mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-21 02:23:30 +00:00
56 lines
4.8 KiB
Markdown
56 lines
4.8 KiB
Markdown
|
# Ret2ret & Ret2pop
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary><strong>Aprenda hacking AWS do zero ao avançado com</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||
|
|
|
||
|
|
Outras formas de apoiar o HackTricks:
|
||
|
|
|
||
|
|
* Se você quiser ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF**, confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
|
||
|
|
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
|
|
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Compartilhe seus truques de hacking enviando PRs para os repositórios do** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
||
|
|
|
||
|
|
</details>
|
||
|
|
|
||
|
|
## Ret2ret
|
||
|
|
|
||
|
|
O principal **objetivo** desta técnica é tentar **burlar o ASLR abusando de um ponteiro existente na pilha**.
|
||
|
|
|
||
|
|
Basicamente, estouros de pilha são geralmente causados por strings, e **as strings terminam com um byte nulo no final** na memória. Isso permite tentar reduzir o local apontado por um ponteiro já existente na pilha. Assim, se a pilha contiver `0xbfffffdd`, esse estouro poderia transformá-lo em `0xbfffff00` (observe o último byte zerado).
|
||
|
|
|
||
|
|
Se esse endereço apontar para nosso shellcode na pilha, é possível fazer o fluxo alcançar esse endereço adicionando endereços à instrução `ret` até que ele seja alcançado.
|
||
|
|
|
||
|
|
Portanto, o ataque seria assim:
|
||
|
|
|
||
|
|
* Trilha de NOP
|
||
|
|
* Shellcode
|
||
|
|
* Sobrescrever a pilha do EIP com **endereços para `ret`** (trilha de RET)
|
||
|
|
* 0x00 adicionado pela string modificando um endereço da pilha fazendo-o apontar para a trilha de NOP
|
||
|
|
|
||
|
|
Seguindo [**este link**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2ret.c), você pode ver um exemplo de um binário vulnerável e [**neste**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2retexploit.c) o exploit.
|
||
|
|
|
||
|
|
## Ret2pop
|
||
|
|
|
||
|
|
Caso você encontre um **ponteiro perfeito na pilha que não deseja modificar** (no `ret2ret` alteramos o último byte mais baixo para `0x00`), você pode realizar o mesmo ataque `ret2ret`, mas o **comprimento da trilha de RET deve ser encurtado em 1** (para que o `0x00` final sobrescreva os dados logo antes do ponteiro perfeito), e o **último** endereço da trilha de RET deve apontar para **`pop <reg>; ret`**.\
|
||
|
|
Dessa forma, os **dados antes do ponteiro perfeito serão removidos** da pilha (esses são os dados afetados pelo `0x00`) e o **último `ret` apontará para o endereço perfeito** na pilha sem nenhuma alteração.
|
||
|
|
|
||
|
|
Seguindo [**este link**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2pop.c), você pode ver um exemplo de um binário vulnerável e [**neste**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2popexploit.c) o exploit.
|
||
|
|
|
||
|
|
## Referências
|
||
|
|
|
||
|
|
* [https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/NOTES.md](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/NOTES.md)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary><strong>Aprenda hacking AWS do zero ao avançado com</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||
|
|
|
||
|
|
Outras formas de apoiar o HackTricks:
|
||
|
|
|
||
|
|
* Se você quiser ver sua **empresa anunciada no HackTricks** ou **baixar o HackTricks em PDF**, confira os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* Adquira o [**swag oficial PEASS & HackTricks**](https://peass.creator-spring.com)
|
||
|
|
* Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
|
|
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Compartilhe seus truques de hacking enviando PRs para os repositórios do** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
|