Ret2ret & Reo2pop
Last updated
Last updated
学习和实践 AWS 黑客技术:HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术:HackTricks 培训 GCP 红队专家 (GRTE)
这个技术的主要目标是尝试通过滥用栈中现有指针来绕过 ASLR。
基本上,栈溢出通常是由字符串引起的,而字符串在内存中以空字节结尾。这允许尝试减少由栈中现有指针指向的位置。因此,如果栈包含 0xbfffffdd
,这个溢出可以将其转换为 0xbfffff00
(注意最后一个零字节)。
如果该地址指向我们在栈中的 shellcode,可以通过向 ret
指令添加地址使流程到达该地址,直到到达该地址。
因此,攻击将是这样的:
NOP sled
Shellcode
用指向 ret
的地址覆盖 EIP 的栈(RET sled)
由字符串添加的 0x00 修改栈中的一个地址,使其指向 NOP sled
通过这个链接你可以看到一个易受攻击的二进制文件的示例,在这个链接中是利用该漏洞的示例。
如果你能找到一个完美的指针在栈中而不想修改(在 ret2ret
中我们将最后最低字节更改为 0x00
),你可以执行相同的 ret2ret
攻击,但RET sled 的长度必须减少 1(因此最后的 0x00
会覆盖完美指针之前的数据),并且RET sled 的最后地址必须指向**pop <reg>; ret
。
这样,完美指针之前的数据将从栈中移除(这是受 0x00
影响的数据),并且最终的 ret
将指向栈中的完美地址**而没有任何更改。
通过这个链接你可以看到一个易受攻击的二进制文件的示例,在这个链接中是利用该漏洞的示例。
学习和实践 AWS 黑客技术:HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术:HackTricks 培训 GCP 红队专家 (GRTE)