WWW2Exec - atexit(), TLSストレージとその他の混乱したポインタ

Reading time: 13 minutes

__atexit構造体

atexit()は、他の関数がパラメータとして渡される関数です。これらの関数は、exit()またはmainの戻りを実行する際に実行されます。
もしこれらの関数のアドレスをシェルコードなどを指すように変更できれば、プロセスを制御することができますが、現在はこれがより複雑です。
現在、実行される関数へのアドレスは、いくつかの構造の背後に隠されており、最終的に指すアドレスは関数のアドレスではなく、XORで暗号化され、ランダムキーでオフセットされています。したがって、現在この攻撃ベクターはx86およびx64_86ではあまり役に立ちません。
暗号化関数は**PTR_MANGLEです。m68k、mips32、mips64、aarch64、arm、hppaなどの他のアーキテクチャは、暗号化関数を実装していません**。なぜなら、それは入力として受け取ったものと同じを返すからです。したがって、これらのアーキテクチャはこのベクターで攻撃可能です。

この仕組みの詳細な説明はhttps://m101.github.io/binholic/2017/05/20/notes-on-abusing-exit-handlers.htmlで見つけることができます。

link_map

この投稿で説明されているように、プログラムがreturnまたはexit()を使用して終了すると、__run_exit_handlers()が実行され、登録されたデストラクタが呼び出されます。

重要なコードは（source）：

ElfW(Dyn) *fini_array = map->l_info[DT_FINI_ARRAY];
if (fini_array != NULL)
{
ElfW(Addr) *array = (ElfW(Addr) *) (map->l_addr + fini_array->d_un.d_ptr);
size_t sz = (map->l_info[DT_FINI_ARRAYSZ]->d_un.d_val / sizeof (ElfW(Addr)));

while (sz-- > 0)
((fini_t) array[sz]) ();
}
[...]




// This is the d_un structure
ptype l->l_info[DT_FINI_ARRAY]->d_un
type = union {
Elf64_Xword d_val;	// address of function that will be called, we put our onegadget here
Elf64_Addr d_ptr;	// offset from l->l_addr of our structure
}

map -> l_addr + fini_array -> d_un.d_ptr を使用して 関数呼び出しの配列の位置を計算することに注意してください。

いくつかのオプションがあります：

• map->l_addr の値を上書きして、任意のコードを実行するための 偽の fini_array を指すようにします。
• l_info[DT_FINI_ARRAY] と l_info[DT_FINI_ARRAYSZ] のエントリ（メモリ内でほぼ連続しています）を上書きして、偽の Elf64_Dyn 構造体を指すようにします。これにより、再び array が攻撃者が制御するメモリ ゾーンを指すようになります。
• この解説 は、.bss 内の制御されたメモリのアドレスで l_info[DT_FINI_ARRAY] を上書きし、偽の fini_array を含んでいます。この偽の配列には 最初に one gadget のアドレス が含まれており、実行され、その後 この偽の配列のアドレスと map->l_addr の値の間の 差 が含まれ、*array が偽の配列を指すようになります。
• この技術の主な投稿と この解説 によれば、ld.so はスタック上にバイナリ link_map を指すポインタを残します。任意の書き込みを使用してこれを上書きし、攻撃者が制御する偽の fini_array を指すようにすることが可能です。例えば、one gadget のアドレスを含めることができます。

前のコードに続いて、興味深いセクションにコードがあります：

/* Next try the old-style destructor.  */
ElfW(Dyn) *fini = map->l_info[DT_FINI];
if (fini != NULL)
DL_CALL_DT_FINI (map, ((void *) map->l_addr + fini->d_un.d_ptr));
}

この場合、偽造された ElfW(Dyn) 構造体を指す map->l_info[DT_FINI] の値を上書きすることが可能です。 こちらに詳細情報があります。

TLS-Storage dtor_list の上書き in __run_exit_handlers

こちらで説明されているように、プログラムが return または exit() を介して終了すると、登録されたデストラクタ関数を呼び出す __run_exit_handlers() が実行されます。

_run_exit_handlers() のコード:

/* Call all functions registered with `atexit' and `on_exit',
in the reverse of the order in which they were registered
perform stdio cleanup, and terminate program execution with STATUS.  */
void
attribute_hidden
__run_exit_handlers (int status, struct exit_function_list **listp,
bool run_list_atexit, bool run_dtors)
{
/* First, call the TLS destructors.  */
#ifndef SHARED
if (&__call_tls_dtors != NULL)
#endif
if (run_dtors)
__call_tls_dtors ();

__call_tls_dtors() のコード:

typedef void (*dtor_func) (void *);
struct dtor_list //struct added
{
dtor_func func;
void *obj;
struct link_map *map;
struct dtor_list *next;
};

[...]
/* Call the destructors.  This is called either when a thread returns from the
initial function or when the process exits via the exit function.  */
void
__call_tls_dtors (void)
{
while (tls_dtor_list)		// parse the dtor_list chained structures
{
struct dtor_list *cur = tls_dtor_list;		// cur point to tls-storage dtor_list
dtor_func func = cur->func;
PTR_DEMANGLE (func);						// demangle the function ptr

tls_dtor_list = tls_dtor_list->next;		// next dtor_list structure
func (cur->obj);
[...]
}
}

各登録された関数は tls_dtor_list において、cur->func からポインタをデマングルし、引数 cur->obj で呼び出されます。

この GEFのフォーク の tls 関数を使用すると、実際に dtor_list が スタックカナリア と PTR_MANGLEクッキー に非常に 近い ことがわかります。したがって、これに対するオーバーフローがあれば、クッキー と スタックカナリア を 上書き することが可能です。
PTR_MANGLEクッキーを上書きすることで、PTR_DEMANLE 関数をバイパス することが可能になり、0x00に設定することで、実際のアドレスを取得するために使用される xor は設定されたアドレスだけになります。次に、dtor_list に書き込むことで、関数の アドレス とその 引数 を持つ 複数の関数をチェーン することが可能です。

最後に、保存されたポインタはクッキーと xored されるだけでなく、17ビット回転されることに注意してください：

0x00007fc390444dd4 <+36>:	mov    rax,QWORD PTR [rbx]      --> mangled ptr
0x00007fc390444dd7 <+39>:	ror    rax,0x11		        --> rotate of 17 bits
0x00007fc390444ddb <+43>:	xor    rax,QWORD PTR fs:0x30	--> xor with PTR_MANGLE

新しいアドレスを追加する前に、これを考慮する必要があります。

元の投稿から例を見つけてください。

**__run_exit_handlers**の他の混乱したポインタ

この技術はここで説明されていますが、プログラムが**returnまたはexit()を呼び出して終了することに再び依存しているため、__run_exit_handlers()**が呼び出されます。

この関数のコードをさらに確認してみましょう：

while (true)
{
struct exit_function_list *cur;

restart:
cur = *listp;

if (cur == NULL)
{
/* Exit processing complete.  We will not allow any more
atexit/on_exit registrations.  */
__exit_funcs_done = true;
break;
}

while (cur->idx > 0)
{
struct exit_function *const f = &cur->fns[--cur->idx];
const uint64_t new_exitfn_called = __new_exitfn_called;

switch (f->flavor)
{
void (*atfct) (void);
void (*onfct) (int status, void *arg);
void (*cxafct) (void *arg, int status);
void *arg;

case ef_free:
case ef_us:
break;
case ef_on:
onfct = f->func.on.fn;
arg = f->func.on.arg;
PTR_DEMANGLE (onfct);

/* Unlock the list while we call a foreign function.  */
__libc_lock_unlock (__exit_funcs_lock);
onfct (status, arg);
__libc_lock_lock (__exit_funcs_lock);
break;
case ef_at:
atfct = f->func.at;
PTR_DEMANGLE (atfct);

/* Unlock the list while we call a foreign function.  */
__libc_lock_unlock (__exit_funcs_lock);
atfct ();
__libc_lock_lock (__exit_funcs_lock);
break;
case ef_cxa:
/* To avoid dlclose/exit race calling cxafct twice (BZ 22180),
we must mark this function as ef_free.  */
f->flavor = ef_free;
cxafct = f->func.cxa.fn;
arg = f->func.cxa.arg;
PTR_DEMANGLE (cxafct);

/* Unlock the list while we call a foreign function.  */
__libc_lock_unlock (__exit_funcs_lock);
cxafct (arg, status);
__libc_lock_lock (__exit_funcs_lock);
break;
}

if (__glibc_unlikely (new_exitfn_called != __new_exitfn_called))
/* The last exit function, or another thread, has registered
more exit functions.  Start the loop over.  */
goto restart;
}

*listp = cur->next;
if (*listp != NULL)
/* Don't free the last element in the chain, this is the statically
allocate element.  */
free (cur);
}

__libc_lock_unlock (__exit_funcs_lock);

変数 f は initial 構造体を指しており、f->flavor の値に応じて異なる関数が呼び出されます。
値に応じて、呼び出す関数のアドレスは異なる場所にありますが、常に demangled されています。

さらに、オプション ef_on と ef_cxa では 引数 を制御することも可能です。

デバッグセッションで GEF を実行して gef> p initial で initial 構造体 を確認することができます。

これを悪用するには、PTR_MANGLE クッキーを leak するか消去し、その後 system('/bin/sh') で初期の cxa エントリを上書きする必要があります。
この例は 技術に関する元のブログ投稿 で見つけることができます。