Βασική Μεθοδολογία Εκμετάλλευσης Δυαδικών Αρχείων

Μάθετε το χάκινγκ στο AWS από το μηδέν μέχρι τον ήρωα με το htARTE (HackTricks AWS Red Team Expert)!

Άλλοι τρόποι υποστήριξης του HackTricks:

Αν θέλετε να δείτε την εταιρεία σας διαφημισμένη στο HackTricks ή να κατεβάσετε το HackTricks σε μορφή PDF ελέγξτε τα ΣΧΕΔΙΑ ΣΥΝΔΡΟΜΗΣ!
Αποκτήστε το επίσημο PEASS & HackTricks swag
Ανακαλύψτε την Οικογένεια PEASS, τη συλλογή μας από αποκλειστικά NFTs
Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα τηλεγραφήματος ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.
Μοιραστείτε τα χάκινγκ κόλπα σας υποβάλλοντας PRs στα HackTricks και HackTricks Cloud αποθετήρια του github.

Βασικές Πληροφορίες ELF

Πριν αρχίσετε να εκμεταλλεύεστε οτιδήποτε, είναι ενδιαφέρον να κατανοήσετε μέρος της δομής ενός ELF δυαδικού:

{% content-ref url="elf-tricks.md" %} elf-tricks.md {% endcontent-ref %}

Εργαλεία Εκμετάλλευσης

{% content-ref url="tools/" %} εργαλεία {% endcontent-ref %}

Μεθοδολογία Υπερχείλισης Στοίβας

Με τόσες τεχνικές, είναι καλό να έχετε ένα σχέδιο όταν κάθε τεχνική θα είναι χρήσιμη. Σημειώστε ότι οι ίδιες προστασίες θα επηρεάσουν διαφορετικές τεχνικές. Μπορείτε να βρείτε τρόπους να παρακάμψετε τις προστασίες σε κάθε ενότητα προστασίας, αλλά όχι σε αυτήν τη μεθοδολογία.

Έλεγχος της Ροής

Υπάρχουν διαφορετικοί τρόποι με τους οποίους μπορείτε να ελέγξετε τη ροή ενός προγράμματος:

Υπερχείλιση Στοίβας αντικαθιστώντας το δείκτη επιστροφής από τη στοίβα ή το EBP -> ESP -> EIP.
Ίσως χρειαστεί να εκμεταλλευτείτε ένα Υπερχείλιση Ακεραιών για να προκαλέσετε την υπερχείλιση
Ή μέσω Αυθαίρετων Εγγραφών + Γράψε Τι Πού στην Εκτέλεση
Συμβολοσειρές Μορφοποίησης: Εκμεταλλευτείτε το printf για να γράψετε αυθαίρετο περιεχόμενο σε αυθαίρετες διευθύνσεις.
Δείκτες Πίνακα: Εκμεταλλευτείτε έναν κακά σχεδιασμένο δείκτη για να μπορείτε να ελέγχετε ορισμένους πίνακες και να λάβετε μια αυθαίρετη εγγραφή.
Ίσως χρειαστεί να εκμεταλλευτείτε ένα Υπερχείλιση Ακεραιών για να προκαλέσετε την υπερχείλιση
bof σε WWW μέσω ROP: Εκμεταλλευτείτε μια υπερχείλιση buffer για να κατασκευάσετε ένα ROP και να μπορείτε να λάβετε ένα WWW.

Μπορείτε να βρείτε τις τεχνικές Γράψε Τι Πού στην Εκτέλεση στο:

{% content-ref url="../arbitrary-write-2-exec/" %} arbitrary-write-2-exec {% endcontent-ref %}

Αιώνιοι Βρόχοι

Κάτι που πρέπει να ληφθεί υπόψη είναι ότι συνήθως μια εκμετάλλευση ενός ευπαθείας μπορεί να μην είναι αρκετή για να εκτελέσετε με επιτυχία μια εκμετάλλευση, ειδικά αν χρειάζεται να παρακαμφθούν κάποιες προστασίες. Επομένως, είναι ενδιαφέρον να συζητηθούν κάποιες επιλογές για το κάνετε μια ευπαθία εκμετάλλευση πολλές φορές στην ίδια εκτέλεση του δυαδικού:

Γράψτε σε μια αλυσίδα ROP τη διεύθυνση της συνάρτησης main ή στη διεύθυνση όπου συμβαίνει η ευπαθής σημείο.
Ελέγχοντας μια κατάλληλη αλυσίδα ROP, μπορείτε να εκτελέσετε όλες τις ενέργειες σε αυτή την αλυσίδα
Γράψτε στη διεύθυνση exit στο GOT (ή οποιαδήποτε άλλη συνάρτηση που χρησιμοποιείται από το δυαδικό πριν τη λήξη) τη διεύθυνση για να επιστρέψετε στην ευπαθή σημείο.
Όπως εξηγείται στο .fini_array, αποθηκεύστε 2 συναρτήσεις εδώ, μία για να καλέσετε ξανά την ευπαθή σημείο και μία για να καλέσετε την**__libc_csu_fini** που θα καλέσει ξανά τη συνάρτηση από το .fini_array.

Στόχοι Εκμετάλλευσης

Στόχος: Κλήση Υπάρχουσας Συνάρτησης

ret2win: Υπάρχει μια συνάρτηση στον κώδικα που πρέπει να καλέσετε (ίσως με κάποιες συγκεκριμένες παραμέτρους) για να λάβετε τη σημαία.
Σε μια κανονική bof χωρίς PIE και canary, απλά χρειάζεται να γράψετε τη διεύθυνση στη διεύθυνση επιστροφής που αποθηκεύεται στη στοίβα.
Σε μια bof με PIE, θα χρειαστεί να το παρακάμψετε
Σε μια bof με canary, θα χρειαστεί να το παρακάμψετε
Αν χρειάζεστε να ορίσετε αρκετές παραμέτρους για να καλέσετε σωστά τη συνάρτηση ret2win μπορείτε να χρησιμοποιήσετε:
Μια ROP αλυσίδα αν υπάρχουν αρκετά gadgets για να προετοιμάσετε όλες τις παραμέτρους
SROP (σε περίπτωση που μπορείτε να καλέσετε αυτή τη σύσταση) για να ελέγξετε πολλούς καταχωρητές
Gadgets από ret2csu και ret2vdso για να ελέγξετε πολλούς καταχωρητές
Μέσω ενός Γράψε Τι Πού στην Εκτέλεση μπορείτε να εκμεταλλευτείτε άλλες ευπαθείες (όχι bof) για να καλέσετε τη συνάρτηση win.
Ανακατευτήρες Δεικτών: Σε περίπτωση που η στοίβα περιέχει δείκτες προς μια συνάρτηση που θα κληθεί ή προς μια συμβολοσειρά που θα χρησιμοποιηθεί από μια ενδιαφέρουσα συνάρτηση (system ή printf), είναι δυνατό να αντικαταστήσετε αυτήν τη δ

Μέσω κλήσεων συστήματος

Ret2syscall: Χρήσιμο για να καλέσετε την execve για να εκτελέσετε αυθαίρετες εντολές. Πρέπει να μπορείτε να βρείτε τα gadgets για να καλέσετε τη συγκεκριμένη κλήση συστήματος με τις παραμέτρους.
Εάν έχουν ενεργοποιηθεί το ASLR ή το PIE, θα πρέπει να τα αντιμετωπίσετε για να χρησιμοποιήσετε τα ROP gadgets από το δυαδικό αρχείο ή τις βιβλιοθήκες.
Το SROP μπορεί να είναι χρήσιμο για να προετοιμάσετε το ret2execve
Gadgets από το ret2csu και το ret2vdso για τον έλεγχο πολλών καταχωρητών

Μέσω της libc

Ret2lib: Χρήσιμο για να καλέσετε μια συνάρτηση από μια βιβλιοθήκη (συνήθως από την libc) όπως το system με μερικές προετοιμασμένες παραμέτρους (π.χ. '/bin/sh'). Χρειάζεστε το δυαδικό αρχείο να φορτώσει τη βιβλιοθήκη με τη συνάρτηση που θέλετε να καλέσετε (συνήθως η libc).
Εάν είναι στατικά μεταγλωττισμένο και χωρίς PIE, η διεύθυνση του system και του /bin/sh δεν θα αλλάξουν, οπότε είναι δυνατόν να τα χρησιμοποιήσετε στατικά.
Χωρίς ASLR και γνωρίζοντας την έκδοση της libc που φορτώθηκε, η διεύθυνση του system και του /bin/sh δεν θα αλλάξουν, οπότε είναι δυνατόν να τα χρησιμοποιήσετε στατικά.
Με ASLR αλλά χωρίς PIE, γνωρίζοντας την libc και με το δυαδικό αρχείο να χρησιμοποιεί τη συνάρτηση system είναι δυνατόν να ret στη διεύθυνση του system στο GOT με τη διεύθυνση του '/bin/sh' στην παράμετρο (θα πρέπει να το ανακαλύψετε).
Με ASLR αλλά χωρίς PIE, γνωρίζοντας την libc και χωρίς το δυαδικό αρχείο να χρησιμοποιεί τη συνάρτηση system:
Χρησιμοποιήστε το ret2dlresolve για να επιλύσετε τη διεύθυνση του system και να την καλέσετε
Αντιμετωπίστε το ASLR και υπολογίστε τη διεύθυνση του system και του '/bin/sh' στη μνήμη.
Με ASLR και PIE και χωρίς γνώση της libc: Πρέπει να:
Αντιμετωπίσετε το PIE
Βρείτε τη έκδοση της libc που χρησιμοποιείται (διαρροή μερικών διευθύνσεων συναρτήσεων)
Ελέγξτε τα προηγούμενα σενάρια με ASLR για να συνεχίσετε.

Μέσω EBP/RBP

Stack Pivoting / EBP2Ret / EBP Chaining: Έλεγχος του ESP για να ελέγξετε το RET μέσω του αποθηκευμένου EBP στη στοίβα.
Χρήσιμο για off-by-one stack overflows
Χρήσιμο ως εναλλακτικός τρόπος για τον έλεγχο του EIP ενώ καταχράζεστε το EIP για να κατασκευάσετε το φορτίο στη μνήμη και στη συνέχεια να μεταβείτε σε αυτό μέσω του EBP

Διάφορα

Pointers Redirecting: Σε περίπτωση που η στοίβα περιέχει δείκτες προς μια συνάρτηση που θα κληθεί ή προς ένα string που θα χρησιμοποιηθεί από μια ενδιαφέρουσα συνάρτηση (system ή printf), είναι δυνατόν να αντικαταστήσετε αυτήν τη διεύθυνση.
Το ASLR ή το PIE μπορεί να επηρεάσουν τις διευθύνσεις.
Μη αρχικοποιημένες μεταβλητές: Δεν ξέρετε ποτέ

14 KiB Raw Blame History Unescape Escape