <__free_hook> gef➤ x/60gx 0x7ff1e9e607a8 - 0x59
0x7ff1e9e6074f: 0x0000000000000000 0x0000000000000200
0x7ff1e9e6075f: 0x0000000000000000 0x0000000000000000 0x7ff1e9e6076f <list_all_lock+15>: 0x0000000000000000 0x0000000000000000 0x7ff1e9e6077f <_IO_stdfile_2_lock+15>: 0x0000000000000000 0x0000000000000000
Ikiwa tutafanikiwa kupata kipande cha haraka cha ukubwa wa 0x200 katika eneo hili, itakuwa inawezekana kubadilisha pointer ya kazi ambayo itatekelezwa
Kwa hili, kipande kipya cha ukubwa wa
0xfc
huzalishwa na kazi iliyohaririwa huitwa mara mbili na pointer hiyo, njia hii tunapata pointer kwa kipande kilichofutwa cha ukubwa wa0xfc*2 = 0x1f8
katika fast bin.Kisha, kazi ya hariri inaitwa katika kipande hiki kurekebisha anwani ya
fd
ya fast bin hii ielekeze kwa kazi ya awali ya__free_hook
.Kisha, kipande cha ukubwa wa
0x1f8
huzalishwa ili kupata kutoka kwa fast bin kipande cha hapo awali kisichotumika hivyo kipande kingine cha ukubwa wa0x1f8
huzalishwa ili kupata kipande cha fast bin katika__free_hook
ambayo inabadilishwa na anwani ya kazi yasystem
.Na hatimaye kipande kinachohifadhi string
/bin/sh\x00
hurudishwa kwa kuita kazi ya kufuta, kuzindua kazi ya__free_hook
ambayo inaelekeza kwa mfumo na/bin/sh\x00
kama parameta.Mfano mwingine wa kutumia kipindi cha 1B kufanya kipande cha unsorted bin na kupata libc infoleak na kisha kufanya shambulio la fast bin kubadilisha kitanzi cha malloc na anwani ya one gadget
Tunaweza tu kuweka vipande vya ukubwa zaidi ya
0x100
.Badilisha
global_max_fast
kwa kutumia shambulio la Unsorted Bin (inafanya kazi 1/16 ya wakati kutokana na ASLR, kwa sababu tunahitaji kurekebisha bits 12, lakini lazima tubadilishe bits 16).Shambulio la Fast Bin kubadilisha safu ya kimataifa ya vipande. Hii hutoa msingi wa kusoma/ku
Last updated