mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-24 20:13:37 +00:00
60 lines
4.7 KiB
Markdown
60 lines
4.7 KiB
Markdown
|
# Ret2ret & Ret2pop
|
||
|
|
|
||
|
|
{% hint style="success" %}
|
||
|
|
Aprenda e pratique Hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**Treinamento HackTricks AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
|
Aprenda e pratique Hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**Treinamento HackTricks GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary>Suporte ao HackTricks</summary>
|
||
|
|
|
||
|
|
* Verifique os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Compartilhe truques de hacking enviando PRs para os repositórios** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
||
|
|
|
||
|
|
</details>
|
||
|
|
{% endhint %}
|
||
|
|
|
||
|
|
## Ret2ret
|
||
|
|
|
||
|
|
O principal **objetivo** desta técnica é tentar **burlar o ASLR abusando de um ponteiro existente na pilha**.
|
||
|
|
|
||
|
|
Basicamente, estouros de pilha são geralmente causados por strings, e **as strings terminam com um byte nulo no final** na memória. Isso permite tentar reduzir o local apontado por um ponteiro existente na pilha. Assim, se a pilha contiver `0xbfffffdd`, esse estouro poderia transformá-lo em `0xbfffff00` (observe o último byte zerado).
|
||
|
|
|
||
|
|
Se esse endereço apontar para nosso shellcode na pilha, é possível fazer o fluxo alcançar esse endereço adicionando endereços à instrução `ret` até que ele seja alcançado.
|
||
|
|
|
||
|
|
Portanto, o ataque seria assim:
|
||
|
|
|
||
|
|
* Trilha de NOP
|
||
|
|
* Shellcode
|
||
|
|
* Sobrescrever a pilha do EIP com **endereços para `ret`** (trilha de RET)
|
||
|
|
* 0x00 adicionado pela string modificando um endereço da pilha fazendo-o apontar para a trilha de NOP
|
||
|
|
|
||
|
|
Seguindo [**este link**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2ret.c) você pode ver um exemplo de um binário vulnerável e [**neste**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2retexploit.c) o exploit.
|
||
|
|
|
||
|
|
## Ret2pop
|
||
|
|
|
||
|
|
Caso você encontre um **ponteiro perfeito na pilha que não deseja modificar** (no `ret2ret` alteramos o último byte para `0x00`), você pode realizar o mesmo ataque `ret2ret`, mas o **comprimento da trilha de RET deve ser encurtado em 1** (para que o `0x00` final sobrescreva os dados imediatamente antes do ponteiro perfeito), e o **último** endereço da trilha de RET deve apontar para **`pop <reg>; ret`**.\
|
||
|
|
Dessa forma, os **dados antes do ponteiro perfeito serão removidos** da pilha (esses são os dados afetados pelo `0x00`) e o **último `ret` apontará para o endereço perfeito** na pilha sem nenhuma alteração.
|
||
|
|
|
||
|
|
Seguindo [**este link**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2pop.c) você pode ver um exemplo de um binário vulnerável e [**neste**](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/ASLR%20Smack%20and%20Laugh%20reference%20-%20Tilo%20Mueller/ret2popexploit.c) o exploit.
|
||
|
|
|
||
|
|
## Referências
|
||
|
|
|
||
|
|
* [https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/NOTES.md](https://github.com/florianhofhammer/stack-buffer-overflow-internship/blob/master/NOTES.md)
|
||
|
|
|
||
|
|
{% hint style="success" %}
|
||
|
|
Aprenda e pratique Hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**Treinamento HackTricks AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
|
Aprenda e pratique Hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**Treinamento HackTricks GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
|
||
|
|
<details>
|
||
|
|
|
||
|
|
<summary>Suporte ao HackTricks</summary>
|
||
|
|
|
||
|
|
* Verifique os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
||
|
|
* **Junte-se ao** 💬 [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-nos** no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
|
|
* **Compartilhe truques de hacking enviando PRs para os repositórios** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
||
|
|
|
||
|
|
</details>
|
||
|
|
{% endhint %}
|