Stack Pivoting - EBP2Ret - EBP chaining
Taarifa Msingi
Mbinu hii inatumia uwezo wa kudhibiti Msingi wa Alama (EBP) ili kuunganisha utekelezaji wa kazi nyingi kupitia matumizi makini ya daftari la EBP na mfuatano wa maagizo ya leave; ret
.
Kama kumbukumbu, leave
kimsingi inamaanisha:
Na kwa kuwa EBP iko kwenye stack kabla ya EIP inawezekana kuudhibiti kwa kudhibiti stack.
EBP2Ret
Tekniki hii ni muhimu hasa unapoweza kubadilisha kisajili cha EBP lakini huna njia moja kwa moja ya kubadilisha kisajili cha EIP. Inatumia tabia ya kazi wakati zinaisha kutekelezwa.
Ikiwa, wakati wa utekelezaji wa fvuln
, unafanikiwa kuingiza fake EBP kwenye stack inayoashiria eneo kwenye kumbukumbu ambapo anwani ya shellcode yako inapatikana (pamoja na byte 4 kuhesabu operesheni ya pop
), unaweza kudhibiti EIP kwa njia isiyo ya moja kwa moja. Wakati fvuln
inarudi, ESP inawekwa kwenye eneo lililoundwa hili, na operesheni inayofuata ya pop
inapunguza ESP kwa 4, kufanya iweze kuashiria anwani iliyohifadhiwa na mshambuliaji hapo.
Tambua jinsi unavyohitaji kujua anwani 2: Moja ambapo ESP itaenda, ambapo utahitaji kuandika anwani inayoashiriwa na ESP.
Ujenzi wa Utekaji
Kwanza unahitaji kujua anwani ambapo unaweza kuandika data/anwani za kiholela. ESP itaashiria hapa na kutekeleza ret
ya kwanza.
Kisha, unahitaji kujua anwani inayotumiwa na ret
ambayo ita tekeleza kanuni za kiholela. Unaweza kutumia:
Anwani halali ya ONE_GADGET.
Anwani ya
system()
ikifuatiwa na byte 4 za taka na anwani ya"/bin/sh"
(x86 bits).Anwani ya kifaa cha
jump esp;
(ret2esp) ikifuatiwa na shellcode ya kutekelezwa.Baadhi ya mnyororo wa ROP.
Kumbuka kwamba kabla ya anwani yoyote hizi katika sehemu iliyodhibitiwa ya kumbukumbu, lazima iwe na 4
byte kwa sababu ya sehemu ya pop
ya maelekezo ya leave
. Inawezekana kutumia 4B hizi kuweka fake EBP ya pili na kuendelea kudhibiti utekelezaji.
Utekaji wa Off-By-One
Kuna toleo maalum la tekniki hii linalojulikana kama "Utekaji wa Off-By-One". Hutumiwa unapoweza kubadilisha byte ya thamani ndogo zaidi ya EBP. Katika kesi kama hiyo, eneo la kumbukumbu linalohifadhi anwani ya kusonga kwenda na ret
lazima iwe na byte tatu za kwanza na EBP, kuruhusu udanganyifu kama huo chini ya hali zilizozuiwa zaidi.
Kawaida, inabadilishwa byte 0x00 ili kusonga mbali iwezekanavyo.
Pia, ni kawaida kutumia RET sled kwenye stack na kuweka mnyororo halisi wa ROP mwishoni ili kuifanya iwezekane zaidi kwamba ESP mpya inaashiria ndani ya RET SLED na mnyororo wa mwisho wa ROP unatekelezwa.
EBP Chaining
Hivyo, kwa kuweka anwani iliyodhibitiwa kwenye kuingia ya EBP
ya stack na anwani ya leave; ret
katika EIP
, inawezekana kuhamisha ESP
kwenye anwani iliyodhibitiwa ya EBP
kutoka kwenye stack.
Sasa, ESP
inadhibitiwa ikiashiria anwani inayotakiwa na maelekezo inayofuata ya kutekelezwa ni RET
. Ili kutumia hii, inawezekana kuweka mahali pa ESP iliyodhibitiwa hivi:
&(EBP bandia inayofuata)
-> Pakia EBP mpya kwa sababu yapop ebp
kutoka kwa maelekezo yaleave
system()
-> Kuitwa naret
&(leave;ret)
-> Kuitwa baada ya mfumo kumaliza, itahamisha ESP kwa EBP bandia na kuanza tena&("/bin/sh")
-> Param kwasystem
Kimsingi njia hii inawezesha kuunganisha EBPs bandia kadhaa kudhibiti mtiririko wa programu.
Hii ni kama ret2lib, lakini ni ngumu zaidi bila faida inayoonekana lakini inaweza kuwa ya kuvutia katika hali za kipekee.
Zaidi ya hayo, hapa kuna mfano wa changamoto inayotumia tekniki hii na stack leak kuita kazi ya kushinda. Hii ni mzigo wa mwisho kutoka kwenye ukurasa:
EBP huenda isitumike
Kama ilivyoelezwa katika chapisho hili, ikiwa binary imekompiliwa na baadhi ya optimizations, EBP kamwe haitadhibiti ESP, hivyo, shambulio lolote linalofanya kazi kwa kudhibiti EBP litashindwa kimsingi kwa sababu halina athari halisi. Hii ni kwa sababu prologue na epilogue hubadilika ikiwa binary imeoptimize.
Haijaoptimize:
Imeboreshwa:
Njia nyingine za kudhibiti RSP
Gadget ya pop rsp
pop rsp
Katika ukurasa huu unaweza kupata mfano wa kutumia mbinu hii. Kwa changamoto hii ilikuwa lazima kuita kazi na vigezo 2 maalum, na kulikuwa na gadget ya pop rsp
na kuna leak kutoka kwenye stack:
kifaa cha xchg <reg>, rsp
jmp esp
Angalia mbinu ya ret2esp hapa:
pageRet2esp / Ret2regMarejeo & Mifano Mingine
64 bits, off by one exploitation with a rop chain starting with a ret sled
64 bit, no relro, canary, nx and pie. The program grants a leak for stack or pie and a WWW of a qword. First get the stack leak and use the WWW to go back and get the pie leak. Then use the WWW to create an eternal loop abusing
.fini_array
entries + calling__libc_csu_fini
(more info here). Abusing this "eternal" write, it's written a ROP chain in the .bss and end up calling it pivoting with RBP.
ARM64
Katika ARM64, prologue na epilogue ya functions hawaweki na kurejesha SP registry kwenye stack. Zaidi ya hayo, maagizo ya RET
hayarudi kwenye anwani inayoelekezwa na SP, bali kwenye anwani ndani ya x30
.
Hivyo, kwa chaguo-msingi, kwa kudanganya epilogue tu hutaweza kudhibiti SP registry kwa kuandika data fulani kwenye stack. Na hata kama utaweza kudhibiti SP bado utahitaji njia ya kudhibiti x30
register.
prologue
epilogue
Njia ya kufanya kitu kama stack pivoting katika ARM64 itakuwa kuweza kudhibiti SP
(kwa kudhibiti baadhi ya register ambayo thamani yake inapitishwa kwa SP
au kwa sababu fulani SP
inachukua anwani yake kutoka kwenye stack na tuna overflow) na kisha kudanganya epilogue kusoma x30
register kutoka kwa SP
iliyodhibitiwa na RET
kwake.
Pia kwenye ukurasa ufuatao unaweza kuona sawa na Ret2esp katika ARM64:
pageRet2esp / Ret2regLast updated