Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 04:33:28 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/binary-exploitation/heap/house-of-orange.md

9.4 KiB
Raw Permalink Blame History

House of Orange

htARTE (HackTricks AWS Red Team Expert) ile sıfırdan kahraman olmaya kadar AWS hackleme öğrenin!

HackTricks'ı desteklemenin diğer yolları:

Temel Bilgiler

Kod

Amaç

  • malloc_printerr fonksiyonunu kötüye kullanmak

Gereksinimler

  • Üst parça boyutunu üzerine yaz
  • Libc ve heap sızıntıları

Arka Plan

Gerekli arka plan bu örneğin yorumlarından alınmıştır:

Özünde, eski libc sürümlerinde, malloc_printerr fonksiyonu çağrıldığında, _IO_list_all içinde depolanan _IO_FILE yapılarının listesini dolaşır ve aslında bu yapıdaki bir komut işaretçisini çalıştırırdı.
Bu saldırı, sahte bir _IO_FILE yapısı oluşturacak ve bu yapının _IO_list_all'a yazılmasına neden olacak ve malloc_printerr'ın çalışmasına neden olacaktır.
Daha sonra, _IO_FILE yapılarının atlamalı tablosunda depolanan herhangi bir adresi çalıştıracak ve kod yürüteceğiz.

Saldırı

Saldırı, sıralanmamış parçada üst parçayı elde etmekle başlar. Bu, malloc'u mevcut üst parça boyutundan daha büyük ancak mmp_.mmap_threshold'den (varsayılan olarak 128K) daha küçük bir boyutta çağırarak başarılır, aksi takdirde mmap tahsili tetiklenir. Üst parça boyutu değiştirildiğinde, üst parça + boyutunun sayfa hizalı olduğundan ve üst parçanın prev_inuse bitinin her zaman ayarlı olduğundan emin olmak önemlidir.

Üst parçayı sıralanmamış parçada elde etmek için, üst parçayı oluşturmak için bir parça tahsis edin, üst parça boyutunu değiştirin (tahsis edilen parçada taşma ile) böylece üst parça + boyutunun sayfa hizalı ve prev_inuse bitinin ayarlı olduğu bir duruma getirin. Daha sonra, yeni üst parça boyutundan daha büyük bir parça tahsis edin. Üst parçayı sıralanmamış parçaya almak için asla free çağrılmaz.

Eski üst parça şimdi sıralanmamış parçada. İçindeki verileri okuyabiliyorsak (muhtemelen taşmaya neden olan bir zayıflıktan dolayı), libc adreslerini sızdırmak ve _IO_list_all adresini almak mümkündür.

Sıralanmamış parça saldırısı, taşmadan yararlanarak topChunk->bk->fwd = _IO_list_all - 0x10 yazarak gerçekleştirilir. Yeni bir parça tahsis edildiğinde, eski üst parça bölünecek ve sıralanmamış parçaya bir işaretçi yazılacaktır. _IO_list_all'a.

Bir sonraki adım, eski üst parça boyutunu küçültmek ve küçük bir parça içine sığacak şekilde ayarlamaktır, özellikle boyutunu 0x61 olarak ayarlamaktır. Bu iki amaçla hizmet eder:

  1. Küçük Parça 4'e Ekleme: malloc, sıralanmamış parçayı taradığında ve bu parçayı görürse, boyutu küçük olduğundan onu küçük parça 4'e eklemeye çalışacaktır. Bu, parçanın, _IO_list_all'ın FD işaretçisinin konumu olan küçük parça 4 listesinin başına gelmesine neden olur, çünkü sıralanmamış parça saldırısıyla _IO_list_all'a yakın bir adres yazdık.
  2. Malloc Kontrolünü Tetikleme: Bu parça boyutu manipülasyonu, malloc'un iç kontrolleri yapmasına neden olacaktır. Sahte ileri parçanın boyutunu kontrol ettiğinde, bu boyut sıfır olacağından bir hata tetikler ve malloc_printerr'ı çağırır.

Küçük parça manipülasyonu, parçanın ileri işaretçisini kontrol etmenizi sağlar. _IO_list_all ile çakışma, sahte bir _IO_FILE yapısı oluşturmak için kullanılır. Yapı, libc'de iç kontrolleri geçen _IO_write_base ve _IO_write_ptr gibi ana alanları içerecek şekilde dikkatlice oluşturulur. Ayrıca, sahte yapı içinde bir atlamalı tablo oluşturulur, burada bir komut işaretçisi, keyfi kodun (örneğin, system fonksiyonu) yürütülebileceği adres olarak ayarlanır.

Tekniğin geri kalanını özetlemek gerekirse:

  • Eski Üst Parçayı Küçült: Eski üst parçanın boyutunu 0x61 olarak ayarlayarak küçültün.
  • Sahte _IO_FILE Yapısını Kur: Eski üst parçayla çakışan sahte _IO_FILE yapısını oluşturun ve akış kontrolünü ele geçirin.

Bir sonraki adım, şu anda sıralanmamış parçada bulunan eski üst parçayla çakışan sahte bir _IO_FILE yapısı oluşturmaktır. Bu yapının ilk baytları dikkatlice oluşturulur ve yürütülecek bir komuta (örneğin, "/bin/sh") bir işaretçi içerir.

Sahte _IO_FILE yapısındaki ana alanlar, _IO_write_base ve _IO_write_ptr gibi, libc'de iç kontrolleri geçen değerlere ayarlanır. Ayrıca, sahte yapı içinde bir atlamalı tablo oluşturulur, burada bir komut işaretçisi, keyfi kodun yürütülebileceği adres olarak ayarlanır. Genellikle, bu, system fonksiyonunun adresi veya kabuk komutlarını yürütebilecek başka bir fonksiyonun adresi olacaktır.

Saldırı, malloc'un çağrılmasıyla kodun _IO_FILE yapısı üzerinden yürütülmesini tetiklediğinde doruğa ulaşır. Bu, genellikle bir kabukun başlatılmasına veya başka kötü amaçlı bir yükün yürütülmesine neden olabilecek keyfi kod yürütülmesine izin verir.

Saldırının Özeti:

  1. Üst parçayı ayarlayın: Bir parça tahsis edin ve üst parça boyutunu değiştirin.
  2. Üst parçayı sıralanmamış parçaya zorla: Daha büyük bir parça tahsis edin.
  3. Libc adreslerini sızdırın: Sıralanmamış parçadan okumak için zayıflıktan yararlanın.
  4. Sıralanmamış parça saldırısını gerçekleştirin: Taşma kullanarak _IO_list_all'a yazın.
  5. Eski üst parçayı küçültün: Küçük bir parçaya sığacak şekilde boyutunu ayarlayın.
  6. Sahte _IO_FILE yapısını kurun: Akış kontrolünü ele geçirmek için sahte bir dosya yapısı oluşturun.
  7. Kod yürütmesini tetikleyin: Saldırıyı yürütmek ve keyfi kod çalıştırmak için bir parça tahsis edin.

Bu yaklaşım, free doğrudan çağrılmadan kod yürütme sağlamak için heap yönetimi mekanizmalarını, libc bilgi sızıntılarını ve heap taşmalarını kullanır. Sahte _IO_FILE yapısını dikkatlice oluşturarak ve doğru konuma yerleştirerek, saldırı standart bellek tahsisi işlemleri sırasında kontrol akışını ele geçirebilir. Bu, keyfi kod yürütme olanağı sağlar, genellikle bir kabuk veya diğer kötü amaçlı faaliyetlerin yürütülmesine neden olabilir.

Referanslar

AWS hacklemeyi sıfırdan kahraman olmaya öğrenin htARTE (HackTricks AWS Red Team Expert)!

HackTricks'ı desteklemenin diğer yolları: