Redirection de Pointeur

Reading time: 2 minutes

Pointeurs de chaîne

Si un appel de fonction va utiliser une adresse d'une chaîne qui est située dans la pile, il est possible d'abuser du débordement de tampon pour écraser cette adresse et mettre une adresse d'une chaîne différente à l'intérieur du binaire.

Si par exemple un appel de fonction system va utiliser l'adresse d'une chaîne pour exécuter une commande, un attaquant pourrait placer l'adresse d'une chaîne différente dans la pile, export PATH=.:$PATH et créer dans le répertoire courant un script avec le nom de la première lettre de la nouvelle chaîne car cela sera exécuté par le binaire.

Vous pouvez trouver un exemple de cela dans :

• https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/strptr.c
• https://guyinatuxedo.github.io/04-bof_variable/tw17_justdoit/index.html
• 32 bits, changer l'adresse de la chaîne de drapeaux dans la pile pour qu'elle soit imprimée par puts

Pointeurs de fonction

Même principe que pour les pointeurs de chaîne mais appliqué aux fonctions, si la pile contient l'adresse d'une fonction qui sera appelée, il est possible de la changer (par exemple pour appeler system).

Vous pouvez trouver un exemple dans :

• https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/funcptr.c

Références

• https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/NOTES.md#pointer-redirecting