Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/binary-exploitation/libc-heap/house-of-orange.md

9.4 KiB
Raw Blame History

House of Orange

{% hint style="success" %} AWS Hacking öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)
GCP Hacking öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin
{% endhint %}

Temel Bilgiler

Kod

Amaç

  • malloc_printerr fonksiyonunu kötüye kullanmak

Gereksinimler

  • Üst parça boyutunu üzerine yaz
  • Libc ve heap sızıntıları

Arka Plan

Gerekli arka plan bilgileri bu örneğin** yorumlarından alınabilir:**

Önceki libc sürümlerinde, malloc_printerr fonksiyonu çağrıldığında, _IO_list_all içinde depolanan _IO_FILE yapılarının listesini dolaşır ve aslında bu yapıdaki bir komut işaretçisini çalıştırırdı.
Bu saldırı, sahte bir _IO_FILE yapısı oluşturacak ve bu yapının _IO_list_all'a yazılmasına neden olacak ve malloc_printerr'ın çalışmasına neden olacak.
Daha sonra, _IO_FILE yapılarının atlamalı tablosunda depolanan herhangi bir adresi çalıştıracak ve kod yürüteceğiz.

Saldırı

Saldırı, sıralanmamış parçada üst parçayı elde etmekle başlar. Bu, malloc çağrılarak başarılır; mevcut üst parça boyutundan daha büyük ancak mmp_.mmap_threshold'den (varsayılan olarak 128K) daha küçük bir boyutta. Üst parça boyutu değiştirildiğinde, üst parça + boyutunun sayfa hizalanmış olmasını ve üst parça prev_inuse bitinin her zaman ayarlı olmasını sağlamak önemlidir.

Üst parçayı sıralanmamış parçada elde etmek için, üst parçayı oluşturmak için bir parça tahsis edilir, üst parça boyutu değiştirilir (tahsis edilen parçada taşma ile) böylece üst parça + boyut sayfa hizalanmış ve prev_inuse biti ayarlı olacak şekilde. Daha sonra, yeni üst parça boyutundan daha büyük bir parça tahsis edilir. Üst parçayı sıralanmamış parçaya almak için asla free çağrılmaz.

Eski üst parça şimdi sıralanmamış parçada. İçindeki verileri okuyabiliyorsak (muhtemelen taşmaya neden olan bir zayıflıktan dolayı), libc adreslerini sızdırmak ve _IO_list_all adresini almak mümkündür.

Sıralanmamış parça saldırısı, taşmayı kötüye kullanarak topChunk->bk->fwd = _IO_list_all - 0x10 yazarak gerçekleştirilir. Yeni bir parça tahsis edildiğinde, eski üst parça bölünecek ve sıralanmamış parçaya bir işaretçi yazılacaktır _IO_list_all.

Bir sonraki adım, eski üst parça boyutunu küçültmek ve küçük bir parça içine sığacak şekilde ayarlamaktır, özellikle boyutunu 0x61 olarak ayarlamaktır. Bu iki amaçla hizmet eder:

  1. Küçük Parça 4'e Ekleme: malloc, sıralanmamış parçayı taradığında ve bu parçayı görürse, boyutu küçük olduğundan küçük parça 4'e eklemeye çalışacaktır. Bu, parçanın, _IO_list_all'ın bir yakın adresini _IO_list_all üzerinden yazdığımız için küçük parça 4 listesinin başına gelmesine neden olur.
  2. Malloc Kontrolünü Tetikleme: Bu parça boyutu manipülasyonu, malloc'ın iç kontrolleri yapmasına neden olacaktır. Sahte ileri parça boyutunu kontrol ettiğinde, bu boyut sıfır olacağından bir hata tetikler ve malloc_printerr'ı çağırır.

Küçük parça manipülasyonu, parçanın ileri işaretçisini kontrol etmenizi sağlar. _IO_list_all ile çakışma, sahte bir _IO_FILE yapısı oluşturmak için kullanılır. Yapı, libc'de iç kontrolleri geçen _IO_write_base ve _IO_write_ptr gibi ana alanları içerecek şekilde dikkatlice oluşturulur. Ayrıca, sahte yapı içinde bir atlamalı tablo oluşturulur, burada bir komut işaretçisi, keyfi kodun (örneğin, system işlevinin) yürütülebileceği adres olarak ayarlanır.

Tekniğin geri kalanını özetlemek gerekirse:

  • Eski Üst Parçayı Küçült: Eski üst parçanın boyutunu 0x61 olarak ayarlayarak küçültün.
  • Sahte _IO_FILE Yapısını Kur: Eski üst parçayla çakışan sahte _IO_FILE yapısını oluşturun ve akış kontrolünü ele geçirin.

Bir sonraki adım, şu anda sıralanmamış parçada bulunan eski üst parçayla çakışan sahte _IO_FILE yapısını oluşturmaktır. Bu yapının ilk baytları dikkatlice oluşturulur ve yürütülecek bir komuta (örneğin, "/bin/sh") bir işaretçi içerir.

Sahte _IO_FILE yapısındaki ana alanlar, _IO_write_base ve _IO_write_ptr gibi, libc'de iç kontrolleri geçen değerlere ayarlanır. Ayrıca, sahte yapı içinde bir atlamalı tablo oluşturulur, burada bir komut işaretçisi, keyfi kodun yürütülebileceği adres olarak ayarlanır. Genellikle, bu, system işlevinin adresi veya kabuk komutlarının yürütülebileceği başka bir işlevin adresi olacaktır.

Saldırı, malloc'ın bir çağrısı, manipüle edilmiş _IO_FILE yapısı üzerinden kodun yürütülmesini tetiklediğinde doruğa ulaşır. Bu, genellikle bir kabukun başlatılmasına veya başka kötü amaçlı bir yükün yürütülmesine neden olacak keyfi kod yürütülmesine izin verir.

Saldırının Özeti:

  1. Üst parçayı hazırlayın: Bir parça tahsis edin ve üst parça boyutunu değiştirin.
  2. Üst parçayı sıralanmamış parçaya zorla: Daha büyük bir parça tahsis edin.
  3. Libc adreslerini sızdırın: Zayıflıktan yararlanarak sıralanmamış parçadan okuyun.
  4. Sıralanmamış parça saldırısını gerçekleştirin: Taşma kullanarak _IO_list_all'a yazın.
  5. Eski üst parçayı küçültün: Küçük bir parçaya sığacak şekilde boyutunu ayarlayın.
  6. Sahte _IO_FILE yapısını kurun: Akış kontrolünü ele geçirmek için sahte bir dosya yapısı oluşturun.
  7. Kod yürütmesini tetikleyin: Saldırıyı yürütmek ve keyfi kod çalıştırmak için bir parça tahsis edin.

Bu yaklaşım, free doğrudan çağrılmadan kod yürütme sağlamak için heap yönetimi mekanizmalarını, libc bilgi sızıntılarını ve heap taşmalarını kötüye kullanır. Sahte _IO_FILE yapısını dikkatlice oluşturarak ve doğru konuma yerleştirerek, saldırı standart bellek tahsis işlemleri sırasında kontrol akışını ele geçirebilir. Bu, keyfi kodun yürütülmesine olanak tanır ve genellikle bir kabuk veya diğer kötü amaçlı faaliyetlerin yürütülmesine neden olabilir.

Referanslar

{% hint style="success" %} AWS Hacking'ı öğrenin ve uygulayın: HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)
GCP Hacking'ı öğrenin ve uygulayın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin
{% endhint %}