hacktricks/binary-exploitation/stack-overflow

Stack Overflow

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!
• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

What is a Stack Overflow

Bir stack overflow, bir programın yığın (stack) için ayrılan alandan daha fazla veri yazması durumunda meydana gelen bir güvenlik açığıdır. Bu fazla veri, komşu bellek alanını üst üste yazarak, geçerli verilerin bozulmasına, kontrol akışının kesilmesine ve potansiyel olarak kötü niyetli kodun çalıştırılmasına yol açar. Bu sorun genellikle, girdi üzerinde sınır kontrolü yapmayan güvensiz fonksiyonların kullanılmasından kaynaklanır.

Bu üst yazmanın ana sorunu, kaydedilmiş talimat işaretçisi (EIP/RIP) ve önceki fonksiyona dönmek için kaydedilmiş temel işaretçi (EBP/RBP)'nin yığın üzerinde saklanmasıdır. Bu nedenle, bir saldırgan bunları üst üste yazarak programın yürütme akışını kontrol edebilir.

Güvenlik açığı genellikle bir fonksiyonun yığının içine ayrılan miktardan daha fazla bayt kopyalaması nedeniyle ortaya çıkar, bu nedenle yığının diğer kısımlarını üst üste yazma yeteneğine sahip olur.

Buna karşı hassas olan bazı yaygın fonksiyonlar: strcpy, strcat, sprintf, gets... Ayrıca, belirtilen uzunluk ayrılan uzunluktan büyükse, fgets, read & memcpy gibi uzunluk argümanı alan fonksiyonlar da savunmasız bir şekilde kullanılabilir.

Örneğin, aşağıdaki fonksiyonlar savunmasız olabilir:

void vulnerable() {
char buffer[128];
printf("Enter some text: ");
gets(buffer); // This is where the vulnerability lies
printf("You entered: %s\n", buffer);
}

Stack Overflow ofsetlerini Bulma

Stack overflow'ları bulmanın en yaygın yolu, çok büyük bir A girişi vermektir (örneğin, python3 -c 'print("A"*1000)') ve 0x41414141 adresinin erişilmeye çalışıldığını belirten bir Segmentation Fault beklemektir.

Ayrıca, Stack Overflow zafiyetini bulduktan sonra, geri dönüş adresini yazmak için gereken ofseti bulmanız gerekecek, bunun için genellikle bir De Bruijn dizisi kullanılır. Verilen bir k boyutundaki alfabede ve n uzunluğundaki alt diziler için, bu, her olası _n_** uzunluğundaki alt dizinin tam olarak bir kez** bitişik bir alt dizi olarak göründüğü döngüsel bir dizidir.

Bu şekilde, EIP'yi kontrol etmek için hangi ofsetin gerektiğini elle bulmak yerine, bu dizilerden birini dolgu olarak kullanmak ve ardından onu yazmayı bitiren baytların ofsetini bulmak mümkündür.

Bunun için pwntools kullanmak mümkündür:

from pwn import *

# Generate a De Bruijn sequence of length 1000 with an alphabet size of 256 (byte values)
pattern = cyclic(1000)

# This is an example value that you'd have found in the EIP/IP register upon crash
eip_value = p32(0x6161616c)
offset = cyclic_find(eip_value)  # Finds the offset of the sequence in the De Bruijn pattern
print(f"The offset is: {offset}")

veya GEF:

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

Yığın Taşmalarını Sömürme

Bir taşma sırasında (taşma boyutunun yeterince büyük olduğunu varsayarsak) yığın içindeki yerel değişkenlerin değerlerini üst üste yazma imkanına sahip olacaksınız, bu da kaydedilmiş EBP/RBP ve EIP/RIP'ye (veya daha fazlasına) ulaşana kadar devam eder.
Bu tür bir güvenlik açığını istismar etmenin en yaygın yolu, dönüş adresini değiştirmektir, böylece fonksiyon sona erdiğinde kontrol akışı, kullanıcının bu işaretçide belirttiği yere yönlendirilecektir.

Ancak, diğer senaryolarda sadece yığındaki bazı değişken değerlerini üst üste yazmak istismar için yeterli olabilir (kolay CTF zorluklarında olduğu gibi).

Ret2win

Bu tür CTF zorluklarında, asla çağrılmayan ve kazanmak için çağırmanız gereken bir fonksiyon binary içinde bulunmaktadır. Bu zorluklar için sadece dönüş adresini üst üste yazmak için ofseti bulmanız ve çağırılacak fonksiyonun adresini bulmanız gerekir (genellikle ASLR devre dışı bırakılmış olacaktır) böylece savunmasız fonksiyon döndüğünde, gizli fonksiyon çağrılacaktır:

{% content-ref url="ret2win/" %} ret2win {% endcontent-ref %}

Yığın Shellcode

Bu senaryoda, saldırgan yığında bir shellcode yerleştirebilir ve kontrol edilen EIP/RIP'i kullanarak shellcode'a atlayıp rastgele kod çalıştırabilir:

{% content-ref url="stack-shellcode/" %} stack-shellcode {% endcontent-ref %}

ROP & Ret2... teknikleri

Bu teknik, önceki tekniğin ana korumasını aşmak için temel bir çerçevedir: Çalıştırılamaz yığın (NX). Ve mevcut talimatları istismar ederek rastgele komutlar çalıştıracak diğer birkaç tekniği (ret2lib, ret2syscall...) gerçekleştirmeye olanak tanır:

{% content-ref url="../rop-return-oriented-programing/" %} rop-return-oriented-programing {% endcontent-ref %}

Yığın Taşmaları

Bir taşma her zaman yığında olmayacak, örneğin yığın içinde de olabilir:

{% content-ref url="../libc-heap/heap-overflow.md" %} heap-overflow.md {% endcontent-ref %}

Koruma Türleri

Güvenlik açıklarının istismarını önlemeye çalışan çeşitli korumalar vardır, bunları kontrol edin:

{% content-ref url="../common-binary-protections-and-bypasses/" %} common-binary-protections-and-bypasses {% endcontent-ref %}

{% hint style="success" %} AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!
• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**
• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.

{% endhint %}